La truffa con le stellette (ossia la falsa Gdf online) ...

Non occorre studiare il "social engineering" per sapere che due sono i principali motivi che spingono la gente a cadere nelle truffe:

1. il desiderio di ricevere un premio;
2. la paura di ricevere un danno.

Il meccanismo n.1 (il desiderio di ricevere un premio) funziona meglio  quando il premio tutto sommato è inaspettato (o non del tutto meritato), mentre il meccanismo n.2 (la paura del danno) funziona anche meglio quando la vittima già teme l'evento negativo o, caso ancora diverso, ha tutto sommato la coscienza un po' sporca  e quindi si aspetta di essere punita. In questi casi spesso la vittima si 'butta' essa stessa nella trappola senza fare tante domande ...

Lo sanno bene gli inventori del phishing, che hanno sfruttato ampiamente entrambe le tecniche: infatti le mail o attirano la preda con il miraggio di un premio (es. una lotteria alla quale la vittima non ha partecipato) o minacciano un danno che la vittima teme (un attacco di hacker, un'arbitraria chiusura del proprio account da parte della banca ...).

Non ci vuole la tecnologia per prendere il controllo di un computer ... In fondo anche inganni banali, quando incontrano una vittima nella giusta "disposizione d'animo", funzionano, perchè in tal caso la vittima si infila volontariamente nella trappola.

Allora che c'è di meglio - specie di questi tempi - che impersonare la Guardia di Finanza?

Nasce così una truffa che sfrutta il logo (e parzialmente il sito) della Guardia di Finanza convincendo le ignare (e sprovvedute) vittime a fare pagamenti su un sito estero per sanare una violazione di proprietà intellettuale asseritamente rilevata dalla GdF.

Nonostante le modalità inconsuete (e alcuni particolari francamente un po' surreali, come la mail da "servizio_clienti@gdf.it") un po' di gente ci deve essere cascata se sul sito ufficiale della Guardia di Finanza (e in particolare sulla pagina del GAT- Gruppo Anticrimine Tecnologico)  ci sono articolate istruzioni su come evitare la truffa ....

Phishing forense ...

Diceva una canzone di De Andrè che:

"una notizia un po' originale non ha bisogno di alcun giornale, come freccia che dall'arco scocca, vola veloce di bocca in bocca ...".

In Internet si trovano spesse di queste notizie "originali" ... è il suo bello.

Così alcuni mesi fa trovo la notizia di una sentenza "rivoluzionaria" in tema di differenze tra phishing e pharming (in realtà il comunicato pubblicato sui vari siti, che porta bene in evidenza i nomi dell'avvocato e del giudice, poi dimostra di non sapere che phishing non si scrive con la "f" ...).

Letta attentamente, la notizia si rivela per quello che è: un comunicato dal sapore vagamente pubblicitario, ma che si basa su affermazioni di fatto per lo meno discutibili per cui finisce con l'affermare che, mentre nel "fishing è il cliente viene ingannato da e-mail che lo inducono a fornire spontaneamente i propri dati e coordinate bancarie e quindi non si configura responsabilità dell’istituto di credito", nel pharming "l’unica responsabilità è da addebitare alla banca che utilizza sistemi vulnerabili nei quali si verificano intrusioni di terzi che sottraggono dati e fondi dei clienti. L’hacker entra nel sistema informato dell’istituto di credito e sovrappone una pagina fittizia, identica a quella originale e quando il correntista inserisce dati e numero di conto, i pirati informatici li registrano e possono effettuare tutte le operazioni".

I primi commenti sono improntati all'incredulità, se non all'incredulità e la notizia 'muore' lì.

Poco fa viene pubblicata, questa volta su un sito specializzato, quello di IPOSOA, una nuova "novità", la sentenza  del Giudice di Pace di Asti del 28 aprile 2011, che ravvisa la responsabilità della banca nel fatto che la stessa "non fornisce alcuna prova di aver consegnato ... [ai correntisti] il codice “Bic-Swift” nonostante gli attori avessero fin dall’inizio contestato l’inadempienza contrattuale dell’istituto di credito, con la conseguenza di dover ritenere provata la doglianza".

Non so che abbia capito il Giudice di Pace (e il redattore che ha ritenuto di pubblicare la notizia con il roboante titolo "home banking - per le operazioni abusive risponde l'istituto"), ma i codici "Bic" ("Business Identifier Code") e "Swif" ("Society for Worldwide Interbank Financial Telecommunication") non sono codici segreti fornite dalla banca ai correntisti per consentire di effettuare bonifici, ma le coordinate bancarie (l' "indirizzo bancario" del conto di destinazione) che il correntista deve conoscere per "piazzare" correttamente il bonifico.

