Italia
E’ di questi giorni la notizia di un nuovo attacco ai sistemi di banking online che, partito dall’Italia, ha coinvolto 30 mila conti bancari in Europa sfruttando, per la prima volta, gli smartphone (Leggi articolo Key4biz). L’attacco è stato identificato ad agosto da Check Point e Versafe. Come mai la notizia è trapelata solo ora? come difendersi da questi virus sempre più minacciosi. Ne abbiamo parlato con David Gubiani, Technical Manager, Check Point Software Italia.
K4B. Qual è la ‘novità’ di Eurograbber. In che modo si differenzia dal precedente attacco High Roller?
Gubiani. La novità di Eurograbber è il fatto di utilizzare due infezioni separate per perpetuare una singola frode, ovvero infetta sia il “PC” che il mobile device per ogni singola frode.
Rispetto ad “Operation High Rller” sfrutta un meccanismo differente, ma soprattutto si rivolge a un’utenza Consumer.
K4B. Il trojan bypassa anche i metodi di autenticazione considerati sicuri. In che modo?
Gubiani. Compromettendo il browser del cliente, intercettando gli SMS di autenticazione di secondo livello ed effettuando l’attacco direttamente dalla macchina e dal browser dell’utente, rendendo agli “occhi” del sistema di On line Banking molto difficile comprendere se l’operazione è lecita o illecita o meglio se è effettuata dall’utente in carne ed ossa o da un “malware”.
K4B. Come difendersi?
Gubiani. Lato Banca, adottando sistemi anti frode adeguati ed implementando sistemi di autenticazione addizionale.
Lato End user aggiornando costantemente il proprio sistema, implementando un Anti-Malware, attivando tutti i possibili alert messi a disposizione della banca (alert ad ogni transazione) in modo da capire subito se qualcosa di anomalo è in corso, ma sopra tutto migliorando la propria cultura informatica e navigando su internet con attenzione.
K4B. E’ possibile sapere quanti utenti italiani sono stati coinvolti?
Gubiani. Purtroppo non ho a disposizione questo dato specifico. Le banche colpite in Italia sono state 16, rispetto a 7 in Spagna, 6 in Germania e 3 nei Paesi Bassi. Il numero dei conti bancari toccati complessivamente in Europa è stimato in 30 mila.
K4B. L’attacco è stato scoperto ad agosto. Come mai la notizia è trapelata solo ora?
Gubiani. L’infrastruttura che viene utilizzata per portare a termine un attacco di questo tipo è estremamente complessa e adeguatamente mascherata, una volta scoperto l’attacco serve un’attenta analisi per svelare tutta la struttura ed essere in grado di effettuare le dovute azioni di contrasto.
K4B. Come si pongono le banche davanti all’escalation di queste minacce?
Gubiani. Le banche ovviamente non stanno a guardare, l’esposizione di servizi quali l’on line banking comporta dei rischi che le banche conoscono e tengono in seria considerazione dotandosi di strumenti di “Anti Frode” e sopra tutto fornendo una serie di informazioni e “best practice” ai propri clienti per ridurre al minimo l’esposizione a rischi.
Tutti oramai hanno capito che è necessaria una strategia di sicurezza che includa anche gli utenti finali nel processo attraverso l’educazione oltre che agli strumenti informatici di protezione.
K4B. Le tecniche di ‘social engineering’ sono sempre più usate dai criminali informatici. Quanto pesa la scarsa attenzione alla sicurezza degli smartphone?
Gubiani. In questa fase in cui la proliferazione degli smartphone ha subito delle impennate da capogiro, la scarsa sicurezza conta moltissimo, anche se la nostra convinzione è che ci sia un problema a monte, ovvero la scarsa attenzione generale che gli utenti hanno navigando su internet.
K4B. In cosa consiste il ‘malware as a service’ che rende così semplice condurre un attacco?
Gubiani. Oltre a guadagnare rubando, la criminalità informatica si è trasformata anche in “produttore” di sistemi di attacco on demand.
Esistono delle vere e proprie strutture di SaaS, ovvero dei cruscotti pre-configurati , tramite i quali si possono acquistare tutti gli strumenti (che sono ovviamente on-line) per effettuare un attacco, si paga per utilizzo (durata), per dimensione (quantità, mole dell’attacco) e per tipologia di attacco, senza avere necessariamente una cultura tecnica.
Addirittura esistono dei veri e propri menù/listini prezzi con la possibilità di avere anche il supporto tecnico.