Alberto Bartoli - Blog

Negli scorsi mesi si sono verificati molti eventi di sicurezza informatica estremamente importanti. Mi ero ripromesso di analizzarli in questo blog, ma rimando continuamente perché non riesco mai a trovare il tempo e la tranquillità necessarie---le implicazioni di questi numerosi eventi sono davvero molte e molto profonde. Nei giorni scorsi si sono però verificati altri eventi che non posso fare a meno di citare, anche se non ho il tempo di commentarli. Un gruppo di criminali ha effettuato una truffa informatica su larga scala. L'aspetto importante non è il fatto in sè e per sé e neanche l'entità della truffa (alcune centinaia di milioni di euro), bensì le sue modalità. Gli attaccanti hanno penetrato i sistemi interni della banca, collegandosi per molti giorni durante gli stessi orari dei dipendenti in modo da non generare anomalie di accesso. Hanno effettuato operazioni fraudolente cancellandone subito dopo gli effetti dai log e dagli estratti conto. Hanno fatto uscire 7 ...

Attackers have pulled off a lucrative raid on a single bank stealing half a million euros in a week, Kaspersky researchers say. The crims stole between €17,000 and €39,000 from each of 190 Italian and Turkish bank accounts, with a single continuous attack. Voi fate pure cosa vi pare... Notizia completa:  http://www.theregister.co.uk/2014/06/26/half_a_imeellioni_euros_stolen_in_weeklong_bank_smash_n_grab/

...o in libreria, o in pizzeria, o dal gommista, o dal meccanico, o dal negozio di articoli sportivi, etc. Basta leggere questo avviso dello "United States Computer Emergency Readiness Team" per rendersene conto: In sostanza, sono in giro dei malware diretti ai POS, cioè alle macchinette di pagamento in cui si infilano i bancomat e le carte di credito. Non è sorprendente, era solo questione di tempo. Le motivazioni alla base di questi attacchi (vantaggio finanziario potenzialmente enorme) sono troppo forti per sperare che nessuno ci riuscisse. Per gli utenti delle macchinette (cioè chi paga) l'unica difesa suggerita è quella di cambiare frequentemente il PIN (sinceramente non so se e come sia possibile cambiare il PIN di un bancomat). Da notare che le carte di credito limitano i danni ad una certa quantità massima, mentre i bancomat sono potenzialmente più pericolosi in quanto sono collegati al conto bancario. Per Una cosa interessante sono le soluzioni suggerite...

E' appena uscita una notizia secondo me importantissima ma che, ancora secondo me, passerà del tutto inosservata. Hacking attacks present a bigger risk to the operation of UK banks than problems caused by the ongoing eurozone crisis, according to a senior Bank of England director. Andrew Haldane, the Bank of England's director of financial stability, told parliament's Treasury Select Committee that representatives of Britain's top banks are telling him that cyber attacks have become their biggest threat over recent months. Rileggere lentamente, un paio di volte. Impossibile esprimerlo in modo più chiaro e più diretto. Fonte:  http://www.theregister.co.uk/2013/06/13/hackers_biggest_banking_threat/

Lasciatemi dire che è una piccola soddisfazione...nonché un altro esempio di  sfera di cristallo . Pochi giorni fa  hanno accettato un nostro lavoro ad una importante conferenza internazionale di sicurezza informatica: we developed a methodology for detecting fraudulent pages within trusted sites , that is, pages created by attackers within web sites of trusted organizations and placed at URLs at which no page is supposed (by the administrators of those sites) to exist.  ... The problem is highly relevant for many reasons, including: HTTPS does not provide any defense in this respect (the fraudulent pages are hosted on sites that, from HTTPS point of view, are authenticated and with content integrity); Pochi minuti fa, un grande Internet provider inglese, probabilmente il più grande provider al mondo, ha pubblicato un  blog post  in cui informa che sul sito della Polizia della Malesia è in corso un attacco di phishing  proprio del genere indica...

