Florida, nasce il crack'n'phish

Miami (USA) – Capital City Bank, Wakulla Bank e Premier Bank sono i nomi di tre banche che entrano a pieno titolo nella nera storia del phishing : per la prima volta gli autori di una truffa ai danni degli utenti di web banking, sono riusciti nell’intento craccando i siti bancari . Una volta dentro hanno re-diretto gli utenti verso siti fasulli, dove questi hanno inconsapevolmente lasciato i propri dati, aprendo così la via alla sottrazione di denaro.

Questo nuovo episodio, riportato inizialmente da un blog americano, sta sollevando com’è comprensibile grande attenzione e viene vissuto come una dimostrazione dell’ escalation nel mondo delle truffe web.

La cronaca riferisce che i criminali sono riusciti ad accedere ai due server che gestiscono i siti dei tre istituti di credito e che sono ospitati da un service provider locale, ElectroNet : una volta “dentro” non è stato difficile portare la URL ufficiale dei tre siti su spazi web che in tutto e per tutto assomigliavano alle home page ufficiali delle banche. “Questo nuovo scam – riporta il blog – è come il phishing ma senza il passaggio intermedio dell’email”. L’unico aspetto “positivo”, per così dire, di questa azione è il fatto che l’ISP coinvolto ha potuto accorgersi rapidamente del problema ed agire: pare che il re-direct sia andato avanti per circa un’ora .

Secondo Bob Breeden, cybercop del Dipartimento di polizia della Florida, questa è la prima volta che i phisher ricorrono ad un’azione del genere: “Hanno creato un modo per distruggere la sicurezza che dava il digitare l’indirizzo web della propria banca. Ora dobbiamo occuparcene e spiegarlo alla gente”.

La facilità con cui l’azione compiuta in Florida può tradursi in ammanchi a ripetizione sui conti degli utenti, ricorda da vicino quanto sta succedendo anche ad utenti italiani a causa della diffusione di worm che fanno spoofing dell’utente su siti fraudolenti . Come racconta Anti-Phishing Italia , “quando digitiamo il nome di un dominio nel nostro browser, il protocollo IP interroga il DNS per conoscere il corrispondente indirizzo IP; ma prima di far questo controlla il file HOSTS per verificare la presenza di tale indirizzo: se è presente, si collega automaticamente. A sfruttare questa vulnerabilità per rubare i numeri dei conti correnti on-line ci ha pensato il worm PWS-Banker.y e le sue varianti, prendendo di mira importanti servizi di home banking tra cui Banca Intesa, Banca Lombarda, Csebanking, BYBank di BancaAntonveneta, Credito Cooperativo e Banca Sella”.

Proprio su una ampia truffa condotta ai danni degli utenti italiani si sta muovendo la Procura di Milano che nelle scorse ore ha chiesto il giudizio con rito immediato per i due cittadini dell’est europeo che gli inquirenti ritengono parte di una delle maggiori organizzazioni internazionali dedite al phishing e che sono stati arrestati lo scorso gennaio .

Gli inquirenti ritengono che i due siano parte di una imponente organizzazione internazionale specializzata nelle truffe online. Un gruppo che aveva sviluppato una rete di società fittizie con cui ha cercato, talvolta riuscendoci, di raggirare utenti e utilizzarli come “financial manager”: intestatari di conti correnti bancari che “prestano” il proprio conto per far transitare denaro che in molti casi non sanno essere frutto di frodi. Una tipologia di truffa già descritta nei dettagli da Punto Informatico e che sta conoscendo una notevole diffusione, spesso alimentata da trojan e keylogger realizzati ad hoc.

Gli arresti realizzati dal Gruppo Repressione Frodi della Guardia di Finanza di Milano si legano proprio a questa attività: dallo scorso dicembre i due erano infatti giunti in Italia, sostengono gli inquirenti, per aprire una serie di conti bancari e rastrellare i soldi derivanti dalla truffa. Denari che sarebbero poi stati trasportati fisicamente all’estero.

L’organizzazione scoperta dalle Fiamme Gialle, commentano ora gli esperti che hanno seguito il caso interpellati da Punto Informatico, indica anche i termini di una ulteriore evoluzione del phishing .

Una possibile soluzione contro le frodi bancarie che ne derivano sono le cosiddette One Time Password , o OTP, ossia quegli strumenti che cambiano password ad ogni transazione, magari a tempo e senza dare la possibilità all’utente di conoscere le password successive. Ci sono paesi, come l’Olanda, dove sono già molto diffusi.

Altra cosa che viene sottolineata è la necessità della collaborazione degli utenti. Se in Italia, come in molti altri paesi, sono attivi team delle forze dell’ordine dedicati a reprimere questo genere di truffe, ed è inutile quindi bombardarli di segnalazioni, l’utente può comunque segnalare, ad esempio a Netcraft , i siti sospetti con cui entra in contatto. Quella società, come ormai alcuni altri operatori web, mette a disposizione una Anti-Phishing Toolbar che può essere utilizzata anche dai meno esperti per evitare sorprese.

L’operazione di Milano è in sé una cosa rara, se si considera che il nostro paese è perlopiù una “sponda” per il riciclaggio delle cifre frodate, truffe per le quali gli autori possono attendersi condanne anche fino a tre anni di reclusione . Sono gli Stati Uniti, anche per il 2006, a conservare la “palma” di paese dal quale provengono la maggior parte di queste truffe: secondo i dati dell’ Anti Phishing Working Group (APWG) riferiti a gennaio 2006, infatti, una parte consistente dei 17.877 diversi tentativi di truffa è originata proprio dagli USA.

Di interesse in questo senso che l’operazione del Gruppo Repressione Frodi abbia portato tra il maggio 2005 ed oggi alla chiusura della bellezza di 10mila siti e più che erano stati realizzati dai phisher per “dirottare” il traffico web delle proprie vittime. La questione non è secondaria: la “sopravvivenza” di quei siti nei giorni in cui viene spammata l’email truffaldina è decisiva per la riuscita della truffa stessa. Oggi mediamente, spiega APWG, un sito del genere rimane attivo per 5 giorni.