Aumentano le frodi con card-skimming.
E anche il distributore clona il bancomat

E' L'ETERNO gioco di "guardie e ladri": creato un nuovo tipo di difesa, i "cattivi" si ingegneranno a superarla. Le forme di pagamento elettronico, anche se assicurano la certezza della tracciabilità e la comodità di ridurre o non portare contante nel portafogli, si scontrano con un fenomeno che in Italia ed Europa è in vertiginoso aumento: lo skimming (dall'inglese "to skim", "sfiorare, strisciare") ossia la fraudolenta clonazione di carte bancarie. Ben sei Paesi europei, nelle ultime settimane, hanno denunciato l'aumento delle frodi tramite i dispositivi di card-skimming, che cioè consentono di intercettare e clonare bancomat e carte di credito inserite in distributori di biglietti automatici o pompe di benzina e, secondo una ricerca della società senza fini di lucro European ATM Security (Est), il fenomeno è in crescita anche sulle colonne per i parcheggi.INTERATTIVOSolo pochi giorni fa, la retata Pandora-Storm, realizzata dalla polizia rumena, dall'Europol contro il cybercrimine e dal Cyber-centre europeo (E3), si è conclusa con 44 arresti e sequestro software e hardware dedicati alla intercettazione dei dati in transito nei distributori automatici. La rete criminale aveva già colpito 36 mila proprietari di carte elettroniche, in ben 16 Paesi diversi. Secondo quanto si legge nella ricerca di Est, i dati dei bancomat e delle carte di credito, una volta raccolti, vengono inviati e utilizzati in Stati Uniti, Repubblica Dominicana, Brasile, Messico, Perù e Thailandia. Tra i Paesi coinvolti Francia, Germania, Russia e Regno Unito. Secondo la Cards Association britannica, le perdite per frode su carte, nel solo UK, è stata pari a 185 milioni di euro nei primi sei mesi dello scorso anno.In giro da almeno 10 anni, questi sistemi negli ultimi anni si sono evoluti moltissimo e, mentre una volta erano "artigianali" (ossia qualcuno doveva costruire materialmente l'apparecchiatura per condurre l'attacco) oggi le cose sono diventate più semplici perché molti componenti si acquistano facilmente tramite Internet e sono diventati più piccoli, economici ed efficienti. In Italia questi sistemi di frode sono sempre più diffusi perché si tende sempre più a fare a meno degli operatori umani (es. i distributori di benzina completamente automatici, anche in un normale orario diurno feriale) e le persone cominciano a preferire le carte elettroniche rispetto ai contanti (anche per la possibilità di un rimborso rateale delle spese, cosa importante in un momento di crisi come quello attuale). La crescita di questa tendenza criminale non sarebbe però dovuta solo a singoli ed isolati hackers ma, secondo gli esperti, soprattutto a gruppi criminali organizzati."Le attuali carte di credito (tipo Visa, Mastercard, ...) e di debito (tipo Bancomat) - spiega Antonio Lioy, professore al Politecnico di Torino, esperto di Sicurezza Informatica - usano una doppia tecnologia: hanno i dati registrati sia sulla banda magnetica sia sul chip. Il chip non si può clonare ma la banda magnetica è molto facile da copiare. E' quindi diffusa la tecnica di inserire sulla fessura (dove bisogna introdurre la carta) un cosiddetto "skimmer", un piccolo apparecchio in grado di leggere i dati della banda magnetica e memorizzarli. In questo modo è possibile clonare la carta (solo la banda magnetica, non il chip) ma per usarla (a parte rari casi, come il pagamento dei pedaggi autostradali) occorre anche il PIN". Lo skimmer viene quindi accoppiato con un dispositivo in grado di leggere e memorizzare il PIN, dispositivo che può consistere o in una tastiera sottilissima che ricopre quella vera e registra i tasti premuti o in una videocamera che riprende la scena e quindi permette ad un operatore umano di capire quali tasti sono stati premuti per digitare il codice. "Con la tecnologia wireless - continua Lioy - è possibile per tutti questi componenti trasmettere a breve distanza le informazioni (ad esempio ad un computer