sono un suo studente del corso di Reti I e la crittografia mi ha sempre affascinato. Credo che sia un mondo parecchio vasto e purtroppo in rete si trovano un sacco di informazioni sparse.  Visto che oggi a lezione abbiamo ne abbiamo accennato vorrei chiederle se può consigliarmi dei testi, oppure uno in particolare, di riferimento sul quale iniziare a studiare (o approfondire) questi aspetti.  Per iniziare ad approfondire, questo è un ottimo testo disponibile online (molto interessante ma secondo me non scritto in modo "scorrevole"): Security Engineering — The Book L'autore è Ross Anderson, dell'Università di Cambridge. E' una persona che certamente le banche di mezzo mondo vorrebbero rinchiudere da qualche parte buttando via la chiave. Non perché sia un ladro, ma perché è quello che ha dimostrato che: Le truffe via Bancomat esistono veramente---prima le banche ne negavano l'esistenza, dicendo "hai scritto il PIN su un foglietto e te l...

La notizia riportata qui sotto descrive in modo interessante un dato di fatto ben noto: Il vero problema non è prendere il controllo di un conto corrente; il problema è riuscire a spostare i soldi senza generare trasferimenti anomali. Da un altro punto di vista: il vero problema non è superare le difese tecnologiche dell'Internet Banking; il problema è superare i controlli tradizionali, effettuati in background e a posteriori. Il che dice molto sulla vera natura delle tecnologie moderne per la sicurezza informatica. Organized hackers in Ukraine and Russia stole more than $1 million from a public hospital in Washington state earlier this month. roughly $133,000 of the lost funds have been recovered so far,.... ...the attack occurred on Apr. 19, and moved an estimated $1.03 million out of the hospital’s payroll account into 96 different bank accounts,...  ..."Take the $9,180 just deposited into his account and send nearly equal parts via Western Union and ...

"Internet voting is harder than almost any other kind of activity on the internet including banking – and the only reason we can do banking and other activity online is because of cross-checks and the willingness to accept a level of fraud that’s not possible with voting" Jeremy Epstein

... sottratti dal "bellissimo" malware che opera sui PC ed intercetta i codici di autorizzazione alla transazione inviati via SMS: mi chiedo spesso come facciano i nostri telegiornali a non parlare di queste faccende. 16 delle banche coinvolte sono italiane (40% del totale) 12000 utenti ai quali è stato sottratto del denaro sono italiani (39% del totale) 16.380.000 (sedici milioni e trecentoottantamila) euro che si sono volatilizzati sono di italiani (45% del totale) Siamo primi in tutte le tre classifiche. Germania al secondo posto e Spagna al terzo posto. Fonte: "A Case Study of Eurograbber: How 36 Million Euros was Stolen via Malware"  (spiega molto bene ed in modo molto semplice il funzionamento di questo malware).

Dal Corriere della Sera , che riporta una notizia del Financial Times : Oltre 36 milioni di euro, sui conti di 30 banche europee. Una cifra da capogiro. Rubata da un gruppo di hacker anche di clienti italiani... questa frode ha sfruttato un ... virus che rimaneva inizialmente dormiente sui PC degli utenti, e da lì si trasferiva sui loro smartphone....avendo infettato entrambi i terminali, poteva registrare i codici di verifica che venivano inviati sui cellulari e utilizzarli per creare una sessione di online banking in parallelo . Con quest'ultima venivano effettuati trasferimenti su altri conti. Neanche due settimane fa ho fatto un post su  queste cose (no, io non c'entro con questa truffa...).

Tra i molti temi molto interessanti che non analizziamo c'è tutto il mondo della sicurezza dei circuiti di pagamento (ATM, bancomat e simili). Riporto di seguito qualche fatterello recentissimo ed interessante. Soprattutto in quanto dimostrazione (spero a questo punto inutile) delle cose dette più volte a lezione: I problemi pratici nascono da errori di implementazione/configurazione; gli attacchi sono spesso limitati da ciò che l'attaccante trova conveniente fare, non tanto da ciò che può fare; gli attacchi man-in-the-middle sono fattibili e particolarmente pericolosi; al tempo X tutti dicono "questo attacco non è realistico" e poi al tempo Y>X si scopre che non è vero; nei rapporti con le banche il cliente è responsabile "a prescindere"; la crittografia non garantisce un bel nulla di per sé; le applicazioni di smartcard e simili si basano su dispositivi fidati per definizione, ma che nella pratica possono essere controllabili...