Non si tratta certo di dati segreti: sono disponibili in Internet in quanto servono per impartire i bonifici.  A differenza dell'IBAN, che identificano anche il conto corrente, SWIFT e BIC identificano solo la banca e lo sportello di destinazione de bonifico.

Una sentenza per lo meno "frettolosa" ..... 

Strano però che pronunce meno frettolose (o forse meno prone ad inghiottire le "esche" lanciate dagli avvocati di parte...), come quelle dell'Arbitro Bancario Finanziario (sistema di risoluzione delle liti tra i clienti e le banche creato con il patrocinio di Banca d'Italia) hanno ottenuto minor risonanza.

 Riporto un passo della relazione, decisamente più meditata:

"il Cliente ha l’obbligo di diligente custodia della carta di pagamento e dei codici
identificativi. È stata, ad esempio, riconosciuta la responsabilità del cliente nel caso in cui i codici e la carta sono stati conservati unitamente, oppure nel caso abbia comunicato a un terzo il numero della propria carta di credito. Il cliente deve essere consapevole della delicatezza del mezzo telematico e della possibilità che attraverso di esso siano perpetrate frodi, anche nella forma del cd. phishing, attuando le cautele necessarie nei confronti di comunicazioni anomale che richiedono fraudolentemente la digitazione dei propri codici identificativi personali.
L’intermediario che offre alla propria clientela servizi di pagamento o telematici ha il dovere di adempiere il proprio obbligo di custodia dei patrimoni dei clienti con la diligenza professionale e qualificata richiesta dall’art. 1176, comma 2, del codice civile, predisponendo misure di protezione adeguate rispetto agli standard esistenti, anche sotto il profilo dei presidi tecnici adottati. Ad esempio, è stata riconosciuta la responsabilità dell’intermediario per non avere predisposto sistemi automatici di blocco delle operazioni anomale disposte tramite internet (nel caso di specie si trattava di una serie di ricariche telefoniche su numeri diversi, per un importo elevato, nel giro di poche ore), ovvero nel caso in cui non era stato adottato un terzo livello di protezione come le serie numeriche casuali generate da dispositivi automatici, ovvero per non avere previsto l’invio di sms di avviso dell’esecuzione dell’ordine".

In molti di questi casi l'Arbitro ha riconosciuto il concorso di colpa tra la banca e il cliente evidenziando che entrambi hanno un obbligo di diligenza e che se per un phishing la leggerezza del cliente è necessaria, spesso non è sufficiente ....

Il phishing si fa tecnologico ...

La sicurezza di una catena si misura dal suo anello più debole e, nei sistemi di home banking l'anello più debole è (finora) il cliente ...

In questi anni anche le mail più sgrammaticate hanno mietuto vittime, complici vulnerabilità nei browser, creduloneria della gente ... last but not least, sistemi di autenticazione a volte abbastanza rudimentali ...

Come è stato possibile? Bah, un po' è che molta gente, di fronte ad un pc (ma anche di fronte a molte altre cose che non capisce ..) tende a diventare del tutto acritica e a credere un po' a qualunque cosa, un po' è che molta altra gente alla sicurezza del pc proprio non ci guarda e i phishers hanno avuto buon gioco a mascherare gli indirizzi del loro falso sito, magari sfruttando le debolezze di browsers mai aggiornati ...

Già, gli aggiornamenti di sicurezza: brutto capitolo. Quanti sono gli utenti che usano un pc non aggiornato da anni, magari perchè hanno una copia di photoshop o di office piratata e non vogliono assolutamente rischiare che magari Microsoft dia un'occhiata al loro disco fisso e li scopra (e quindi non attivano mai gli aggiornamenti di sicurezza proposti dal sistema)? Ne conosco parecchi, anche parenti, ma guai a dir loro che sono a rischio ... "ho l'antivirus!", ti rispondono (come se l'antivirus potesse supplire alle magagne di un sistema non aggiornato ...).

Ma è sul piano degli aggiornamenti di sicurezza e della protezione del pc dell'utente che si giocherà una bella fetta della sicurezza delle transazioni bancarie, perchè il phishing si sta facendo tecnologico e sta imboccando la strada dei trojan con soluzioni che - come riportato da Slashdot - sono capaci di aggirare anche evoluti sistemi di autenticazione basati su sistemi di two-factor authentication (ossia password + dispositivo fisico di autenticazione)...

Allora, val così la pena di trascurare la sicurezza per continuare a tenersi questo photoshop krakkato?

Phishing con la G maiuscola

Quest'oggi, in barba a tutti i filtri antispam e antiphishing della mail aziendale (e di quella di google ..) ho ricevuto questa mail:

"Google Online Promo © 2008

Dear Valued Customer,
Your e-mail have emerged as a winner of £500,000.00 GBP (Five Hundred Thousand British Pounds) in our 1Oth anniversary online giveaway draws.Your Winning details are as follows: Computer Generated Profile Numbers (CGPN):7-22-71-00-66-12, Ticket number: 00869575733664, Serial numbers:/BTD/8070447706/06, Lucky numbers: 12-12-23-35-40-41(12).

