OS.online

Home | Chi siamo | Contattaci

GUERRA AL CYBERCRIME
I PROTAGONISTI. LE VITTIME. E I TUTORI DELLA LEGGE
Una recente sentenza dal tribunale di Milano ha riconosciuto, per la prima volta in Italia, un inquadramento giuridico al fenomeno del phishing. Il lavoro è stato un momento di valida collaborazione tra forze di Polizia, Guardia di Finanza, Provider, Banche e Poste Italiane. A luglio si tiene a Milano l'udienza preliminare per il processo ai riciclatori dei proventi del phishing, con ben 120 imputati e 200 persone offese, oltre ai quattro istituti di credito interessati. Nel volume "Phishing e furto d'identità digitale", Giuffré Editore, è tutto ben descritto con documenti inediti e l'analisi delle tecniche di attacco. Per difendersi da un crimine che diventa sempre più aggressivo. OS.online ha intervistato uno dei tre autori e pubblica, in anteprima, il capitolo dedicato ai suggerimenti per non cadere vittima dei cybercriminali.

Sono all'ASL a fare la fila. Per ammazzare il tempo ho portato con me un libro "Phishing e furto d'identità digitale", un bel malloppo di quasi 500 pagine. Arrivato il mio turno, l'addetta allo sportello, una giovane sui vent' anni, guarda il volume e mi fa "Bello quel libro!" Con mia sorpresa, non solo l'aveva letto, ma lo considerava una vera "pietra miliare" per conoscere Internet e i suoi infiniti segreti. Dato che a pagina 95 il libro cita anche Of-Osservatorio finanziario, l'ho subito segnalato alla ragazza che ha preso nota mostrando grande entusiasmo.

Perchè una giovane addetta all'input di dati ad uno sportello ha tanto apprezzato questo volume scritto a sei mani da Francesco Cajani, Sostituto Procuratore della Repubblica presso il Tribunale di Milano, pool reati informatici, un esperto sui temi attinenti alle indagini in materia di cybercrime, Gerardo Costabile, Information Security Manager di Poste Italiane e Presidente dell'Italian Chapter dell'IISFA (International Information Systems Forensics Association: www.iisfa.it), con un passato nel Gruppo Repressione Frodi della Guardia di Finanza di Milano, e Giuseppe Mazzaraco, Responsabile di Corporate Investigation & Fraud Prevention di Poste Italiane, anche lui con un passato nel Gruppo Repressione Frodi della Guardia di Finanza di Milano? Perchè, questo è un libro che si legge d'un fiato. Spiega termini ostici, come phishing (mail false), SMishing (sms falsi), vishing (telefonate false) e quant'altro in modo semplice, anche se completo. Illustra le indagini condotte dalla Procura della Repubblica di Milano contro truffatori internazionali per frodi e riciclaggio in modo avvincente, anche se con una mole notevole di documenti e particolari. Gli autori hanno lavorato sodo, sono stati tra i primi a scoprire, perseguire e far condannare i colpevoli di queste nuove forme di truffa via email e via web, ma il loro intento nel redigere questo volume che testimonia i loro ultimi successi, non è vantarsene. Al contrario hanno voluto sicuramente fare di questo loro libro un mezzo di formazione e informazione, per le banche, le finanziarie, ma soprattutto per il cittadino che usa l'home banking, manda e riceve email e sms, utilizza la carta di credito per prenotare viaggi e acquistare su internet.
.

Of.online: Qual è la reale situazione del crimine informatico oggi?
Costabile: Gli attacchi sono molti e in costante aumento, ma le truffe che hanno avuto successo, per fortuna, ancora poche, se rapportate con quelle tradizionali. Si parla di decimali percentuali, rispetto al denaro transato. Nel caso delle banche on line la percentuale delle frodi, secondo ABI, è intorno allo 0,05% rispetto al numero dei clienti. Un niente rispetto alle frodi con assegni falsi, che sono molto numerose.

sicu sicurezza

Speciale Cybercrime. Il Programma

GLI ARTICOLI
– Guerra al Cybercrime
– E ora ci rubano la nostra identità
– Diventare zombie e perdere soldi
– Il web che fa paura. Come dire basta
– Cybermafie all'attacco
– Il volto della criminalità sul web

PROSSIMAMENTE
Poliziotti contro Cybercriminali
Cosa ne pensa la Microsoft

Of.online: Molto bene allora, il problema non esiste?
Costabile: No esiste, eccome. Gli attacchi sono sempre più intensi e subdoli. Tali da allarmare soprattutto chi Internet lo usa poco o lo vorrebbe usare, ma ne ha timore. Voglio dire che chi usa l'home banking o la carta di credito oggi è un utente abbastanza abile che quindi sa generalmente come proteggersi dalle truffe. Si tratta di un pubblico più attento. Il largo pubblico, al contrario, quello che potrebbe aprire un conto online o usare servizi sul web non lo fa proprio per la paura delle frodi. Un fenomeno a parte, un po' italiano, è quello dei clienti occasionali, quelli che usano la carta di credito on line raramente e, quando lo fanno, preferiscono quella ricaricabile. Oggi sono questi ultimi le vittime preferite dai phisher.

Of.online: Conferma ciò che abbiamo scritto nel nostro ultimo Rapporto Conti Correnti fai-da-te: potrebbero essere molti di più se non ci fosse il problema sicurezza.
Costabile: Secondo me, si.

Of.online: Diciamolo subito: se vengo truffato, la banca mi rimborsa subito?
Costabile: No, nel caso di cessione dei codici riservati con gli espedienti del phishing, da parte del cliente, mi risulta che gli istituti bancari hanno scelto di non rimborsare.

