Consapevolezza digitale per transazioni elettroniche in ...
19
Consapevolezza digitale per transazioni elettroniche in sicurezza 26 ottobre 2020
Transcript of Consapevolezza digitale per transazioni elettroniche in ...
Consapevolezza digitale per transazioni elettroniche in
sicurezza
26 ottobre 2020
Budget dedicato alla sicurezza IT
Nel 2020 è stato preventivato un incremento degli investimenti nell’ambito della sicurezza IT rispetto altotale del budget stanziato per le strutture IT dalle banche.I volumi di spesa previsti per la sicurezza IT rispetto al totale del budget IT, passano dal 7% dello scorso annoal 12% per l’anno in corso (dati rilevati su un campione di 13 rispondenti).
Percentuale budget dedicato alla sicurezza IT rispetto al totale del budget IT: spesa impiegata nel 2019 e prevista per il 2020.
Attività di Awareness
Tematiche affrontate con la clientela
95%
74%68%
63%58%
47%
26% 26%
11%0%
20%
40%
60%
80%
100%
Gestione sicura dell’identità e degli
strumenti di sicurezza forniti
dall’organizzazione
Utilizzo sicuro deglistrumenti di
pagamento (es. carte)
Corretto utilizzo dellaposta elettronica
Sicurezza nell’utilizzo dei dispositivi quando
connessi alla rete
Utilizzo sicuro deidevice mobili
Rischi legati all’e-commerce
Money muling Rischi legati ai socialnetwork
Altro
Gestione dell’identità Strumenti di pagamento Utilizzo e-mail
Attività di Awareness
Canali di Comunicazione verso la clientela
Portale Internet Banking In Filiale Via e-mail
Attività di Awareness
Attività di formazione interna su tematiche di sicurezza cyber e frodi Team Security Contact Center Top Management
89%83% 83%
78%72%
67%
0%
20%
40%
60%
80%
100%
Formazione personalespecialistico (team sicurezza)
Formazione personale diContact Center
Formazione Top Management Formazione personale di BackOffice
Formazione personale di filiale Formazione personale di helpdesk
Strumenti tecnologici per il monitoraggio e la rilevazione di attacchi rivolti alla propria clientela
• Le soluzioni più diffuse riguardano: il monitoraggio di transazioni anomale disposte via Internetbanking, Strumenti di monitoraggio tramite servizi di Mobile App e Monitoraggio accessi a Mobile App
• Sale la quota che delle banche che impiegano l’analisi automatica dei log di accesso all’internet bankinge gli strumenti di intelligence.
• Molto impiegato anche il monitoraggio della rete per identificazione siti contraffatti e risale l’impiego disoftware per rilevare la presenza di malware nel dispositivo utilizzato dall’utente.
95%84% 84% 79% 79% 74% 68% 63%
47%
STR
UM
ENTI
PER
IL
MO
NIT
OR
AG
GIO
TR
AN
SAZI
ON
I A
NO
MA
LE
DIS
POST
E V
IA I
NTE
RN
ET
BA
NKI
NG
STR
UM
ENTI
SPE
CIF
ICI
PER
IL
MO
NIT
OR
AG
GIO
TR
AN
SAZI
ON
I A
NO
MA
LE
TRA
MIT
E SE
RV
IZI
DI
MO
BIL
E A
PP
MO
NIT
OR
AG
GIO
AC
CES
SI A
M
OB
ILE
APP
AN
ALI
SI A
UTO
MA
TIC
A D
EI
LOG
DI
AC
CES
SO
ALL
’IN
TER
NET
BA
NKI
NG
STR
UM
ENTI
DI
INTE
LLIG
ENC
E PE
R R
ILEV
AR
E A
TTA
CC
HI
O A
VV
ENU
TE
CO
MPR
OM
ISSI
ON
I/LE
AK
MO
NIT
OR
AG
GIO
DEL
LA R
ETE
PER
ID
ENTI
FIC
AZI
ON
E SI
TI
CO
NTR
AFF
ATT
I
SOFT
WA
RE
PER
RIL
EVA
RE
LA
PRES
ENZA
DI
MA
LWA
RE
NEL
D
ISPO
SITI
VO
UTI
LIZZ
ATO
D
ALL
’UTE
NTE
STR
UM
ENTI
DI
RA
TIN
G P
ER
VA
LUTA
RE
LA S
ICU
REZ
ZA
DEL
LA R
ETE
STR
UM
ENTI
IN
USO
PR
ESSO
C
ENTR
I SE
RV
IZI
ESTE
RN
I
Contromisure tecnologiche di contrasto
Il monitoraggio delle transazioni operato dalla banca è la modalità principale con cui sono state rilevate disposizioni dipagamento online sospette o fraudolente.L’efficienza del monitoraggio è inversamente proporzionale alla percentuale di disconoscimento del cliente che resta la secondamodalità di rilevazione.
