Settimana 36: Skimming analogico – psicologia anziché tecnologia
Mentre lo skimming classico, ovvero la lettura o la copia dei dati delle carte di credito, oggi è ormai un fenomeno raro, i truffatori ricorrono sempre più spesso a stratagemmi psicologici, il cosiddetto «social engineering», per impossessarsi delle carte di credito. In una variante di truffa segnalata all’UFCS, le vittime vengono indotte per telefono a consegnare il chip della propria carta bancaria. I malintenzionati si spacciano per impiegati della banca e simulano un incidente di sicurezza. I chip sottratti vengono poi utilizzati per prelievi abusivi di contanti.
Ancora circa dieci anni fa, in Svizzera si registravano regolarmente ondate di skimming su larga scala. Nello skimming classico, i criminali manomettono i bancomat o i terminali di pagamento con dispositivi aggiuntivi. Questi dispositivi servono a leggere i dati delle carte e, allo stesso tempo, a registrare il codice PIN dei clienti, ad esempio tramite telecamere nascoste o tastiere truccate. I dati sottratti venivano poi utilizzati per prelievi fraudolenti di contanti o pagamenti con carta.
Dalla banda magnetica al chip: come i cibercriminali si adeguano alle misure di sicurezza più efficaci
In risposta al classico skimming, negli ultimi anni sono state adottate diverse misure di sicurezza. In Svizzera, infatti, la banda magnetica non ha ormai quasi più alcuna importanza nei prelievi di contanti. L’autenticazione avviene invece tramite il chip presente sulla carta, che offre una protezione nettamente maggiore contro gli abusi.
Una differenza fondamentale risiede nel funzionamento delle due tecnologie. I dati della carta sono memorizzati in modo statico sulla banda magnetica, rendendo possibile leggere sempre le stesse informazioni. Una volta sottratti questi dati, è possibile copiarli e trasferirli su altri supporti con mezzi relativamente semplici. Proprio per questo motivo, lo skimming classico è stato per molti anni un metodo di frode di grande successo.
Il chip, invece, funziona secondo un principio diverso. Contiene un piccolo computer dotato di chiavi crittografiche e, ad ogni transazione, genera un codice di sicurezza unico, valido solo per quel singolo pagamento. Anche se i dati trasmessi durante una transazione finissero nelle mani di malintenzionati, questi non potrebbero utilizzarli per effettuare ulteriori transazioni con chip. Di conseguenza, il classico skimming ai bancomat e ai terminali di pagamento ha perso gran parte della sua rilevanza e si verifica ormai solo nei Paesi in cui la banda magnetica è ancora consentita per il prelievo di contanti.
Nuova variante basata sul social engineering anziché sull’alta tecnologia
In una variante di frode segnalata di recente all’UFCS, i criminali prendono di mira il chip delle carte bancarie. A differenza dello skimming classico, tuttavia, in questo caso non vengono utilizzati lettori di carte di credito né altri dispositivi tecnologici. Al contrario, i malintenzionati cercano di manipolare in modo mirato le vittime inducendole a consegnare loro il chip di propria iniziativa. La truffa ha inizio con un SMS che sembra provenire da una banca. In tale comunicazione si sostiene che la carta sia stata utilizzata in modo improprio o che siano state effettuate transazioni sospette. I destinatari sono invitati a chiamare un numero di telefono indicato per chiarire l’accaduto.
Al telefono risponde una persona che sostiene di essere un impiegato della banca e che spiega che, per motivi di sicurezza, la carta deve essere immediatamente distrutta. Si raccomanda alle persone interessate di tagliare la carta, senza però danneggiare il chip. La carta tagliata a pezzi deve poi essere inserita in una busta, che dovrà essere spedita a un indirizzo oppure ritirata direttamente a domicilio da un presunto impiegato di banca. Il fatto di aver tagliato la carta dà l’impressione che essa sia stata resa inutilizzabile. In realtà, però, il chip continua a funzionare. Nei casi noti all’UFCS, poco tempo dopo una persona si è presentata all’indirizzo di residenza delle vittime e ha ritirato la carta tagliata. Successivamente, a quanto pare, la carta è stata ricostruita e utilizzata per prelevare contanti. In un caso, in questo modo sono stati sottratti oltre 10 000 franchi.
Ciò che è particolarmente subdolo è che, in alcuni casi, i truffatori hanno addirittura indotto le vittime ad aumentare in anticipo i limiti della carta. Non è ancora chiaro come gli autori del reato siano riusciti a procurarsi il codice PIN corrispondente. L’UFCS ritiene tuttavia che tale informazione sia stata richiesta nel corso della conversazione telefonica o sia stata appurata in modo discreto.
Raccomandazioni
- Le banche non ritirano né carte bancarie né singoli componenti delle carte, quali chip, codici PIN o dati di accesso, direttamente a domicilio.
- Non tagliate mai una carta bancaria su richiesta di uno sconosciuto e, soprattutto, non consegnate il chip a nessuno.
- Non rivelate mai il vostro codice PIN al telefono, nemmeno a persone che si spacciano per impiegati della banca.
- Diffidate degli SMS, e-mail o chiamate che creano un senso di urgenza ed esortano ad agire immediatamente.
- In caso di segnalazioni di questo tipo, contattate la vostra banca esclusivamente tramite i numeri di telefono e i canali di contatto ufficiali.
- Bloccate immediatamente la vostra carta se sospettate di essere state vittime di una truffa.
Numeri e statistiche attuali
Segnalazioni della scorsa settimana per categoria: