Un’operazione congiunta portata avanti nel corso del 2023 da Europol ed ENISA (l’Agenzia dell’Unione europea per la cybersecurity) nel quadro del progetto EMPACT, ha rivelato l’esistenza di 443 marketplace di e-commerce vittime inconsapevoli di digital skimming, una delle truffe più diffuse del momento. L’indagine ha scoperchiato soltanto la punta dell’iceberg: le frodi legate ai prelievi ATM e ai pagamenti online sono ormai all’ordine del giorno e tendono ad aumentate sempre di più. Ma cosa si intende di preciso quando si parla di skimming e che differenza c’è tra quello ai distributori automatici e quello digitale?
Skimming: cos’è e come funziona
Letteralmente il termine skimming significa scrematura: il verbo inglese to skim vuol dire scorrere, strisciare, sfiorare. In senso figurativo e colloquiale, diventa rubare, fregare. Per skimming si intende quindi la manomissione di qualsiasi tipo di distributore automatico: principalmente gli sportelli Bancomat e tutti gli ATM, ma anche i distributori di biglietti e i terminali POS per il pagamento con carta di credito. I criminali usano un dispositivo noto come skimmer che ruba le informazioni sensibili della carta. Il congegno viene posizionato sopra il lettore originale dello sportello o del POS e i dati contenuti nella banda magnetica vengono rilevati dai sensori.
È in questo modo che la vittima, senza che se ne accorga, si ritrova a digitare il PIN che viene spiato e copiato. I truffatori più raffinati riescono persino a modificare in maniera quasi impercettibile il PIN pad interno, l’apparecchio che accetta il numero di identificazione personale del titolare della carta e lo crittografa. A quel punto la persona che preleva contanti dal bancomat skimmato o che ha fatto un pagamento, si ritrova con la carta clonata e il conto corrente alla mercé dei truffatori. Nella maggior parte dei casi chi subisce truffe di skimming si accorge del furto soltanto in un secondo momento, ovvero dopo aver controllato l’estratto conto.
Gli hacker professionisti dello skimming hanno accesso a tutti i dati sensibili collegati alla carta e al conto. Una volta raggiunto il loro scopo, spediscono subito i fondi su una carta fittizia e li usano per fare acquisti online di ogni tipo. L’obiettivo è rivendere i prodotti comprati (comunemente di persona o su un marketplace che ne protegge l’identità) e incassare il frutto della truffa. Altrimenti, i dati possono essere venduti sul dark web e sfruttati per effettuate transazioni di qualsiasi genere.
Digital skimming: la truffa Magecart
Nel caso dello skimming digitale, noto anche come e-skimming, web skimming, formjacking o Magecart dalla crasi tra la piattaforma per siti e-commerce open source Magento e lo shopping cart (il carrello di acquisto), la truffa consiste nel raccogliere le informazioni di pagamento del visitatore di un sito web durante la fase di checkout. I criminali sfruttano le vulnerabilità presenti nei marketplace di commercio elettronico e nei CMS (così come nei plugin e temi di terze parti installati) per iniettare lo script di skimming nella pagina dell’e-store.
Le azioni principali dello skimming digitale sono descritte dall’Europol con i termini breach (l’infrazione: gli hacker riescono ad accedere al codice sorgente/server di uno shop online o al codice sorgente di uno strumento di terze parti), inject (il momento in cui il malware viene iniettato nel flusso di pagamento) e collect, la fase finale in cui le informazioni personali dei clienti e i dati di pagamento vengono duplicati e raccolti. Le vittime della frode non sanno che la loro carta è stata skimmata: dal loro punto di vista, l’ordine è andato a buon fine e il bene o servizio è stato acquistato, senza lasciare spazio al minimo sospetto che qualcosa sia andato storto.
Come difendersi dallo skimming
Gli imbrogli sono aggirabili prestando attenzione ad alcune semplici accortezze. Innanzitutto, ricordare a memoria e custodire gelosamente il PIN, senza lasciarne traccia su foglietti, agende o dispositivi. In secondo luogo, non condividere mai i dati della carta. Al momento del prelievo, il PIN va digitato in sicurezza e lontano da occhi indiscreti. In aggiunta, è sempre meglio prelevare negli ATM interni alle banche o piazzati in luoghi sicuri e non troppo affollati. È buona abitudine osservare se c’è qualcuno che si aggira in modo inconsueto nella zona o si avvicina troppo allo sportello.
Un’ulteriore soluzione è controllare con attenzione il bancomat o il POS: verificare che non ci sia qualcosa di anomalo, ad esempio la mancanza della solita copri-fessura. Quando lo sportello presenta una fessura aggiuntiva, tasti strani, sensori ambigui, piccole telecamere, parti mai viste prima oppure nelle sue vicinanze è presente un dispositivo sospetto che serve ai criminali per registrare la digitazione dell’utente, è meglio evitare il prelievo.
Se inavvertitamente si capisce di essere diventati vittime di un attacco di skimming, bisogna subito bloccare la carta e controllare la lista movimenti del conto per evitare brutte sorprese. Allo stesso modo, se c’è il sospetto che l’ATM sia stato manomesso, è opportuno avvisare immediatamente il gestore del bancomat e avvertire le forze dell’ordine. Per quanto riguarda lo skimming digitale, chi gestisce un’attività o un portale e-commerce può rendere la vita più difficile ai cyber criminali usando anti-malware e aggiornando sempre i software, attivando il geoblocking, garantendo MFA e policy di password forti per il personale, eseguendo regolarmente delle scansioni automatizzate delle vulnerabilità, implementando misure di sicurezza adeguate e assicurando che soltanto specifici indirizzi IP possano accedere al pannello di controllo del negozio.
Nel caso delle vittime di digital skimming, è bene modificare subito tutte le password quando si subisce un’infezione da malware, installare uno scanner anti-malware per individuare eventuali backdoor piazzate dai truffatori, raccogliere le prove disponibili e segnalare l’attacco alla Polizia postale, presentando una denuncia o una segnalazione. Purtroppo, se il sito è compromesso, risulta molto difficile per un utente evitare di essere vittima di skimming. Un caso tristemente famoso è quello avvenuto a British Airways nel 2018: la compagnia aerea britannica ha annunciato il furto di dati dei propri clienti sia dal proprio sito web che dall’app. I cyber criminali hanno sottratto informazioni su 500mila utenti e 380mila carte di credito. Per il gigantesco data breach di mezzo milione di persone, British ha dovuto pagare una maxi sanzione dell’ICO (l’Information Commissioner’s Office) da 20 milioni di sterline, pari a 22 milioni di euro.
