Consapevolezza digitale per transazioni elettroniche in
sicurezza
26 ottobre 2020
Budget dedicato alla sicurezza IT
Nel 2020 è stato preventivato un incremento degli investimenti nell’ambito della sicurezza IT rispetto al totale del budget stanziato per le strutture IT dalle banche.
I volumi di spesa previsti per la sicurezza IT rispetto al totale del budget IT, passano dal 7% dello scorso anno al 12% per l’anno in corso (dati rilevati su un campione di 13 rispondenti).
Percentuale budget dedicato alla sicurezza IT rispetto al totale del budget IT: spesa impiegata nel 2019 e prevista per il 2020.
Attività di Awareness
Tematiche affrontate con la clientela
95%
74% 68%
63% 58%
47%
26% 26%
11%
0%
20%
40%
60%
80%
100%
Gestione sicura dell’identità e degli strumenti di sicurezza
forniti dall’organizzazione
Utilizzo sicuro degli strumenti di pagamento (es. carte)
Corretto utilizzo della
posta elettronica Sicurezza nell’utilizzo dei dispositivi quando
connessi alla rete
Utilizzo sicuro dei
device mobili Rischi legati all’e-
commerce Money muling Rischi legati ai social
network Altro
Gestione dell’identità
Strumenti di pagamento
Utilizzo e-mail
Attività di Awareness
Canali di Comunicazione verso la clientela
Portale Internet Banking
In Filiale
Via e-mail
Attività di Awareness
Attività di formazione interna su tematiche di sicurezza cyber e frodi
Team Security
Contact Center
Top Management
89% 83% 83%
78% 72%
67%
0%
20%
40%
60%
80%
100%
Formazione personale specialistico (team sicurezza)
Formazione personale di Contact Center
Formazione Top Management Formazione personale di Back Office
Formazione personale di filiale Formazione personale di help desk
Strumenti tecnologici per il monitoraggio e la rilevazione di attacchi rivolti alla propria clientela
• Le soluzioni più diffuse riguardano: il monitoraggio di transazioni anomale disposte via Internet banking, Strumenti di monitoraggio tramite servizi di Mobile App e Monitoraggio accessi a Mobile App
• Sale la quota che delle banche che impiegano l’analisi automatica dei log di accesso all’internet banking e gli strumenti di intelligence.
• Molto impiegato anche il monitoraggio della rete per identificazione siti contraffatti e risale l’impiego di software per rilevare la presenza di malware nel dispositivo utilizzato dall’utente.
95% 84% 84% 79% 79% 74% 68% 63%
47%
STRUMENTI PER IL MONITORAGGIO TRANSAZIONI ANOMALE DISPOSTE VIA INTERNET BANKING STRUMENTI SPECIFICI PER IL MONITORAGGIO TRANSAZIONI ANOMALE TRAMITE SERVIZI DI MOBILE APP MONITORAGGIO ACCESSI A MOBILE APP ANALISI AUTOMATICA DEI LOG DI ACCESSO ALL’INTERNET BANKING STRUMENTI DI INTELLIGENCE PER RILEVARE ATTACCHI O AVVENUTE COMPROMISSIONI/LEAK MONITORAGGIO DELLA RETE PER IDENTIFICAZIONE SITI CONTRAFFATTI SOFTWARE PER RILEVARE LA PRESENZA DI MALWARE NEL DISPOSITIVO UTILIZZATO DALL’UTENTE STRUMENTI DI RATING PER VALUTARE LA SICUREZZA DELLA RETE STRUMENTI IN USO PRESSO CENTRI SERVIZI ESTERNI
Contromisure tecnologiche di contrasto
Il monitoraggio delle transazioni operato dalla banca è la modalità principale con cui sono state rilevate disposizioni di pagamento online sospette o fraudolente.
L’efficienza del monitoraggio è inversamente proporzionale alla percentuale di disconoscimento del cliente che resta la seconda modalità di rilevazione.
Monitoraggio delle transazioni interno all’organizzazione
65%
Segnalazione da servizio di terzi
7%
Segnalazione di altre … Segnalazione delle
Forze dell’Ordine 2%
Segnalazione del Cliente (disconoscimento)
23%
Segnalazione dalle Filiali
1%
Fonti di segnalazione di operazioni fraudolente - segmento Retail (Andamento medio su 20 rispondenti)
Monitoraggio delle transazioni interno all’organizzazione
64%
Segnalazione da servizio di terzi
8%
Segnalazione di altre organizzazio Segnalazione delle
Forze dell’Ordine 2%
Segnalazione del Cliente (disconoscimento)
24%
Segnalazione dalle Filiali
1%
Fonti di segnalazione di operazioni fraudolente - segmento Corporate
(Andamento medio su 17 rispondenti)
L’emergenza COVID19 ha cambiato il nostro modo di vivere e di lavorare
UTILIZZO DEI SERVIZI DIGITALI OFFERTA DEI SERVIZI DIGITALI POTENZIAMENTO
DELL’ASSISTENZA REMOTA
SCALABILITÀ DEI SISTEMI IT SMART WORKING E CAMBIAMENTO CULTURALE SINERGIE ORGANIZZATIVE
Conseguenze operative della pandemia da Covid-19
La pandemia ci ha costretto anche ad avviare dei processi virtuosi, in alcuni casi addirittura spontanei.
