Come ti rubo la carta di credito con un click

Aprire l'estratto conto della propria carta di credito e vedere una serie di spese non effettuate non è mai un'esperienza piacevole. Sfortunatamente il mondo delle truffe bancarie non è una novità nata nell'epoca di internet, ma in questo periodo i criminali (informatici) hanno fatto grandi "passi avanti" da quando i raggiri avvenivano tramite assegni falsi o carte di credito clonate alla pompa di benzina.

Grazie all'ascesa della digitalizzazione di tutti i servizi – a partire dai semplici acquisti quotidiani fatti sui classici eBay, Amazon e quant'altro – per tutti noi è diventata la norma usare il nostro pc e il nostro smartphone per fare shopping, bonifici, pagare bollette, assicurazioni, etc… e con questo si è anche moltiplicato il numero di Criminal Hacker in agguato e pronti a prendere di mira queste nostre transazioni e letteralmente svuotare le nostre carte di credito. E, in maniera ancora più preoccupante, gli strumenti in loro possesso sono sempre di più e stanno diventando sempre più raffinati.

Un esempio? Abbiamo aggiunto i nostri prodotti preferiti al carrello del nostro e-commerce di riferimento. Ora è il momento di estrarre la carta di credito dal portafoglio ed effettuare il pagamento. Dato che il sito è sicuro e che qui abbiamo già fatto acquisti in passato, non ci pensiamo molto prima di inserire i dati della nostra carta di credito/debito durante il checkout. Ecco che i dati della nostra carta possono essere rubati. Come?

Questa tecnica utilizzata dai Criminal Hacker (chiamata in gergo Formjacking) è concettualmente quasi la stessa cosa della clonazione dei bancomat, l'unica differenza è che avviene online. Dopo aver inserito i dati della carta di credito o della carta di debito, quando un utente di un sito di e-commerce clicca su "acquista" o sul suo pulsante equivalente, un codice maligno iniettato da un hacker nel nostro negozio preferito raccoglie i dati della carta di credito dell'utente e li invia al server.

Una volta che l'aggressore ha i dati della nostra carta di credito, li può utilizzare direttamente per fare acquisti a titolo personale o, come sempre più spesso accade, li vende nel Dark Web (quella parte di internet "non rintracciabile" dove si aggirano i Criminal Hacker) ad altri aspiranti criminali per un prezzo che a volte non supera i 40 euro. E questo tipo di furto non è una minaccia di poco conto.

Secondo alcune recenti stime, gli attacchi di questo genere sono saliti alle stelle, in particolare grazie alle condizioni derivanti dalla Pandemia, con una media di oltre 5000 siti Web compromessi ogni mese.

Marchi popolari come British Airways, Ticketmaster, Newegg e Feedify e molti altri sono stati in passato vittime di questi attacchi, dimostrando come il fenomeno non sia oramai limitato ai piccoli siti, ma possa arrivare anche a colpire i colossi di tantissimi settori.Finte App
Ma i pericoli non si limitano ai soli siti web.

Grazie alla sempre crescente popolarità di Smartphone e tablet, adesso i Criminal Hacker hanno escogitato una nuova tecnica per prendere di mira le carte: le applicazioni fasulle. Infatti stanno fiorendo, anche negli store ufficiali, una miriade di app che non eseguono esattamente i servizi che pubblicizzano.

Usano nomi che sembrano legittimi, così che la gente venga ingannata a scaricarli, ma una volta installati sul dispositivo, possono fare molto male.Possono lanciare annunci pubblicitari sul vostro schermo, tracciare la vostra posizione, installare virus o utilizzare il vostro account per sottoscrivere servizi a pagamento senza il vostro consenso.

