Il report CERTFin “Sicurezza e frodi informatiche in banca” indica un decremento del 40% nelle transazioni anomale e del 58% del controvalore delle frodi andate a segno. Tuttavia non bisogna abbassare la guardia ed è bene diffondere consapevolezza sulle tecniche più in voga tra i cyber criminali.
Nonostante le banche italiane abbiano implementato sofisticati sistemi per rilevare e prevenire frodi informatiche, la problematica delle transazioni fraudolente persiste in misura significativa. La continua ricerca di nuove tecniche da parte dei frodatori per ingannare le proprie vittime rende il tutto più complicato. Nel 2021 grazie alla collaborazione tra banche sono stati recuperati ben oltre 14 milioni di euro derivanti da transazioni fraudolente, ma la percentuale di transazioni fraudolente effettive rimane ancora alta. Quasi l’80% delle frodi realizzate tramite canali digitali nel corso del 2021 ai danni della clientela Retail, inizia con la ricezione da parte della vittima di una chiamata telefonica o di un SMS. Nel 44,2% dei casi identificati i frodatori utilizzano la tecnica dello Spoofing che permette loro di mascherare il numero originatore di una chiamata con una numerazione fittizia. Questa tecnica, conosciuta anche come Vishing, oltre che essere ampiamente utilizzata dai frodatori è particolarmente efficace quando realizzata mediante tecniche di Spoofing. Sono infatti innumerevoli i casi di frode in cui il frodatore si spaccia per la banca della vittima e convince il titolare del conto corrente a rivelare le proprie credenziali bancarie e codici dispositivi. Un’altra tecnica è quella dell’invio di SMS con ALIAS, stringhe utilizzate per identificare il mittente di un SMS, i quali sono però utilizzati in modo illecito. I frodatori contattano le proprie vittime per mezzo di SMS (Smishing) solo apparentemente provenienti dalla propria banca. I destinatari dei messaggi sono quindi invitati a cliccare su un link che rimanda ad una pagina di phishing e a fornire le proprie generalità, il numero di telefono per essere ricontattati telefonicamente e a volte anche le credenziali bancarie. I frodatori, dopo un primo contatto con la vittima, impiegano varie tecniche per finalizzare la frode. Il 56,6% delle frodi realizzate nel 2021 ai danni della clientela Retail sono state finalizzate attraverso la manipolazione dei titolari dei conti correnti. Nella maggior parte dei casi i frodatori si fingono operatori di sicurezza della propria banca e, facendo leva su fantomatici accessi anomali al conto della vittima, la convincono a spostare somme di denaro su conti correnti “più sicuri”. Sono ovviamente conti aperti dai frodatori o, molto spesso sono di utenti che si prestano ad attività illecite. Negli ultimi anni l’utilizzo di malware ed in particolare quello dei Banking Trojan, strumentali per la realizzazione di frodi, ha subìto un’impennata. Non a caso, il 26,8% delle frodi registrate nel 2021 sono state realizzate mediante l’utilizzo di malware. I Trojan bancari nel corso del tempo sono evoluti, soprattutto quelli progettati per i dispositivi mobili. Gli sviluppatori dietro tali applicazioni malevole hanno iniziato ad implementare nuove funzionalità di controllo remoto per ottenere il controllo del dispositivo infetto, in grado anche di intercettare SMS e sostituire il beneficiario di un pagamento in tempo reale. La lotta per il contrasto alle frodi è piena di ostacoli, soprattutto se a combatterla si trovano i soli prestatori di servizi di pagamento. La quasi totalità delle frodi avviene sfruttando vulnerabilità intrinseche del canale di telecomunicazione, mezzo che è completamente al di fuori del controllo delle nostre banche. Alla luce di tale scenario, è evidente che sia necessaria una stretta collaborazione tra gli operatori del settore delle telecomunicazioni e quello bancario volta a proteggere i correntisti. Di ciò ne è ben consapevole AGCOM, autorità garante del settore delle Telecomunicazioni, che ha istituito un Comitato Tecnico per la Sicurezza delle Comunicazioni Elettroniche. La maggior parte delle frodi bancarie online andate a buon fine sono realizzate mediante la manipolazione dell’utente, cioè convincendo la vittima a fornire le proprie credenziali bancarie e codici OTP così come a installare malware o disporre bonifici direttamente sui conti correnti dei criminali o di money mule. Il problema di fondo è una mancanza di conoscenza nell’utilizzo sicuro dei canali e strumenti online da parte degli utenti. Ormai è risaputo, nessuna banca vi contatterà chiedendovi codici personali perché la banca conosce già le vostre credenziali. È necessario quindi aumentare la consapevolezza e sensibilizzare gli utenti ad un uso informato e sicuro di strumenti e canali digitali. Anna Ammanniti