Monitoraggio delle transazioni interno all’organizzazione
65%
Segnalazione da servizio di terzi
7%
Segnalazione di altre …
Segnalazione delle Forze dell’Ordine
2%
Segnalazione del Cliente
(disconoscimento)23%
Segnalazione dalle Filiali1%
Fonti di segnalazione di operazioni fraudolente - segmento Retail (Andamento medio su 20 rispondenti)
Monitoraggio delle transazioni interno all’organizzazione
64%
Segnalazione da servizio di terzi
8%
Segnalazione di altre
organizzazio
Segnalazione delle Forze dell’Ordine
2%
Segnalazione del Cliente
(disconoscimento)24%
Segnalazione dalle Filiali1%
Fonti di segnalazione di operazioni fraudolente - segmento Corporate
(Andamento medio su 17 rispondenti)
L’emergenza COVID19 ha cambiato il nostro modo di vivere e di lavorare
UTILIZZO DEI SERVIZI DIGITALI OFFERTA DEI SERVIZI DIGITALI POTENZIAMENTO DELL’ASSISTENZA REMOTA
SCALABILITÀ DEI SISTEMI IT SMART WORKING E CAMBIAMENTO CULTURALE
SINERGIE ORGANIZZATIVE
Conseguenze operative della pandemia da Covid-19
La pandemia ci ha costretto anche ad avviare dei processi virtuosi, in alcuni casi addiritturaspontanei.Processi interni e verso la clientela, che con tutta probabilità persisteranno anche apandemia conclusa:
Enorme progresso nella cultura digitale
Accelerazione nei processi di digitalizzazione di alcune attività (es. emissione carte direttamente su smartphone)
Remotizzazione delle attività di filiale che non prevedono materialità
Adozione estesa della firma digitale
Diffusione massiva dello Smart Working
Evoluzione dello scenario
In linea con quanto accaduto nel resto d’Europa, anche in Italia l’emergenza dovuta allapandemia Covid-19 ha prodotto conseguenze che hanno coinvolto e impattato il settoredella Sicurezza Informatica:
Massiccio ricorso allo Smart Working
Aumento enorme della mole di traffico dati Maggiori opportunità per attacchi basati su social engineering
Incremento significativo di campagne di disinformazione
Adattamento dei modelli di frode ai nuovi scenari in atto
Quali Cyber Threats (1/2)
Al fine di monitorare al meglio la situazione nel settore, il CERTFin ha predisposto una rilevazionedati che ha permesso di realizzare un bollettino sulle principali minacce informatiche diramatosettimanalmente alla nostra Constituency.
Tra le minacce più significative, a tema Covid-19 ma non solo, si segnalano:
• Crescita esponenziale delle campagne di phishing, spesso a tema COVID-19, dove, facendo levasulla ipersensibilità del momento, venivano inoltrati allegati malevoli mascherati daraccomandazioni solo apparentemente provenienti da organizzazioni sanitarie e/o istituzionali.
• Attraverso queste campagne vengono diffusi i principali malware del periodo (Trickbot, Lokibot,Cerberus, Remcos…). I malware osservati in questa fase hanno un’ampia varietà di obiettivi: furtodi credenziali, finalizzare una frode, cifrare i dati presenti sul PC, etc…
• Sono state segnalate diverse truffe. Ad esempio, in alcuni siti web, afferenti a società inesistenti,era possibile acquistare dispositivi di protezione personale. Tali dispositivi, quando e seconsegnati agli acquirenti, si rivelavano essere completamente non a norma.
Quali Cyber Threats (2/2)
Incremento dei money mule inconsapevoli: persone che probabilmente cadono in alcune“campagne di reclutamento” in conseguenza della precaria situazione lavorativa che purtroppo,in questa fase, coinvolge alcune parti della popolazione.
Il social engineering resta la minaccia principe, attuata con i mezzi più fantasiosi e spessomescolata con altre componenti al fine di preparare attacchi con tecniche miste che, per lasofisticazione raggiunta, risultano particolarmente insidiosi per le fasce meno «aware» rispettoalla minaccia cyber.
È stata anche segnalata una truffa da parte di falsi dipendenti bancari che, utilizzando comeespediente la necessaria sanificazione del contante, sottraggono il denaro presentenell’abitazione della vittima.
La frode SIM SWAP
Negli ultimi anni si è attestata la crescente diffusione di un fenomenofraudolento effettuato attraverso l'utilizzo combinato di credenziali di accesso(rubate) e SIM card (sostituite) nei confronti di un ignaro cliente "vittima": ilcosiddetto «SIM SWAP».
A fine 2018, grazie al supporto di Banca d'Italia e AGCOM (Autorità per leTelecomunicazioni), è stato creato un tavolo di lavoro congiunto tra CERTFin egli operatori Telco, i cui obiettivi sono quelli di avviare una sperimentazione supossibili contromisure tecniche a contrasto del fenomeno. Tali attività sonocoordinate dal Comitato Tecnico Antifrode per le telecomunicazioni.