Processi interni e verso la clientela, che con tutta probabilità persisteranno anche a pandemia conclusa:
Enorme progresso nella cultura digitale
Accelerazione nei processi di digitalizzazione di alcune attività (es. emissione carte direttamente su smartphone)
Remotizzazione delle attività di filiale che non prevedono materialità
Adozione estesa della firma digitale
Diffusione massiva dello Smart Working
Evoluzione dello scenario
In linea con quanto accaduto nel resto d’Europa, anche in Italia l’emergenza dovuta alla pandemia Covid-19 ha prodotto conseguenze che hanno coinvolto e impattato il settore della Sicurezza Informatica:
Massiccio ricorso allo Smart Working
Aumento enorme della mole di traffico dati
Maggiori opportunità per attacchi basati su social engineering
Incremento significativo di campagne di disinformazione
Adattamento dei modelli di frode ai nuovi scenari in atto
Quali Cyber Threats (1/2)
Al fine di monitorare al meglio la situazione nel settore, il CERTFin ha predisposto una rilevazione dati che ha permesso di realizzare un bollettino sulle principali minacce informatiche diramato settimanalmente alla nostra Constituency.
Tra le minacce più significative, a tema Covid-19 ma non solo, si segnalano:
• Crescita esponenziale delle campagne di phishing, spesso a tema COVID-19, dove, facendo leva sulla ipersensibilità del momento, venivano inoltrati allegati malevoli mascherati da raccomandazioni solo apparentemente provenienti da organizzazioni sanitarie e/o istituzionali.
• Attraverso queste campagne vengono diffusi i principali malware del periodo (Trickbot, Lokibot, Cerberus, Remcos…). I malware osservati in questa fase hanno un’ampia varietà di obiettivi: furto di credenziali, finalizzare una frode, cifrare i dati presenti sul PC, etc…
• Sono state segnalate diverse truffe. Ad esempio, in alcuni siti web, afferenti a società inesistenti, era possibile acquistare dispositivi di protezione personale. Tali dispositivi, quando e se consegnati agli acquirenti, si rivelavano essere completamente non a norma.
Quali Cyber Threats (2/2)
Incremento dei money mule inconsapevoli: persone che probabilmente cadono in alcune
“campagne di reclutamento” in conseguenza della precaria situazione lavorativa che purtroppo, in questa fase, coinvolge alcune parti della popolazione.
Il social engineering resta la minaccia principe, attuata con i mezzi più fantasiosi e spesso mescolata con altre componenti al fine di preparare attacchi con tecniche miste che, per la sofisticazione raggiunta, risultano particolarmente insidiosi per le fasce meno «aware» rispetto alla minaccia cyber.
È stata anche segnalata una truffa da parte di falsi dipendenti bancari che, utilizzando come espediente la necessaria sanificazione del contante, sottraggono il denaro presente nell’abitazione della vittima.
La frode SIM SWAP
Negli ultimi anni si è attestata la crescente diffusione di un fenomeno fraudolento effettuato attraverso l'utilizzo combinato di credenziali di accesso (rubate) e SIM card (sostituite) nei confronti di un ignaro cliente "vittima": il cosiddetto «SIM SWAP».
A fine 2018, grazie al supporto di Banca d'Italia e AGCOM (Autorità per le Telecomunicazioni), è stato creato un tavolo di lavoro congiunto tra CERTFin e gli operatori Telco, i cui obiettivi sono quelli di avviare una sperimentazione su possibili contromisure tecniche a contrasto del fenomeno. Tali attività sono coordinate dal Comitato Tecnico Antifrode per le telecomunicazioni.
Partendo dai dati raccolti dal CERTFin attraverso la sua survey annuale si osserva che:
- Nel 2017, le banche hanno identificato 45 casi di SIM Swap (con perdite economiche) - Nel 2018, le banche hanno identificato 128 casi di SIM Swap (con perdite economiche)
- Nel 2019, le banche hanno identificato oltre 1000 casi di SIM Swap (con perdite economiche)
La frode di SIM SWAP
14
Il CERTFin ha avviato una collaborazione intersettoriale con gli operatori di telefonia per contrastare il
fenomeno FASE 1
FASE 4 FASE 3
Il frodatore raccoglie le informazioni personali dei clienti tramite azioni di Phishing, Vishing, Smishing o altri tipi di azione di ingegneria sociale.
