Probabilmente conoscete gi\u00e0 questo strano fenomeno: gli incidenti aerei attirano molto di pi\u00f9 l\u2019attenzione rispetto agli incidenti d\u2019auto, anche se il numero di vittime all\u2019anno \u00e8 decisamente inferiore nella prima situazione. Questo fenomeno si applica anche ad altri aspetti della vita, compresi la cybersecurity e le informazioni prese dai cybercriminali.<\/p>\n\n
Quando nel 2014 abbiamo scoperto che il gruppo di cybercriminali Carbanak<\/a> si era impossessato di oltre un miliardo di dollari, per la stampa \u00e8 stata una notizia bomba. Tuttavia, non dovremmo dimenticare che le truffe pi\u00f9 comuni che colpiscono ogni giorno le carte di credito portano a perdite economiche decisamente pi\u00f9 importanti. Ad esempio, il giornale The Nilson Report<\/em> ha calcolato che nel 2018 le truffe sulle carte di credito hanno provocato perdite economiche di circa 24 miliardi di dollari<\/a>, cifra che si prevede aumenti in modo significativo quest\u2019anno. Il carding<\/em> (cos\u00ec i cybercriminali e gli esperti in sicurezza informatica chiamano le truffe che riguardano le carte di credito) non \u00e8 affatto morto. Anzi.<\/p>\n Questo dato pu\u00f2 sorprendere, considerando che sempre pi\u00f9 banche implementano severi sistemi di sicurezza e soluzioni intelligenti basate sull\u2019apprendimento automatico per prevenire le truffe e per evitare che vengano rubati fondi dalle carte di credito. In teoria, questi sistemi dovrebbero fare da deterrente per i cybercriminali alle prime armi, eppure le statistiche dicono il contrario. Sui forum della darknet, se qualcuno fa una domanda del tipo \u201cqual \u00e8 il primo passo nella carriera di un cybercriminale?\u201d tutti risponderanno \u201cil carding<\/em>\u201c.<\/p>\n Per fortuna, il carding<\/em> \u00e8 diventato pi\u00f9 difficile grazie alle misure di sicurezza implementate dalle banche e dalle piattaforme di pagamento. Purtroppo, invece, in realt\u00e0 i sistemi antifurto non funzionano cos\u00ec bene; inoltre, coloro che vogliono cimentarsi nel furto di denaro dalle carte di credito hanno a disposizione servizi appositi e strumenti per farlo (e un mercato dove trovarli).<\/p>\n Il ricercatore di Kaspersky Lab Sergey Lozhkin ha scoperto un mercato nella darknet<\/a> che si chiama Genesis e che viene utilizzato per rivendere le maschere digitali. Lozhkin ha approfondito l\u2019argomento in occasione del suo intervento al Security Analyst Summit 2019<\/a>. Una maschera digitale consiste nell'\u201dimpronta digitale\u201d dell\u2019utente (cronologia web, informazioni del browser e del sistema operativo, plugin installati etc.) oltre alle informazioni sul comportamento dell\u2019utente, quello che fa online e come lo fa.<\/p>\n Perch\u00e9 i cybercriminali dovrebbero rivendere queste maschere digitali e cosa hanno a che vedere con il carding<\/em>? Queste informazioni vengono utilizzate dai sistemi antifurto per verificare che l\u2019utente autorizzato sta accedendo al servizio. Se la maschera digitale di un sistema antifurto trova delle corrispondenze con quanto visto in precedenza (e che appartiene all\u2019utente), la transazione viene considerata legittima. Per molte banche, ci\u00f2 vuol dire che non \u00e8 necessario neanche richiedere un codice 3D Secure via SMS o notificazione push da inviare agli utenti per confermare la transazione.<\/p>\n Se il cybercriminale in qualche modo riesce a rubare la vostra maschera digitale e le vostre credenziali di banking online, il sistema antitruffa non vedr\u00e0 nulla di sospetto e non dar\u00e0 l\u2019allarme. Cos\u00ec i cybercriminali prosciugheranno il vostro conto senza che nessuno se ne accorga.