Unicredit attaccata da Hacker: cosa rischiano clienti e consigli utili

Unicredit sotto attacco Hacker. D’altronde, i pirati informatici stanno dimostrando la loro capacità di affinare sempre di più le proprie tecniche per entrare nei sistemi di sicurezza di qualsivoglia database. Da quelli istituzionali ai siti più comuni, passando anche per gli istituti di credito. Generando così il panico tra correntisti e risparmiatori, i quali temono che i propri sacrifici finanziari finiscano nelle mani di malintenzionati pronti a prosciugarli.

Stando a quanto diramato ieri da Unicredit stessa, le violazioni ai dati sarebbero state due: la prima tra settembre e ottobre dello scorso anno e la seconda intrusione tra giugno e luglio di quest’anno.

L’accesso ai dati però è avvenuto mediante un partner commerciale esterno italiano della Banca. UniCredit ha subito informato le autorità competenti, mentre nella stessa mattinata di ieri ha formalizzato un esposto presso la Procura della Repubblica di Milano.

Il primo effetto negativo immediato è stato però un calo in Borsa di -0,7%. Ma cosa rischiano i clienti? Vediamolo di seguito.

Attacco Hacker a Unicredit: cosa rischiano clienti

Ma cosa è successo ai sistemi Unicredit? La Banca ha subito un’intrusione informatica nel nostro Paese con accesso non autorizzato ai dati di circa 400.000 clienti italiani. In particolare, riguardanti prestiti personali. La Banca ci ha tenuto subito a precisare però che nessun dato sensibile è stato volato, come password o altre credenziali di accesso.

Ciò quindi scongiurerebbe l’ingresso non autorizzato ai conti conti correnti dei clienti; o la possibilità che vengano effettuate transazioni non autorizzate. Inoltre, non c’è stato ingresso ai dati riguardanti saldi e movimenti dei conti correnti dei clienti, o dei loro deposito titoli. Nessuna violazione anche per quanto concerne carte di credito o debito Unicredit. Un accesso potrebbe invece essere stato possibile per quanto riguarda alcuni dati anagrafici e codici Iban.

I servizi di Unicredit ai clienti

In seguito all’attacco informatico, nella sua nota UniCredit, oltre ad informare i mezzi di comunicazione su quanto successo, aggiunge anche di aver messo a disposizione dei propri clienti il numero verde 800 323285. Appannaggio di quanti, giustamente preoccupati, vogliano ottenere maggiori informazioni dalla Banca in merito ai propri risparmi. Inoltre, i clienti possono comunque recarsi presso la propria filiale Unicredit di riferimento per parlare con un consulente di persona.

Comunque, l’Istituto di credito avrà premura di contattare i clienti interessati tramite canali di comunicazione specifici. Non saranno utilizzate mail o telefonate dirette, dalle quali la Banca invita a diffidare sempre per ragioni di sicurezza.

La Banca ha già parlato di recente del piano Transform 2019, mediante il quale ha messo in atto un programma massiccio di investimenti in sicurezza informatica per 2,3 miliardi di euro.

Cosa devono fare i clienti Unicredit

E’ tutto tranquillo quindi? Insomma. La Banca ovviamente rassicura i propri clienti e vuole calmierare le inevitabili perdite del titolo in Banca quando accadono questi fatti. Stando a quanto afferma al Corriere della Sera Pierluigi Paganini – già membro del gruppo di lavoro Cyber G7 presso il Ministero degli Esteri e attualmente Chief Technology Officer presso CSE Cybsec Enterprise SpA. – i pirati informatici potrebbero usare i dati anagrafici e l’IBAN come fa un ladro con un grimaldello per entrare in una casa o un una macchina. Infatti, secondo Paganini, «Il codice IBAN è il punto di partenza per qualsiasi attività fraudolenta».

In che modo potrebbero agire? Ad esempio tramite le campagne di Phishing, che vengono inoltrate tramite mail verosimili rispetto a quelle della Banca. Secondo Paganin, un cliente che si vede recapitare una mail che riporta il proprio codice IBAN, ovviamente tenderà a fidarsi. E dunque fare quanto gli viene richiesto.

E sul fatto che la Banca abbia escluso che i pirati informatici siano entrati in possesso delle chiavi d’accesso ai conti correnti dei clienti, Paganini ritiene che per quanto sia vero che questi malintenzionati non siano entrati in possesso di password e conti, potrebbero comunque utilizzare i dati anagrafici e IBAN al fine di raggirare i clienti ed ottenere da loro con false comunicazioni proprio questi dati.

Sempre appunto tramite le mail, poiché l’attacco Hacker è riuscito comunque a far entrare loro in possesso di alcuni dati confidenziali. Potrebbero ad esempio inviare loro una mail con un link che collega ad un sito fittizio identico a quello di Unicredit, dove verrà chiesto all’ignaro cliente di accedere tramite password.

Quindi la parola d’ordine che i clienti Unicredit devono seguire è: diffidate dalle mail!