Il frodatore richiede al provider competente il blocco della SIM Card del numero di telefono di della vittima e richiede una copia della SIM Card utilizzando un documento di identità falso.
Il provider disattiva la scheda SIM originale e ne consegna una nuova al frodatore.
Il frodatore, utilizzando le credenziali rubate, è ora in grado di effettuare transazioni autorizzandole con l’OTP che viene ricevuto sulla nuova carta SIM ora in suo possesso
FASE 2
Proteggi i tuoi device!
2. Proteggi il traffico in entrata e in uscita dai tuoi device mediante l’installazione di opportuni
programmi di filtraggio del flusso di dati, denominati firewall.
29/10/2020 CERTFin. Difende. Informa. Evolve. 15
1. Difendi da virus e spyware il device (computer, tablet, smartphone) dal quale effettui le operazioni di internet banking installando e mantenendo aggiornati opportuni software di protezione (anti- virus, anti-spyware, …) ed effettua scansioni periodiche.
3. Tieni costantemente aggiornati il sistema operativo e gli applicativi dei tuoi device, mediante
l’installazione delle cosiddette patch (“toppe” di protezione). Scarica solo gli aggiornamenti ufficiali.
4. Durante la navigazione su Internet, non
permettere che vengano eseguite attività da remoto senza la tua autorizzazione e
consenti l’installazione dal web dei soli programmi di cui è possibile verificare la provenienza.
5. Verifica l’autenticità della connessione con la tua banca mediante il controllo accurato del nome del sito nella barra di navigazione.
Ove presente, è opportuno cliccare due volte sull’icona del lucchetto nella finestra di navigazione e verificare la correttezza dei dati che vengono visualizzati.
Semplici regole di sicurezza
• Diffida di qualunque richiesta di dati relativi a carte di pagamento, chiavi di accesso all’home banking o altre informazioni personali. La tua banca non richiederà mai tali informazioni.
• Se vuoi connetterti al sito della tua banca, scrivi direttamente l’indirizzo nella barra di navigazione. Non cliccare su link presenti in e-mail sospette, in quanto questi potrebbero condurti a un sito contraffatto, molto simile all’originale.
• Controlla regolarmente le movimentazioni del tuo conto corrente per assicurarti che le transazioni riportate siano quelle realmente effettuate.
• Diffida di qualsiasi messaggio (proveniente da posta elettronica, siti web, contatti di instant messaging, chat o peer-to-peer) ti inviti a scaricare programmi o documenti di cui ignori la provenienza.
• Presta attenzione se riscontri anomalie rispetto alle abituali modalità con cui ti viene richiesto l’inserimento dei dati personali sul tuo sito di home banking.
29/10/2020 CERTFin. Difende. Informa. Evolve. 16
INTERNET È UN PO’ COME IL MONDO REALE !
Come non daresti a uno sconosciuto il codice PIN del tuo bancomat, allo stesso modo non consegnare i tuoi dati senza essere sicuro dell’identità di chi li sta chiedendo.
In caso di dubbio, rivolgiti alla tua banca!
Per evitare brutte esperienze…
HOME BANKING
• Digita direttamente l’indirizzo del sito della banca nella barra di navigazione (http://www.banca...).
• Non cliccare mai su link che rimandano al sito della banca da e-mail o sms sospetti.
• Attiva le notifiche delle operazioni effettuate dal tuo conto ad esempio tramite sms
29/10/2020 CERTFin. Difende. Informa. Evolve. 17
CARTE DI PAGAMENTO
• Se le smarrisci o te le rubano, bloccale subito e fai denuncia alle forze dell’ordine.
• Assicurati che nessuno ti osservi mentre digiti il PIN durante il prelievo.
• Se ti accorgi di un pagamento non autorizzato contatta subito la banca.
MOBILE BANKING
• Imposta il blocco automatico dello smartphone quando entra in stand-by.
• Disattiva Wi-Fi, bluetooth e
rilevamento della posizione quando non sei connesso.
• Usa solo app ufficiali e se ti rubano lo
smartphone blocca il servizio app di
mobile banking.
Per evitare brutte esperienze…
29/10/2020 CERTFin. Difende. Informa. Evolve. 18
E-COMMERCE
• Usa credenziali diverse per autenticarti su siti diversi.
• Evita di fare transazioni da postazioni in luoghi poco sicuri.
• Fai sempre il log-out prima di uscire da un sito di e-commerce.
SOCIAL NETWORK
• Non usare la stessa password per canali social e account bancario.
• Imposta il tuo profilo social in modo da garantirti il livello di privacy che desideri.
• Presta attenzione a pubblicare foto, video e post con informazioni personali.
