Banconote segnate, rubate o false, riconoscerle è difficile se non impossibile nel caso di banconote rubate o segnate. Impossibile si per una persona non per un computer.

come al solito le informazioni sono registrate da qualche parte: sul sito del ministero dell'interno http://coordinamento.mininterno.it/servpub/ver2/Banconote/cerca_banco.htm e quindi in un database presso il ministero.

Proviamo a usare la grande rete Internet e l'interconnessione di cui si sente tanto parlare ma che ancora si vede poco: mettiamo i self service dei distributori di benzina, dei biglietti dell'autobus, dei parchimetri, in rete collegati con un site del ministero per la verifica delle banconote.

Questi strumenti sono già in grado di riconoscere le banconote vere da quelle false ma collegati alla grande rete potrebbero non accettare banconote con numeri di serie corrispondenti a banconote rubate o segnate.

Proviamo ora a mettere questo tipo di controllo alla cassa di uno sportello bancario.

Diciamo che l'interazine sarebbe altissima è vero  ma sarebbe enorme il guadagno che aziende e la società ne farebbero.


Al prossimo post

http://www.corrierecomunicazioni.it/it-world/34715_cybercrime-allarme-pos-malumpos-prende-di-mira-i-pagamenti-in-hotel-e-ristoranti.htm

Questa notizia è la dimostrazione di la nostra società moderna stia producendo software e sistemi di pessima qualità, nell'articolo si legge "I cybercriminali utilizzano questo malware per impossessarsi dei dati contenuti nelle bande magnetiche delle carte di credito, quando questi vengono trasferiti nella Ram del computer collegato al Pos. Questi dati, una volta estratti dagli hacker, possono essere utilizzati per clonare le carte di credito ed effettuare transazioni finanziarie fraudolente, utilizzando i conti bancari ad esse associati." 

Iniziamo dall'esame dei sistemi desk all-in-one di Oracle Micros, si tratta di dispositivi all-in-one che in un unico case raccolgono le funzioni di computer e di pos, normalmente, come accade per le casse automatiche di pagamento, tipo metro o asl, dovrebbero avere le componenti  pos e "computer" separate.
Dopodichè mi domandoperchè mai i dati della carta devono finire nella memoria del computer se uso un dispositivo di sicurezza per i pagmenti che si chiama POS????? e che è certificato dal suo produttore (ingenicoo/verifone etc...). per completare l'emissione dello scontrino? Ma scherziamo davvero!!!!
è sufficiente che il pos venga interrogato sull'esito della transazione, magari qualcuno è riuscito pure a farselo certificare PCI-DSS?

Sono passati quasi 3 anni da quella intervista del 13 dicembre 2019 di Enrico Pagliarini alla sua trasmissione #2024 https://lnkd.in/dUTEwiGb dove spiegavo il crescente fenomeno del SIM SWAP. Sebbene il SIM SWAP fosse una tecnica di attacco nota dal 2016 sembrava che il mondo bancario fosse immune a questo attacco fino a quando, per aderire alla PSD2, quasi la totalità delle banche sostituirono i loro token hardware con l'autorizzazione/validazione da dare con l'App della banca.
Il 2019 fu l'anno dell'esplosione del SIM SWAP ma Abilab e CERTFin presero in considerazione il fenomeno del SIM SWAP solo a febbraio 2020.
Tre anni sono un'eternità in termini informatici ma il problema del #SIM#SWAP è ancora lontano da essere risolto, anzi il numero di casi che trattiamo sia come CTP delle vittime o come CTU del Giudice è lungi dal diminuire.
In questi anni il SIM SWAP si è sviluppato in diverse varianti, dalla base con la duplicazione della SIM e frode bancaria via SMS o installando addirittura l'App bancaria, alla portabilità su altro operatore.
Solo recentemente l'#AGCOM nei confronti delle Telco con la Delibera n. 86/21/CIR "Modifiche e integrazioni della procedura di portabilità del numero mobile, di cui alla delibera n. 147/11/CIR, e connesse misure finalizzate ad aumentare la sicurezza nei casi di sostituzione della SIM (SIM swap)"

#frodi#bancarie

Intanto il web, non il dark web, il web che conosciamo tutti è pieno di annunci come quelli riportati sotto di serivizi di SIM SWAP che per tariffe che vanno dai 200 ai 400€ fanno SWAP della SIM originale.

Prevenzione e sistemi Anti Frode  Informatica

Lo Studio Fiorenzi ha maturato una importante esperienza in ambito bancario, in merito allo svolgimento di indagini in ambito informatico  per prevenire o identificare eventuali frodi aziendali e raccogliere prove nel caso in cui queste siano poste in essere, richiede competenze trasversali: tecnico informatiche, di digital forensics, legali e contabili.

Il nostro servizio di antifrode permette di:

• Accertare casi di frode aziendale
• Raccogliere le prove oggettive dell’illecito
• Ricostruire come è stata attuata la frode
• Ricostruire quali sono i soggetti coinvolti
• Stimare il danno economico arrecato all’azienda.
  
  

Inoltre, il nostro servizio di antifrode è in grado di definire Policy Aziendali per prevenire e mitigare il rischio frodi ma anche di progettare insieme al cliente sistemi antifrode per l’eCommerce, il CRM o altre piattaforme strategiche.
È possibile richiedere un intervento di due diligence, quando si vogliono ad esempio analizzare nello specifico le procedure e i protocolli aziendali necessari per la prevenzione di casi fraudolenti o monitorare le aree critiche dell’azienda o i settori a maggiore rischio frode.