<\/p>\n Ecco perch\u00e9 i cybercriminali si appropriano dei dati dai dispositivi degli utenti e li mettono in vendita su Genesis. Altri cybercriminali compreranno questi dati, il cui costo varia dai 5 ai 200 dollari a seconda del volume di dati e delle credenziali di accesso, e le utilizzano per spacciarsi per i proprietari della maschera digitale.<\/p>\n Per fare tutto ci\u00f2 basta utilizzare un plugin gratuito per il browser (sviluppato da coloro che hanno creato Genesis) che si chiama Genesis Security. Il plugin permette di utilizzare la maschera digitale per ricreare l\u2019identit\u00e0 virtuale del legittimo utente e ingannare cos\u00ec i sistemi antitruffa. In pratica, il plugin modifica i parametri che analizzano questi sistemi per farli combaciare con quelli del dispositivo della vittima, ricreando cos\u00ec il loro comportamento online.<\/p>\n I cybercriminali autori di Genesis dove prendono i dati che poi rivendono? La risposa \u00e8 semplice anche se un po\u2019 vaga: da vari esemplari di malware.<\/p>\n Non tutti i tipi di malware provano a cifrare i vostri dati per richiedere un riscatto o per appropriarsi dei vostri soldi dopo aver preso il controllo del dispositivo. Ci sono malware che rimangono nell\u2019ombra, raccolgono tutti i dati possibili per creare le maschere digitali che verranno poi rivendute su Genesis.<\/p>\n Il primo modo per aggirare i sistemi di prevenzione delle truffe \u00e8 avere un aspetto famigliare agli altri sistemi o un aspetto completamente nuovo. I cybercriminali conoscono entrambi i modi e, ovviamente, c\u2019\u00e8 un servizio su Internet anche per questo.<\/p>\n Con l\u2019espressione \u201ccompletamente nuovo\u201d si intende che non ci sono praticamente parametri di corrispondenza tra la maschera digitale utilizzata e qualsiasi altra maschera di cui \u00e8 a conoscenza il servizio. Questo significa che i cybercriminali non sono autorizzati a collegarsi al servizio con attivo un sistema di prevenzione delle truffe (anche installando un altro browser sul PC) se alcuni parametri (come l\u2019hardware del computer, la risoluzione dello schermo o altro) corrispondono a quelli della maschera digitale utilizzata precedentemente.<\/p>\n Tuttavia, esiste un servizio chiamato Sphere che consente ai cybercriminali di creare una nuova identit\u00e0 digitale e di personalizzare tutti questi parametri, cos\u00ec agli occhi del sistema antitruffa sembrer\u00e0 tutto completamente nuovo. E non c\u2019\u00e8 alcun motivo per non fidarsi di questa nuova persona.<\/p>\n Insomma, non importa quanto sia avanzato il sistema antitruffa, queste tecniche continuano a funzionare perch\u00e9 gli algoritmi di questi sistemi (che determinano se una persona \u00e8 autorizzata ad accedere ai fondi oppure no) si affidano agli stessi dati raccolti dai cybercriminali.<\/p>\n Allora ci chiediamo: \u00e8 possibile difendersi da queste truffe cos\u00ec avanzate sulle carte di credito?<\/p>\n Dal punto di vista delle banche, \u00e8 obbligatorio introdurre l\u2019autenticazione a due fattori<\/a>, impiegando magari come secondo fattore di verifica alcuni sistemi biometrici quali la lettura delle impronte digitali (reali), la scannerizzazione dell\u2019iride o il riconoscimento facciale.<\/p>\nImpronta digitale: prendere in prestito un\u2019identit\u00e0 per rubare da una carta di credito<\/h3>\n
Raccolta di impronte digitali<\/h3>\n
Altri modi per bypassare i sistemi antitruffa<\/h3>\n
Come difendersi<\/h3>\n