Clonano il cellulare e coi dati sensibili svuotano il conto in banca

E’ l’incubo di chiunque ritrovarsi con il cellulare in blocco e il conto corrente alleggerito senza un perché. E’ la nuova tecnica di hackeraggio dell’home banking attraverso la Sim ma la frode informatica si compone di due fasi: prima i truffatori si impossessano di username e password dell’home banking poi, attraverso un’abile operazione di clonazione della Sim della vittima, ottengono la one-time password, valida per la singola sessione di accesso ai servizi bancari online.
“Sono diverse le tecniche di fishing – spiega la dottoressa Emanuela Glielmo della Polizia Postale dell’Emilia Romagna – per acquisire le credenziali dell’accesso all’homebanking e solitamente lo strumento usato è la posta elettronica”.
Si riceve una email, apparentemente proveniente dall’istituto di credito, in cui è presente un link che reindirizza a un sito Internet la cui grafica rispecchia il layout originario della propria banca. Poi l’utente viene invitato dal sito a inserire le informazioni personali adducendo delle motivazioni come l’aggiornamento o la conferma dei dati per motivi di sicurezza bancaria: l’utente aderisce alla richiesta e le credenziali vengono acquisite dal truffatore.
“Molto diffusi sono anche i virus informatici che infettano la macchina dell’utente e trasmettono poi i dati a terze persone” aggiunge la dottoressa Glielmo. La seconda fase della truffa è la clonazione della Sim o Sim swap. “Dal momento che i servizi per accedere ai conti online sono dotati di un sistema a doppia identificazione e poiché per completare l’operazione è necessaria una one-time password che arriva sul telefono dell’intestatario del conto, i truffatori devono impadronirsi del numero di telefono della vittima prendendo il controllo della Sim”.
Attraverso uno studio, anche tramite il profilo social della vittima, gli hacker acquisiscono il numero di telefono e con quello si recano in un punto vendita: presentando un documento d’identità, magari falso, chiedono di passare il numero di telefono del titolare del conto su una nuova Sim con la scusa per esempio di averla smarrita o smagnetizzata.
“In questo modo causano l’immediata cessazione della linea telefonica dell’intestatario della scheda Sim e ne acquisiscono l’uso intercettando la one-time password che può essere così utilizzata per effettuare le operazioni di trasferimento del denaro”.
Ci si può difendere, “utilizzare software antivirus sempre aggiornati, prestando molta attenzione alle mail ricevute considerando anche che gli istituti di credito non inviano mail contenenti link o allegati e non aprendo mai allegati dei quali non sia assolutamente certa la provenienza”.
Nella fase del blocco della Sim, se il cellulare smette di ricevere messaggi e chiamate e non se ne capisce la motivazione, si può contattare immediatamente il proprio operatore di rete per avere chiarimenti.
“E’ necessario poi modificare i codici di accesso all’area riservata, controllare i movimenti del conto corrente per assicurarsi che le transazioni siano quelle effettivamente realizzate e utilizzare sempre password ben strutturate con caratteri speciali, maiuscole, almeno dieci caratteri, non riferibili alla sfera personale evitando date di nascita e nomi di familiari”.
Sara Gelli