Sim SWAP: come ti vuoto l'home banking

E'la truffa del momento con cui oltre a rubarti l'identità di svuotano il conto corrente, vediamo in cosa consiste.   L'attacco SIM SWAP è conosciuto fin dal 2016, ed inizia  con l'ottenere una SIM duplicato della vittima.

Cosa ci facciamo con una SIM? tutti i sistemi di autenticazione a 2 fattori (2FA), da Facebook, Instagram, Linkedin, fino a G-Mail usano il cellulare come sistema di verifica dell'identità del soggetto. Questo significa che se dimenticate la password di Facebook, di G-Mail, o dello SPID potete richiedere il recupero o il reset della password dal  sito, Facebook ad esempio, mediante una procedura che vi farà arrivare un SMS con le istruzioni per il recupero o il reset. Queste informazioni arriveranno solo sulla SIM duplicata, non su quella della vittima che sarà sconnessa dalla rete e quindi non avrà alcun avvisaglia.

Chi dovesse entrare in possesso di un duplicato della vostra SIM avrebbe certamente la possibilità di accedere a tutte le vostre identità digitali, gli basterà conoscere il vostro account per ottenere il reset/recupero password mediante il numero cellulare per, impersonare a pieno titolo le vostre identità digitali, e magari cambiando password vi impedisce pure di rientrare a gestire Facebook, Instagram, SPID, o G-Mail.

Lo scenario non è certo di più sereni ma questo cosa c'entra con il rischio di avere l'Homebanking svuotato? e come mai è possibile visto che ormai tutte le banche hanno le App e comunicano quasi essenzialmente con quelle??? A dire il vero mandano anche gli SMS ma costa 15c ognuno... mentre il pop-up dell'App è gratuito, quindi tutti preferiscono usare l'App.
Dimenticavo, una volta le banche avevano i Token.....solo ultimamente hanno sostituito/obbligato tutti a passare dal Token all'App.

Ritorniamo alla nostra SIM SWAP, iniziamo col dire che i dati di connessione alla banca possono essere rastrellati mediante malware creati ad hoc  per una o più banche,  ma come abbiamo visto prima conoscendo il vostro account  è possibile accedere   ai vostri account Google, Apple, Facebook e recuperare da questi i vostri dati bancari, etc.. con la tecnica prima descritta, il malfattore ha una visibilità completa di tutto quello che avete fatto: cronologia navigazione, preferiti, etc.. gli sarà quindi sufficiente installare l'App della vostra banca, e censire un nuovo dispositivo., il suo cellulare con il duplicato della vostra SIM, mediante l'SMS che la banca manderà al numero del titolare del conto per verificare che sia il legittimo attivatore di un nuovo dispositivo.

Messaggio arrivato e.... bingo! il malfattore ha censito il suo cellulare suol vostro Homebanking e quindi ora può accedere, come fosse voi o un vostro familiare, al vostro conto, che naturalmente provvederà a svuotare in 2,3, 4 bonifici per non incappare nei controlli antiriciclaggio. Naturalmente bonifici diretti verso paesi con una legislazione "compiacente" al suo obiettivo.. Non conosco la legge Spagnola, ma certamente mi capita di riscontrare come questi bonifici siano tutti diretti in Spagna... 

Naturalmente tutto questo succede nel tardo pomeriggio, magari di un venerdì o di un ponte, in modo che la vostra SIM sia spenta, attivata la copia del malfattore. Inoltre dal momento che ha censito come legittimo il suo dispositivo voi non riceverete alcuna notifica delle operazioni....pensate, addirittura la banca chiede al malfattore il PIN per autorizzare i bonifici.... , ma è proprio possibile che non si sia accorta di niente???

In tutto questo meccanismo, ci cono delle gravi responsabilità, a partire dal gestore telefonico che spesso con troppa facilità fornisce un duplicato della SIM, ma anche da parte della banca, che si fida di un SMS per censire un nuovo dispositivo e non attua alcun controllo antifrode: basterebbe usare le funzioni di geo-localizzazione e fare un profiling del tipo di operazioni svolte per capire che i bonifici disposti con buona probabilità non sono "legittimi"

Ma c'è modo di incastrare il "ladro"? Direi in generale si. Infatti tutto le azioni che il malfattore ha messo in atto lasciano tracce indelebili sui sistemi a cui si connette. Acquisendo i dati di accesso alle varie piattaforme, e correlandole fra loro, sarà possibile individuare il malfattore e documentare la frode fatta ai vostri danni.

Se è pur vero che il malfattore lascia tante tracce è anche vero che lo fa su sistemi di vari gestori, che hanno legislazioni anche diverse dalla nostra, e quindi potrebbero tenere i dati di accesso per poco tempo. E' fondamentale in questi casi procedere con tempestività ad acquisire in modalità forense, mediante un consulente informatico forense, i dati di accesso da tutte le piattaforme contattate in modo che possano essere usate in giudizio. l'adozione di metodologie scientifiche di digital forensics di acquisizione delle prove, la redazione di una perizia informatica che a partire dai dati di accesso spiega come si è sviluppata la truffa, permettono di fornire in sede giudiziaria, ma anche nel confronto con la banca, un quadro probatorio fondato su elementi oggettivi e verificabili.