Infine, Paganini sostiene che una Banca fa molto bene a rendere noto pubblicamente di aver subito un attacco da parte di Hacker, poiché ciò accresce la fiducia nei suoi confronti da parte dei clienti. I quali sanno così che in futuro saranno sempre tempestivamente informati. Infatti, se una Banca nasconde un attacco che poi emerge dopo tempo (e probabilmente più passa il tempo più diminuisce la credibilità agli occhi dei propri clienti) finisce per perdere fiducia da parte dei propri clienti. E subire un crollo in Borsa molto più pesante.

In realtà, le direttive europee impongono tra le norme sulla trasparenza, anche l’obbligo di mettere a conoscenza di attacchi Hacker i propri clienti. Chi non si attiene a tale disposizione, incorre in sanzioni fino al 4% del fatturato per le banche che non comunicano tempestivamente di aver subito violazioni dei propri sistemi. Va comunque detto che Unicredit in Italia è la prima Banca ad aver ammesso di aver subito un attacco da parte di Hacker.

Come però ammonisce il professor Andrea Rossetti, capo del Security Lab dell’Università Bicocca, già nel 2016 la Banca centrale europea preannunciava la creazione di un database per registrare e classificare episodi di criminalità informatica presso le banche dei Paesi aderenti all’Euro. Tuttavia, trascorso un anno, non è stato ancora fatto nulla a riguardo. Eppure, gli attacchi Hacker sono sempre dietro l’angolo e i tanti episodi degli ultimi anni ci insegnano che nessuno può sentirsi immune dal problema.

Attacchi Hacker alle Banche più gravi che in altri settori

Un attacco Hacker rivolto ai servizi online di banking ha conseguenze molto più pesanti che in altri settori. A dirlo è una indagine condotta dall’istituto Kaspersky Lab. Infatti, costa in media ad una Banca circa 1 milione e 800mila dollari. Con punte di quasi un milione di dollari in più rispetto ad altri settori. Praticamente quasi il doppio rispetto agli investimenti per rimettere le cose a posto dopo un attacco malware; il che in genere supera gli 800 mila dollari. (825mila dollari). Kaspersky Lab ha anche sottolineato come i servizi di Home banking delle banche non siano ancora adeguatamente protetti. Eppure sono tra le vittime preferite degli Hacker.

Vale a dire tutte quelle informazioni che consultiamo comodamente dal Pc di casa o su dispositivo mobile (smartphone o tablet) per consultare il saldo, effettuare bonifici e fare giroconti bancari. Il danno economico come visto nettamente superiore a quello di altri settori, non va attribuito solo al fatto che in questo caso si ha a che fare con i soldi. Ma anche perché un attacco Hacker ad un servizio di Home banking comporta altresì:

  • perdite di dati,
  • un duro colpo alla reputazione dell’Istituto di credito che ha subito l’attacco e che può essere ritenuto poco sicuro con tanto di fuga dei clienti o investimenti massicci (il danno all’immagine di una Banca che ha subito un attacco Hacker è quantificato nel 36% in meno di credibilità),
  • il furto di informazioni confidenziali.

Sono inquietanti i dati diramati dal gruppo assicurativo Lloyd’s, secondo il quale un attacco ad opera di Hacker che riesca a bloccare i servizi di pubblica utilità potrebbe causare un costo che superi i 120 miliardi di dollari a danno dei governi e delle aziende. Un costo che i primi dovranno sostenere come fanno in caso di disastri naturali (negli Usa possono essere ad esempio i casi degli Uragani Katrina o Sandy, mentre in Italia i terremoti che stanno flagellando il Centro). Eventi naturali dove esiste sicuramente la corresponsabilità dell’uomo, il quale non ha realizzato edifici adeguati contro questi eventi (di fatto i casi di cronaca ce lo dicono ogni volta), mentre nel caso di un cyber attacco le responsabilità riguardano la prevenzione di tali attacchi. I quali spesso non hanno solo lo scopo di entrare in possesso dei risparmi dei clienti, quanto soprattutto di destabilizzare i governi attaccando le infrastrutture informatiche statali.

Si pensi al recente virus informatico WannaCry, capace di mettere in ginocchio ospedali, istituzioni finanziarie e compagnie di telecomunicazione di ben 99 Paesi in tutto il mondo. Tra cui il nostro e le super potenze storiche o emergenti quali Russia, Stati Uniti, Cina e India. Sempre lo storico istituto assicurativo Lloyd’s ha quantificato in 53 miliardi di dollari il costo medio per il ripristino delle infrastrutture di cui si necessita dopo un attacco cyber di media portata. Infatti, si va da un minimo di quindici miliardi di dollari fino a 121 miliardi. Non a caso, secondo Inga Beale, amministratore delegato della società: «Le compagnie assicurative dovrebbero considerare la minaccia informatica al pari delle più tragiche calamità naturali». Il servizio cloud, di archiviazione virtuale, sarebbe quello più a rischio di tutti.