Of.online: Come mai? Se si viene truffati con la carta di credito il rimborso è immediato o quasi.
Costabile: Oggi sta succedendo quello che anni fa avveniva per le prime frodi con le carte di credito. Neppure quelle erano rimborsate. Nel caso del phishing non si è ancora risposto ad una domanda fondamentale: il rischio dove si trasferisce? Alla banca o al cliente o all'assicurazione? Fino ad oggi, questo nuovo rischio della frode on line non è stato affrontato compiutamente.

– Non conosci il significato di un termine tecnico? Consulta il Dizionario di Aiutoooo
– Continua >>

Of.online: Vuol dire che di fronte al cybercrime il cliente ha sempre torto?
Costabile: Purtroppo è proprio così, anche se gli strumenti per proteggersi ci sono e bisogna usare il buon senso. D'altra parte, da un lato c'è la banca che investe milioni di euro in sicurezza e dall'altra un cliente che quasi sempre non ha installato un antivirus aggiornato oppure, peggio ancora, risponde alle email di phishing fornendo i propri dati riservati.

Of.online: Eppure ho letto nel libro che ci sono stati anche casi con macchine "bucate", come si dice in gergo. Che cosa si intende?
Costabile: Le macchine si dicono 'bucate' quando i computer sono vittima di un virus (precisamente un cavallo di troia). Il Trojan, che può essere nascosto in un apparente innocuo programma o una fotografia, consente all'untore di controllare o registrare informazioni della vittima operando direttamente sull'hard disk di quest'ultimo a distanza. Lo scopo è molteplice: accedere a files di dati (comuni, personali, sensibili, giudiziari), fotografie, numeri di carte di credito, password d'accesso, documenti personali. Un altro motivo, riscontrato anche nelle nostre indagini milanesi, è quello di creare una macchina 'zombie', pronta ad obbedire ai comandi dell'attaccante e quindi sferrare ulteriori attività delittuose ai danni di terzi, che 'leggeranno' l'azione (ad esempio il bonifico in frode) come proveniente dalla vittima del trojan e non dal reale attaccante. Nel libro sono riportati alcuni esempi reali di bonifici di frode con trasferimenti verso l'estero, di oltre i 10 mila euro ciascuno, effettuati tramite una macchina 'zombie' o 'bucata'.

Of.online: Un bel pasticcio. Quante sono state le banche colpite da frodi?
Costabile: Le banche colpite dal phishing dal 2005, anno d'inizio delle indagini, sono moltissime, alcune lo sono tutt'ora. Anche le frodi, soprattutto all'inizio, quando le banche erano impreparate a reagire, sono state sostanziose. Ad essere colpiti sono stati i principali gruppi bancari.

Of.online: Eppure anche noi di Of-Osservatorio finanziario avevamo messo sull'avviso con i nostri rapporti mensili sulla sicurezza dell'home banking della virulenza di questo fenomeno fin dal lontano 2003. Non può essere sempre colpa del cliente non le pare?
Costabile: In molti casi è lo stesso cliente che comunica i propri codici riservati. In altri, per adesso più residuali in quanto il fenomeno sopra indicato è ancora redditizio, ci sono virus che raccolgono i dati digitati sulla tastiera del pc. A mio avviso il cambiamento culturale che dobbiamo portare avanti, seppure con molti sforzi, è quello di portare il cliente sempre di più all'interno della sicurezza informatica del sistema bancario e quindi investire per lui in sicurezza oltre che in comunicazione e formazione.

Of.online: Danno comunque evitabile se la banca avesse provveduto con le tecnologie necessarie, token, tastierino virtuale, come minimo, no?
Costabile: Parzialmente vero. Esistono le prime frodi anche su questi strumenti. La sicurezza è un concetto dinamico e non esiste al 100%. Concordo, comunque, che la strong authentication dovrà essere un passaggio obbligato, un po' come la cintura di sicurezza nelle automobili. Ma non per questo non ci saranno più frodi.

Of.online: Ho letto di casi anche di SMS false, lo Smishing...
Costabile: Il primo caso di SMishing è stato quello ai danni dei clienti di CartaSì, nel febbraio 2006. L'autore, smascherato, è stato condannato in primo grado. Nelle ultime settimane ci sono stati anche casi di SMS con inviti a chiamare false segreterie telefoniche, che in realtà celavano frodi telefoniche da 3 euro al minuto. In questi casi esistono alcune difficoltà investigative, similari a quanto avviene su internet, in quanto un sms è facilmente falsificabile. Pensare di disporre transazioni bancarie via sms senza alcuna sicurezza è davvero un rischio che suggerirei di evitare.

Of.online: Fino a 10 anni fa o giù di lì era quasi impossibile farsi rimborsare dalle società che emettono carta e di credito, forse è solo una questione di tempo e anche le banche attueranno sistemi di controllo e di risarcimento?
Costabile: Questione di tempo, che manca però, perchè le organizzazioni criminali sono sempre più preparate e aggressive. Ci sono chat sempre affollatissime dove ci si scambiano dati e informazioni trafugati sulla rete per costruire identità fittizie e rubare denaro. Si svolgono ogni giorno e ad ogni ora del giorno vere e proprie aste internazionali per vendere e acquistare dati personali e riservati, anche per pochi dollari. Il problema è che ci sono tantissimi bravi sviluppatori soprattutto nei pesi della cosiddetta nuova Europa, ex dell'est, che guadagnano così poco, 200-300 euro il mese, che rubare anche solo 200 euro in una giornata con qualche email falsa e poi sparire è vantaggioso.
continua