posizionato all'interno di un'auto in sosta). Altrimenti i componenti hanno delle piccole memorie interne su cui registrano i dati ed i criminali leggeranno il contenuto di queste memorie quando preleveranno i dispositivi al termine di una sessione di attacco". Tipicamente questi dispositivi vengono piazzati in orari o sedi in cui non c'è un sorvegliante umano (es. i distributori di benzina automatici, di notte o nel fine settimana) e poi rimossi quando potrebbero essere scoperti."Al giorno d'oggi - spiega Paolo Mori, Computer Science PhD dell'Istituto di Informatica e Telematica del Cnr di Pisa - la crescente disponibilità di componenti elettronici sofisticati a basso prezzo ha reso molto facile ed economica la costruzione di dispositivi di ridotte dimensioni per leggere le carte elettroniche e per intercettare il PIN". "D'altro canto - continua - sebbene lo sviluppo tecnologico offra soluzioni sempre più sicure per la realizzazione delle carte, spesso, per motivi pratici ed economici, queste non vengono adottate, o vengono adottate solo parzialmente. Ad esempio, dato che le carte dotate di banda magnetica sono facili da leggere utilizzando gli skimmer ATM reperibili addirittura su alcuni siti internet, sono state introdotte nuove carte dotate di microchip (dette anche EMV) che necessitano di sportelli automatici di nuova generazione".L'utilizzo del microchip offrirebbe, teoricamente, un grado di protezione maggiore rispetto alla tradizionale banda magnetica ma, purtroppo, la maggior parte delle carte attualmente in circolazione sono dotate anche di banda magnetica per poter essere utilizzate negli sportelli di vecchia generazione. "Inoltre, - continua Mori - sono allo studio nuove tecnologie che permettono di inserire il codice PIN senza l'ausilio di una tastiera, semplicemente guardando i numeri sullo schermo dello sportello automatico (tecnologia eye-tracking), ma passeranno ancora alcuni anni prima che diventino di uso commune".E quindi in che modo è possibile difendersi? Contro i sistemi basati su telecamera, spiega Lioy, è importante coprire con una mano l'altra mano quando digita il PIN sulla tastiera; contro quelli che usano una tastiera duplicata, è bene controllare che essa non sia coperta da uno strato di plastica o da un foglio metallico: nel dubbio non effettuare l'operazione. "Controllare sempre, regolarmente - continua l'esperto - il proprio estratto conto (meglio tramite Internet che aspettare il resoconto trimestrale) ed avvisare subito la propria banca in caso si notino operazioni illecite. Se la propria banca o gestore della carta di credito offre il servizio SMS (avviso ogni volta che la carta viene usata) attivarlo in modo da rilevare tempestivamente usi illeciti". "Le norme che il comune cittadino può adottare - aggiunge Mori - per ridurre il rischio di clonazione della sua carta sono, più in generale, quelle dettate dal buonsenso, ovvero: farsi consegnare dalla propria banca una carta di ultima generazione (attualmente, dotata di microchip), evitare di utilizzare sportelli automatici di vecchia generazione, evitare di utilizzare sportelli automatici posti in luoghi isolati e non sorvegliati, assicurarsi che lo sportello automatico non presenti tracce di manomissione, coprire la mano che digita il codice PIN, abilitare le notifiche via SMS o email per ogni operazione svolta con la carta".Se tutti i negozianti usassero il chip invece che la banda il problema diminuirebbe moltissimo, ma si dovrebbero sostituire tutti i POS (Point-Of-Sale, le apparecchiature che leggono le carte nei negozi o nei distributori automatici). Il problema è ben noto nel modo finanziario ma i costi collegati sono molto elevati e ci vorranno anni prima che la transizione venga completata. A quel punto bisognerà fare attenzione all'uso delle nostre carte all'estero (cosa sempre più frequente per i viaggi turistici o di lavoro) perché molte nazioni continuano ad usare solo la banda magnetica e non hanno ancora in progetto il passaggio all'uso del chip.