Security Notes

Quali e quante sono le minacce per i servizi di online banking?

Online banking

Negli ultimi anni si è osservato un rapido aumento dei crimini informatici in particolare delle attività illecite che hanno preso di mira i clienti dei principali istituti di credito di tutto il mondo.

Sebbene i primi servizi di siano nati negli anni ottanta pochi casi di frodi sono stati osservati sino al 2004. Da allora la rapida diffusione dei servizi di e il suo crescente utilizzo da parte dei consumatori ha reso questi servizi un obiettivo privilegiato del crimine informatico. Secondo i dati forniti dal Rapporto 2014 sulla ICT in Italia, pubblicato dal Clusit, il numero di attacchi contro il settore bancario è quello per il quale si osserva il maggiore incremento rispetto all’anno precedente, + 83,05% rispetto al 2013 e ben il 535,29% rispetto al 2011.

OnlineBanking

Di seguito una rapida carrellata delle principali tecniche adottate.

Phishing

Il numero di attacchi di phishing contro i clienti degli istituti bancari è in costante crescita. Questa tipologia di attacchi fa largo uso di tecniche di ingegneria sociale per ingannare l’utente ed indurlo a rivelare le credenziali di accesso al proprio conto online ed altri dati sensibili.

Nello schema canonico di phishing, gli utenti ricevono email a carattere di urgenza che li invitano a visitare siti che replicano in maniera più o meno fedele quelli legittimi. Tali siti possono essere utilizzati per raccogliere le informazioni dall’ignaro utente oppure per distribuire malware che possono asservire a varie finalità.

L’email malevola potrebbe contenere un link al falso sito web, oppure avere come allegato un malware. Nel caso di attacchi contro clienti delle banche le vittime ricevono email che riproducono false notifiche da banche, fornitori, sistemi di pagamento ed altre organizzazioni. Alle vittime sono solitamente richieste le credenziali per accedere al conto online, il numero di carte di credito e i codici posti sul retro delle carte di credito.

Contrariamente a quanto possiate pensare, il phishing è estremamente efficace e le sue innumerevoli varianti ogni anno riescono ad ingannare milioni di utenti grazie all’implementazione di tecniche sempre più sofisticate. Consiglio a tutti di non divulgare mail dati personali e bancari se vi sono richiesti da email non sollecitate, verificate il vostro conto online regolarmente per garantire che non siano state effettuate transazioni non autorizzate, evitate di cliccare su link e scaricare file da siti non sicuri e di aprire gli allegati di email provenienti da mittenti sconosciuti.

“Watering Hole” attack

Questa tecnica è da molti considerata una variante del phishing in cui le vittime sono indotte a visitare un sito web utilizzato per la diffusione di codice malevolo. Una volta che le vittime sono infettate, i malware possono essere utilizzati per rubare informazioni oppure interagire con gli account bancari delle vittime. I criminali informatici potrebbero facilmente compromettere un sito web configurato in modo non corretto o non aggiornato utilizzando uno dei numerosi exploit kit disponibili sul mercato nero.

L’attacco di watering hole, differentemente dal classico phishing, è mirato alla platea di utenza che visita uno specifico sito web, volendo quindi colpire i clienti di una banca si potrebbe compromettere un sito di informazioni di natura economica.

Pharming

Altra tecnica per colpire gli utilizzatori di servizi di online banking è nota come pharming. Essa prevede che le vittime, quando tentano di accedere al sito web della propria banca, siano in realtà dirottati verso siti “copie” di quelli legittimi.

Le principali metodiche di pharming sono:

  • DNS Cache Poisoning – essenzialmente si altera il meccanismo di risoluzione degli indirizzi logici in quelli fisici. Quando le vittime digitano l’indirizzo della propria banca (e.g. www.miabanca.com) il server restituisce l’indirizzo IP del server controllato dai criminali in luogo di quello legittimo
  • Modifica del Hosts file che sono dei file in cui sono memorizzate le corrispondenze tra indirizzo logico e quello fisico.

Attacchi basati su malware

MalwareGli attacchi basati su codici malevoli sono le principali minacce per i servizi on-line delle banche e il numero di famiglie di malware progettati specificamente per gli attacchi finanziari è in costante aumento. Alcuni dei malware bancari più popolari sono Zeus, Carberp, SpyEye, KINS ed i più recenti Dyreza e Pandemiya.

La maggior parte dei malware di questo tipo è capace di rubare le credenziali degli utenti, controllare il PC delle vittime in remoto ed alterarne la percezione della navigazione online attraverso il browser. La maggior parte dei malware utilizza una metodica di attacco nota come “Man In The Browser”, ovvero infettano il browser delle vittime sfruttandone una vulnerabilità e in questo modo i criminali possono iniettare contenuti maligni direttamente nel browser per modificare il contenuto di una transazione bancaria oppure per condurre operazioni in luogo delle vittime in modo completamente silente. Alterano il contenuto presentato dal browser all’utente mediante le tecniche di iniezione menzionate e possono anche presentare un estratto conto, appositamente elaborato dal malware, per nascondere le attività fraudolente.

E’ importante precisare che né la banca né l’utente possono rilevare questa tipologia di attacco, anche nel caso in cui la banca abbia adottato meccanismi di autenticazione forte che prevedono l’invio di codici autorizzativi per validare le transazioni (e.g. attraverso un token fisico oppure un codice inviato al proprio cellulare). La maggior parte dei codici malevoli menzionati è in grado di infettare persino i dispositivi mobili delle vittime, in questo modo i criminali possono sia interferire con le operazioni effettuate direttamente attraverso lo smartphone che rubare i codici di autenticazioni inviati da alcune banche per autorizzare le operazioni.

Come avrete avuto modo di constatare il crimine informatico ha incrementato il numero di attività fraudolente nei confronti dei clienti delle banche perciò fate attenzione a come custodite le vostre credenziali, utilizzate ogni possibile soluzione a difesa del PC e dispositivo mobile che si usa per le operazioni di online banking, mantenete il vostro computer aggiornato e, infine, fate attenzione alle mail che vi giungono non sollecitate.

Alla prossima …

Pierluigi Paganini

Pierluigi Paganini è Chief Information Security Officer presso Bit4Id, un’azienda leader nella fornitura di soluzioni per l’Identity Management basate su infrastrutture PKI. Ricopre anche il ruolo di capo editore per la nota rivista statunitense Cyber Defense Magazine e vanta una esperienza di oltre venti anni nel settore della cyber security.
La passione per la scrittura e la forte convinzione che la sicurezza sia una materia che la conoscenza sulla Cyber Security vada condivisa lo ha spinto a fondare il blog
Security Affairs, recentemente insignito del titolo di “Top National Security Resource for US.”
E’ membro dei gruppi di lavoro del portale “The Hacker News” e dell’ ICTTF International Cyber Threat Task Force, è inoltre autore di numerosi articoli pubblicati sulle principali testare in materia sicurezza quali Cyber War Zone, ICTTF, Infosec Island, Infosec Institute, The Hacker News Magazine e molte altre riviste.
E’ membro del gruppo Threat Landscape Stakeholder Group dell’agenzia ENISA (European Union Agency for Network and Information Security).
Ha pubblicato due libri “The Deep Dark Web” e “Digital Virtual Currency and Bitcoin” rispettivamente sulla tematiche inerenti Deep Web ed i sistemi di moneta virtuali.

Facebook Twitter Google+ 

Clicca per commentare

Commenti e reazioni su:

Loading Facebook Comments ...

Lascia una replica

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *

No Trackbacks.

TechEconomy è il portale di informazione dedicato a manager, imprenditori e professionisti che vogliono approfondire e comprendere l’impatto delle tecnologie nello sviluppo del business nelle PMI come nell’industria, nella finanza, nei servizi.
Si rivolge insomma a tutti coloro che vogliono capire come le nuove realtà dell'Information Technology - Web 2.0, e-Business, net economy - stiano cambiando l’economia, e con essa la società.
Inizio
Shares
Share This