Europa
Stanno per cominciare mesi di dura lotta sul fronte del phishing, almeno a giudicare dagli annunci che Microsoft, Interpol e European Internet Service Providers Association – EuroISPA (EuroISPA.org) hanno lanciato congiuntamente a Bruxelles proprio ieri, 20 marzo 2006.
A partire da giugno sul banco degli imputati in diverse corti europee finiranno proprio loro, i pirati informatici dediti alla pratica del phishing. Il fenomeno è ormai allarmante, almeno secondo le stime presentate da EuroISPA, +3829% la crescita delle attività di phishing per il settore finanziario e delle aste, e solo nel 2005. La diffusione di massa di Internet anche in nuovi Paesi europei – come le più volte citate Romania e Bulgaria – ha costretto a non poter più rimandare le azioni di concerto.
Questi i dettagli: a partire da giugno 2006 Microsoft sosterrà 100 azioni legali in tutta la regione EMEA (Europe, Middle East and Africa) contro quegli individui sospettati di aver perpetrato attività di phishing ai danni di ignari cittadini e aziende. Neil Holloway, President of Microsoft EMEA è convinto che quella della collaborazione sia l’unica strada possibile per far fronte al fenomeno. Di queste 100 azioni legali – il numero è simbolico ma consistente – già 53 partiranno alla fine di questo mese.
Il phishing è a livello internazionale riconosciuto come crimine informatico. È una pratica tesa a aggirare la fiducia dei navigatori invitandoli a lasciare traccia dei loro dati sensibili – username e password – a soggetti fraudolenti che fanno credere di essere una controparte fidata. In parole povere quando la vostra banca vi manda una mail chiedendovi di comunicare nuovamente i vostri dati, prima diffidate, controllate, e solo dopo tutti i controlli del caso agite (meglio se avete parlato con un funzionario della banca al telefono).
Diverso il tema delle punizioni, a cui durante la conferenza stampa congiunta non ha voluto o saputo rispondere nessuno dei presenti. Alla domanda: “when you identify bad guys, what’s next?” un velato no comment si è impadronito della sala gremita di giornalisti e manager di aziende più o meno interessate al fenomeno. Come Mastercard, eBay, l’Unione Europea, alcune aziende internazionali di telecomunicazioni.
Bernhard Otupal, Crime Intelligence Officer presso l’High-Tech Crime Unit al Segretariato Generale dell’Interpol, ha richiesto più collaborazione agli enti governativi anche a livello legislativo. Nuove realtà presentano infatti scenari legislativi molto disgregati – in cui è molto difficile operare – fino a arrivare a situazioni estreme dove la legislazione è praticamente nulla. I paesi in oggetto non sono stati espressamente citati, ma è chiaro che in situazioni limite anche il supporto alle polizie locali dato dall’Interpol potrebbe avere incisività ancora superiore.
I dati – recentissimi – presentati da Otupal sono ancora più allarmanti di quelli che circolavano sino a qualche settimana fa. Un rapporto della Semantic Web Security della scorsa settimana ha rilevato che durante l’ultima metà del 2005 i casi accertati di phishing sono stati 1.5 miliardi in tutto il mondo, con una punta di 6,5 milioni di attacchi giornalieri.
Questi attacchi sono molto difficili da investigare anche a causa delle tecniche adottate dai pirati che prendono di mira un sito, quasi sempre finanziario, e mantengono l’attacco in essere solo durante le ore più trafficate, per poi spostare l’attenzione verso altri obiettivi target. La velocità è tale che in un giorno si può arrivare a colpire anche istituzioni finanziarie appartenenti a paesi geograficamente lontani milioni di Km; distanze che Internet ci ha insegnato aver azzerato.
La Commissione Europea comunque non è stata a guardare e fin dal 2002 lavora a progetti coordinati tra istituzioni finanziarie, banche, singoli governi e Internet Service Provider per cercare di mettere un freno al fenomeno. Anche se un’azione contro 100 pirati sembra una goccia nel mare, quello di Microsoft è un messaggio chiaro sul fatto che comincia a esserci un’attenzione forte sul tema. È “cooperazione” la parola chiave che è stata più usata a Bruxelles!
Per approfondire:
Interpol activities versus phishing
Microsoft EMEA Programme “Global Phishing Enforcement Initiative (GPEI)”