- Pronto, ciao Giorgio, sono Maurizio -
- Ciao Maurizio -
- Tento, son qua con XXXXX, devi mandare qui qualcuno al più presto che gli han sifonato il sistema di home banking -
- (trivialità in veneto) e com’è successo? -
- Non lo sanno, han trovato solamente dei bonifici che nessuno di loro ha fatto -
- E come sono messi con l’infrastruttura informatica? -
- (altre trivialità in veneto) non lo so, serve qualcuno che venga a controllare, e che dia dei suggerimenti su come comportarsi. -
- Va bene, digli che domani vado io -
E’ cominciato così un’episodio che mi ha fatto riflettere su alcune cose che io davo per scontato.
La situazione: un piccolo ufficio, di quelli che hanno ben poca infrastruttura, nessun server e solo client variamente connessi alla rete.
Un paio di bonifici di varie migliaia di euro ravvicinati fatti ad un conto est europeo.
La banca “annusa” la stranezza e avvisa il cliente, che cade sonoramente dalle nuvole, e da li scaturisce il dialogo di cui sopra.
Quella mattina sono partito di casa un po’ preoccupato, c’era pure la possibilità che dall’interno qualcuno avesse abusato delle credenziali di accesso, e in quel caso non c’è competenza tecnica che tenga.
XXXX mi accoglie, e fuga subito una parte dei dubbi:
- Solo io e mia moglie accediamo al conto quindi escludo il dolo -
Ottimo, penso, ora sono ca..i miei.
I sistemi di home banking solitamente han due livelli di accessi, uno per “guardare e non toccare” e un secondo per poter eseguire le operazioni, quali appunto i bonifici.
Da una verifica scopro che per un periodo il loro sistema, ha chiesto nello stesso momento e dalla stessa pagina tutte e due le credenziali insieme.
La cosa puzza di phishing lontano un chilometro, pertanto mi metto a setacciare la macchina da cui sospettano che tutto sia partito.
Scopro che periodicamente c’è un processo che invia dati di rete ad un server estero. Il processo si rivela essere un malware che agisce (ma va?) da keylogger, ovvero invia i caratteri digitati da tastiera al “controllore remoto” della macchina.
L’antivirus, presente ma non aggiornato, è stato impotente di fronte a questa minaccia.
E’ qui ho la rilevazione: non stiamo parlando di un soggetto in vista, come un grande marchio, o un soggetto politico, non stiamo parlando di volumi d’affari da milioni di euro, ne di realtà che solitamente attirano il cracking come il miele attira le api. Eppure uno dei PC del piccolo ufficio di XXXXX è caduto vittima di una botnet, e venduto a qualche persona senza scrupoli che l’ha usato per catturare le credenziali di accesso al conto e girarsi un po di soldi.
La cosa che un po’ davo per scontato era che a piccole realtà corrispondessero piccole esigenze in termini di sicurezza, ma in questo caso io ( ma anche XXXXX ) partivamo da presupposti culturali sbagliati.
La fuori è un brutto mondo, e che tu sia membro di una grossa multinazionale o di un piccolo ufficio di periferia, ci sarà qualcuno pronto ad aspettarti e approfittarsi di te non appena presti il fianco.
Com’è finita la vicenda? Una denuncia contro ignoti alla polizia postale, una revisione dell’infrastruttura di sicurezza e trattative con la banca per cercare di fermare il flusso dei soldi bonificati.
Miriade è partner Platinum Sophos