Per suscitare maggiore interesse da parte degli utenti, i cybercriminali vogliono che le loro false app siano il più possibile attraenti. Questo è il motivo per cui alcune potrebbero anche comparire con annunci pubblicitari non realistici che fanno leva su fantomatiche e miracolose funzionalità come la possibilità di hackerare l'account Facebook o Instagram di qualcuno o di sapere chi visita il tuo profilo.Il tutto nella speranza che attraverso queste app fasulle si riescano ad impossessare delle nostre carte di credito.

Alcuni cybercriminali, invece, passano dai canali ufficiali, rivolgendosi a Google Play. Questo perché il Play Store è aperto a chiunque si spacci per uno sviluppatore. Il Criminal Hacker non deve far altro che registrarsi come tale e, una volta fatto questo, può scaricare un'applicazione legale iniettarvi codice dannoso e ricaricarla sul Play Store. Semplicissimo. Non c'è bisogno di sviluppare app nuove e creative. E Google Play Store dovrebbe essere sicuro! Immaginate le applicazioni che si trovano su negozi di terze parti: sono infestate da app dannose e pirata. Ma facciamo un esempio concreto

Nel novembre 2017 è stato scoperto un nuovo tipo di virus nel Google Play Store. Questo malware si nascondeva nelle classiche app del solitario e delle torce. Una volta che un utente lo scaricava, il "solitario" prendeva di mira le app bancarie sul dispositivo creando finti campi in cui un utente ignaro inseriva i propri dati senza accorgersi di fatto di averli in questo modo inviati direttamente al Criminal Hacker.

Il malware ha preso di mira grandi nomi come Wells Fargo, Citibank, HSBC, Chase, ING e molti altri. Nonostante le severe misure di sicurezza adottate da queste app, l'attrazione di prendere di mira milioni di persone è stata più che la paura di essere scoperti.I criminali informatici sono in grado di prendere di mira gli utenti perché la gente non si rende conto che esistono app false. Secondo un recente sondaggio di Avast, oltre il 50% degli utenti non è in grado di capire se una app è falsa o meno. E i numeri confermano questa affermazione. Ad esempio, nel gennaio 2019, sul Google Play Store c'erano 9 app false che da sole facevano contare oltre 8 milioni di download.

La soluzione è l'attenzione

Il pericolo di trovarsi addebiti enormi sulla carta è reale e può spaventare, soprattutto se non si conosce cosa abbiamo davanti o come questo avviene.In realtà, come detto in precedenza, questo è solo la naturale evoluzione delle classiche truffe che magari coinvolgevano le banche 20 o 30 anni fa.

Ecco alcune precauzioni per difendersi da queste minacce:

• Evitate di acquistare da rivenditori di cui non avete mai sentito parlare. Mentre le grandi aziende possono essere violate, il rischio è maggiore quando si ha a che fare con un venditore sconosciuto;

• Utilizzate un software antivirus e tenete aggiornati i vostri sistemi. Installate gli aggiornamenti del software il prima possibile. Spesso includono importanti patch di sicurezza, e gli aggiornamenti antivirus includono informazioni sulle nuove minacce;

• Evitate di utilizzare il WiFi pubblico. Gli hotspot WiFi pubblici, compresi quelli che si trovano nei ristoranti e negli hotel, sono facilmente compromessi. Se proprio dovete usare il WiFi pubblico non eseguite transazioni finanziarie mentre siete connessi;

Per quanto riguarda le App:

• Visitate solo gli app store ufficiali. Anche se Google Play ha un problema di malware, è più sicuro degli app store di terze parti. Infatti, secondo Google, è 23 volte più probabile che si installi un'applicazione potenzialmente dannosa al di fuori di Play;

• Assicuratevi di essere sull'ultima versione del sistema operativo;

• Siate prudenti. Se l'applicazione richiede un numero eccessivo di autorizzazioni, potrebbe essere dannosa.Se abbiamo imparato a riconoscere gli assegni falsi, impareremo anche a riconoscere le app false, la chiave è sempre la stessa: massima attenzione e non abbassare la guardia!

Cybersecurity Director, Swascan

Info: www.swascan.com