Contact your processing agent (Mr. Francis Henson) who has been assigned to handle your winning file and payment processing with the contact below:
Mr. Francis Henson,
Email: 2008agent.f.henson@gmail.com

Sincerely,
Mrs Eli Squier."

A pensarci bene è una boiata pazzesca: come fa google ad avere i miei indirizzi di mail (personale e aziendale)?

Eppure suona bene.

Boh, ho provato a rispondere. Per adesso nulla (nemmeno un gentile avviso di google che - guarda caso - è il gestore della casella e mail su cui si basa il tentativo di phishing).

Vi farò sapere.

Phishing ... l'evoluzione continua

Quanto è sicuro un centro di ricerca nucleare dell'esercito?

Alla fine non molto, perchè non importa se i militari hanno muri di cinta imponenti, filo spinato e guardie armate cattivissime, bravissimi tecnici informatici (ma, poi, bisogna vedere se li hanno davvero e se sono in servizio e operativi o se non sono - magari - dirottati su altri compiti, se si parlano tra loro, etc.....) perchè la sicurezza di una catena si deve misurare sempre sull'anello più debole.

E l'anello più debole spesso risiede nel breve spazio che sta tra la tastiera e la seggiola ......

Già, perchè il fattore umano (il "meatware") è un elemento essenziale e immancabile del sistema.

Capita così che i centri di ricerca nucleare del governo statunitense vengono presi di mira con attacchi di phishing, con risultati - a quanto pare - per lo meno imbarazzanti.

Prevenire un attacco di phishing, soprattutto quando diretto all'interno di un'organizzazione abituata rispondere a sollecitazioni via mail, obiettivamente, non è facile e richiede comunque un attento training del proprio personale. Ma questo training evidentemente non è mai stato fatto, se è vero che l'anno scorso uno di questi centri ha rilasciato informazioni sensibili su test nucleari tramite posta elettronica. Che c'è di grave dite voi? L'e-mail non è uno strumento sicuro, perchè trasferisce informazioni in chiaro e, su reti aperte come le normali reti internet, non è possibile predeterminare su quali e quanti server l'informazione deve essere riprodotta per arrivare al destinatario ...... Ovviamente stiamo parlando di server di posta che possono essere installati da chiunque e in ogni parte del mondo.

Così, oltre a non poterci stupire se, come riportato sempre nell'articolo di PcWorld, addosso ad un trafficante di droga viene trovata una chiavetta USB contentente dati riservati su esperimenti nucleari, comincia a venirci il dubbio che la sicurezza sia un problema globale ......

Phishing aziendale: ora il gioco si fa duro ....

Sta rimbalzando per il web la notizia che Salesforce è stata vittima di un attacco di phishing.

Che c'entra Salesforce, mica è una banca?

No certo, ma questo è un attacco di tipo diverso: infatti l'attacco non sarebbe stato rivolto - almeno inizialmente - ai clienti di Salesforce, ma ai suoi dipendenti.

Il risultato di questi attacchi, effettuati con le note tecniche del "social engineering" (furbizia, fantasia e un po' di studio dei comportamenti umani) è stato che uno dei dipendenti ha improvvidamente ceduto le sue passwords ai truffatori, i quali ne hanno approfittato per estrarre dai sistemi informativi di Salesforce dati più dettagliati dei suoi clienti (con i riferimenti dei contatti, chi chiamare e a che numero ...) per mirare meglio le truffe (tra l'altro condotte con l'uso combinato di e-mail fasulle e "malware").

Il risultato è un comunicato di Salesforce, tutto sommato imbarazzante, nella quale si avvertono i clienti delle possibili truffe

Bello no?

No, certo, il comunicato è ben scritto, ma il risultato è un incubo sotto il profilo delle pubbliche relazioni e dell'immagine. Se poi si applicasse la normativa italiana sulla sicurezza dei dati personali .......

In realtà abbiamo tutti un grave problema di sicurezza, anzi un problema diffuso, in quanto la gente (colleghi, vicini, parenti) continua a credere - nonostante ogni evidenza - che il fatto che una mai appaia provenire da qualcuno provenga effettivamente da tale soggetto ..... .

Quanto poi al valore di una password, .. ma sì, ... che sarà mai!

Ricordate, poi, il recente caso (italiano) della falsa mail che annunciava la partenza di un'indagine antitrust su Mediaset (già nell'occhio del ciclone per i fatti suoi nell'ambito degli analisti finanziari per il calo dei suoi profitti ...)?