Sim SWAP: come ti vuoto l'home banking
E'la truffa del momento con cui oltre a rubarti l'identità di svuotano il conto corrente, vediamo in cosa consiste. L'attacco SIM SWAP è conosciuto fin dal 2016, ed inizia con l'ottenere una SIM duplicato della vittima.
Cosa ci facciamo con una SIM? tutti i sistemi di autenticazione a 2 fattori (2FA), da Facebook, Instagram, Linkedin, fino a G-Mail usano il cellulare come sistema di verifica dell'identità del soggetto. Questo significa che se dimenticate la password di Facebook, di G-Mail, o dello SPID potete richiedere il recupero o il reset della password dal sito, Facebook ad esempio, mediante una procedura che vi farà arrivare un SMS con le istruzioni per il recupero o il reset. Queste informazioni arriveranno solo sulla SIM duplicata, non su quella della vittima che sarà sconnessa dalla rete e quindi non avrà alcun avvisaglia.
Chi dovesse entrare in possesso di un duplicato della vostra SIM avrebbe certamente la possibilità di accedere a tutte le vostre identità digitali, gli basterà conoscere il vostro account per ottenere il reset/recupero password mediante il numero cellulare per, impersonare a pieno titolo le vostre identità digitali, e magari cambiando password vi impedisce pure di rientrare a gestire Facebook, Instagram, SPID, o G-Mail.
Lo scenario non è certo di più sereni ma questo cosa c'entra con il rischio di avere l'Homebanking svuotato? e come mai è possibile visto che ormai tutte le banche hanno le App e comunicano quasi essenzialmente con quelle??? A dire il vero mandano anche gli SMS ma costa 15c ognuno... mentre il pop-up dell'App è gratuito, quindi tutti preferiscono usare l'App.
Dimenticavo, una volta le banche avevano i Token.....solo ultimamente hanno sostituito/obbligato tutti a passare dal Token all'App.
Ritorniamo alla nostra SIM SWAP, iniziamo col dire che i dati di connessione alla banca possono essere rastrellati mediante malware creati ad hoc per una o più banche, ma come abbiamo visto prima conoscendo il vostro account è possibile accedere ai vostri account Google, Apple, Facebook e recuperare da questi i vostri dati bancari, etc.. con la tecnica prima descritta, il malfattore ha una visibilità completa di tutto quello che avete fatto: cronologia navigazione, preferiti, etc.. gli sarà quindi sufficiente installare l'App della vostra banca, e censire un nuovo dispositivo., il suo cellulare con il duplicato della vostra SIM, mediante l'SMS che la banca manderà al numero del titolare del conto per verificare che sia il legittimo attivatore di un nuovo dispositivo.
Messaggio arrivato e .... bingo! il malfattore ha censito il suo cellulare suol vostro Homebanking e quindi ora può accedere, come fosse voi o un vostro familiare, al vostro conto, che naturalmente provvederà a svuotare in 2,3, 4 bonifici per non incappare nei controlli antiriciclaggio. Naturalmente bonifici diretti verso paesi con una legislazione "compiacente" al suo obiettivo.. Non conosco la legge Spagnola, ma certamente mi capita di riscontrare come questi bonifici siano tutti diretti in Spagna...
Naturalmente tutto questo succede nel tardo pomeriggio, magari di un venerdì o di un ponte, in modo che la vostra SIM sia spenta, attivata la copia del malfattore. Inoltre dal momento che ha censito come legittimo il suo dispositivo voi non riceverete alcuna notifica delle operazioni....pensate, addirittura la banca chiede al malfattore il PIN per autorizzare i bonifici.... , ma è proprio possibile che non si sia accorta di niente???
In tutto questo meccanismo, ci cono delle gravi responsabilità, a partire dal gestore telefonico che spesso con troppa facilità fornisce un duplicato della SIM, ma anche da parte della banca, che si fida di un SMS per censire un nuovo dispositivo e non attua alcun controllo antifrode: basterebbe usare le funzioni di geo-localizzazione e fare un profiling del tipo di operazioni svolte per capire che i bonifici disposti con buona probabilità non sono "legittimi"
Ma c'è modo di incastrare il "ladro"? Direi in generale si. Infatti tutto le azioni che il malfattore ha messo in atto lasciano tracce indelebili sui sistemi a cui si connette. Acquisendo i dati di accesso alle varie piattaforme, e correlandole fra loro, sarà possibile individuare il malfattore e documentare la frode fatta ai vostri danni.
Se è pur vero che il malfattore lascia tante tracce è anche vero che lo fa su sistemi di vari gestori, che hanno legislazioni anche diverse dalla nostra, e quindi potrebbero tenere i dati di accesso per poco tempo. E' fondamentale in questi casi procedere con tempestività ad acquisire in modalità forense, mediante un consulente informatico forense, i dati di accesso da tutte le piattaforme contattate in modo che possano essere usate in giudizio. l'adozione di metodologie scientifiche di digital forensics di acquisizione delle prove, la redazione di una perizia informatica che a partire dai dati di accesso spiega come si è sviluppata la truffa, permettono di fornire in sede giudiziaria, ma anche nel confronto con la banca, un quadro probatorio fondato su elementi oggettivi e verificabili.