Truffe al bancomat: i numeri

Seppur a rilento rispetto ad altri Paesi, anche in Italia si usano sempre più le carte per le transazioni: fare la spesa, pagare alla posta, fare benzina, e via discorrendo. Così come, sebbene ancor più a rilento, stia aumentando l’e-commerce. Vale a dire gli acquisti online fatti sempre tramite carta.

È l’aumento delle truffe sulle carte. Lo scorso anno le carte degli italiani frodate sono state circa cento mila. Migliaia sono stati gli italiani che hanno denunciato operazioni non autorizzate sulle loro carte ricaricabili e di credito, oltre che sulle carte bancomat. Tuttavia, aumentano di contro anche i dati positivi: le frodi attuate nel 2016 sono state minori del 6% rispetto al 2015. Inoltre, solo in un caso su dieci la carta è stata messa fuori uso da parte del malintenzionato di turno entro i primi 12 giorni.

I dati ci dicono anche che se nel 50% le truffe sono stare limitate a un solo episodio, in buona parte dell’altra metà si sono verificate 6-7 frodi. In genere, gli importi usurpati dalla carta sono stati mediamente di 700 euro, anche se nella metà dei casi l’importo frodato non ha superato i 400 euro. Mentre nel 90% dei casi l’importo è inferiore ai 1.500 euro. Le carte di credito clonate vengono poi rivendute a soli 3 dollari l’una e riguardano carte Visa, MasterCard, American Express e Discover. Purtroppo però, spesso insieme alla carta si vendono anche i documenti del titolare della carta, il numero di previdenza sociale e altri dati che possono essere utilizzati per dimostrare l’identità della vittima in caso di frodi telematiche.

Tutte le frodi alle carte di credito

Ma come vengono rubati i dati? Gli strumenti più utilizzati per le frodi restano i dispositivi “skimmer”. Le frodi avvengono soprattutto all’estero, mentre sono in calo i sistemi che spiano le carte, quelli che per intenderci vengono impiegati nei prelievi allo sportello o nei pagamenti con il POS nei centri commerciali o negozi a dettaglio. Talvolta si utilizzano dei sistemi sotto il tastierino dove inserire il codice PIN, al fine di captarlo.

I cybertruffatori utilizzano anche sistemi più rudimentali, come raccogliere gli scontrini delle carte di credito gettati dopo un acquisto, oppure le ricevute rilasciate dagli sportelli bancomat, al fine di poter reperire informazioni utili. Talvolta, nella fessura da cui fuoriescono le banconote viene inserito un piccolo oggetto di metallo che le blocca all’interno dello sportello. Così, mentre il povero cliente si allontana per segnalare la cosa all’istituto di credito, il malintenzionato si avvicina per recuperare le banconote.

Cosa fare se propria carta clonata

Le carte di credito solitamente prevedono anche un servizio che avvisa di acquisti o prelievi da sportelli via Sms. Se il servizio non è automatico, si consiglia di attivarlo, in modo da accorgersi di movimenti strani. In tal caso, contattare subito la vostra Banca o Poste Italiane per far bloccare la carta usurpata.

Dopo constatare tutte le spesa fatte tramite la carta per individuare eventuali attività fraudolente. Sarà possibile richiedere il rimborso dei soldi sottratti illecitamente mediante un modulo che di solito è disponibile sui siti del vostro istituto di credito o recandovi agli uffici fisici. Ci sono però delle Banche che lo fanno di propria spontanea volontà, contattando telefonicamente il cliente quando notano strani movimenti, come quelli dall’estero o su siti sospetti o se un’operazione viene tentata più volte.

Occorre dire che il vero successo di chi froda le carte non è tanto il rientrare in possesso di denaro altrui (tranne ovviamente i casi di cospicue risorse finanziarie). Quanto il furto dei dati ad essa associata. Occorre infatti sapere che i dati rubati relativi alle carte di pagamento sono tra le merci più richieste dal mercato nero del web. Si pensi quindi a carte d’identità e codici fiscali, che diventano autentici “pass partout”. Nell’attesa che il proprio Istituto di credito ci dia una nuova carta, esso metterà a disposizione dei propri clienti frodati anche carte ricaricabili; generalmente rilasciate in tempi abbastanza brevi. Così da non restare completamente privi di carte.

Come difendersi da truffe

I consigli per non farsi truffare sono semplici accorgimenti che però possono evitare grossi guai. Ad esempio, osservare bene i Pos e diffidare se il negoziante li abbia un po’ nascosti o passi dentro la carta più volte. Meglio prelevare contanti dagli sportelli interni delle banche. Non prestare la propria carta a nessuno. Non buttare via troppo facilmente gli scontrini o le ricevute di acquisti o prelievi fatti con la carta. Potrebbero essere utilizzati dai malintenzionati per risalire ai propri dati. Fare acquisti online solo su siti rinomati e sicuri (come eBay, Amazon e Aliexpress). Diffidare sempre dalle comunicazioni via mail che richiedono accesso ai propri dati. In genere le banche telefonano direttamente il cliente o inviano lettere tradizionali per comunicazioni importanti.

LEAVE A REPLY