Partendo dai dati raccolti dal CERTFin attraverso la sua survey annuale si osserva che:
- Nel 2017, le banche hanno identificato 45 casi di SIM Swap (con perdite economiche)
- Nel 2018, le banche hanno identificato 128 casi di SIM Swap (con perdite economiche)
- Nel 2019, le banche hanno identificato oltre 1000 casi di SIM Swap (con perdite economiche)
La frode di SIM SWAP
14
Il CERTFin ha avviato una collaborazione intersettoriale con gli operatori di telefonia per contrastare il fenomeno
FASE 1
FASE 4 FASE 3
Il frodatore raccoglie le informazionipersonali dei clienti tramite azioni diPhishing, Vishing, Smishing o altri tipi diazione di ingegneria sociale.
Il frodatore richiede al provider competente ilblocco della SIM Card del numero di telefonodi della vittima e richiede una copia della SIMCard utilizzando un documento di identitàfalso.
Il provider disattiva la scheda SIM originale e ne consegna una nuova al frodatore.
Il frodatore, utilizzando le credenziali rubate, èora in grado di effettuare transazioniautorizzandole con l’OTP che viene ricevutosulla nuova carta SIM ora in suo possesso
FASE 2
Proteggi i tuoi device!
2. Proteggi il traffico in entrata e in uscita dai tuoi device mediante l’installazione di opportuni programmi di filtraggio del flusso di dati, denominati firewall.
29/10/2020 CERTFin. Difende. Informa. Evolve. 15
1. Difendi da virus e spyware il device (computer, tablet, smartphone) dal quale effettui le operazioni di internet banking installando e mantenendo aggiornati opportuni software di protezione (anti-virus, anti-spyware, …) ed effettua scansioni periodiche.
3. Tieni costantemente aggiornati il sistema operativo e gli applicativi dei tuoi device, mediante l’installazione delle cosiddette patch (“toppe” di protezione). Scarica solo gli aggiornamenti ufficiali.
4. Durante la navigazione su Internet, non permettere che vengano eseguite attività da remoto senza la tua autorizzazione e consenti l’installazione dal web dei soli programmi di cui è possibile verificare la provenienza.
5. Verifica l’autenticità della connessione con la tua banca mediante il controllo accurato del nome del sito nella barra di navigazione. Ove presente, è opportuno cliccare due volte sull’icona del lucchetto nella finestra di navigazione e verificare la correttezza dei dati che vengono visualizzati.
Semplici regole di sicurezza
• Diffida di qualunque richiesta di dati relativi a carte di pagamento, chiavi di accesso all’home banking o altre informazioni personali. La tua banca non richiederà mai tali informazioni.
• Se vuoi connetterti al sito della tua banca, scrivi direttamente l’indirizzo nella barra di navigazione. Non cliccare su link presenti in e-mail sospette, in quanto questi potrebbero condurti a un sito contraffatto, molto simile all’originale.
• Controlla regolarmente le movimentazioni del tuo conto corrente per assicurarti che le transazioni riportate siano quelle realmente effettuate.
• Diffida di qualsiasi messaggio (proveniente da posta elettronica, siti web, contatti di instant messaging, chat o peer-to-peer) ti inviti a scaricare programmi o documenti di cui ignori la provenienza.
• Presta attenzione se riscontri anomalie rispetto alle abituali modalità con cui ti viene richiesto l’inserimento dei dati personali sul tuo sito di home banking.
29/10/2020 CERTFin. Difende. Informa. Evolve. 16
INTERNET È UN PO’ COME IL MONDO REALE !Come non daresti a uno sconosciuto il codice PIN del tuo bancomat, allo stesso modo non consegnare i tuoi dati senza essere sicuro dell’identità di chi li sta chiedendo.
In caso di dubbio, rivolgiti alla tua banca!
Per evitare brutte esperienze…
HOME BANKING• Digita direttamente l’indirizzo del sito della banca
nella barra di navigazione (http://www.banca...).• Non cliccare mai su link che rimandano al sito della
banca da e-mail o sms sospetti.• Attiva le notifiche delle operazioni effettuate dal tuo
conto ad esempio tramite sms
29/10/2020 CERTFin. Difende. Informa. Evolve. 17
CARTE DI PAGAMENTO• Se le smarrisci o te le rubano, bloccale subito e fai denuncia alle forze dell’ordine.• Assicurati che nessuno ti osservi mentre digiti il PIN durante il prelievo.• Se ti accorgi di un pagamento non autorizzato contatta subito la banca.
MOBILE BANKING•Imposta il blocco automatico dello smartphone quando entra in stand-by.
•Disattiva Wi-Fi, bluetooth e rilevamento della posizione quando non sei connesso.
•Usa solo app ufficiali e se ti rubano lo smartphone blocca il servizio app di mobile banking.
Per evitare brutte esperienze…
29/10/2020 CERTFin. Difende. Informa. Evolve. 18
E-COMMERCE• Usa credenziali diverse per autenticarti
su siti diversi.• Evita di fare transazioni da postazioni in
luoghi poco sicuri.• Fai sempre il log-out prima di uscire da
un sito di e-commerce.
SOCIAL NETWORK• Non usare la stessa password per canali
social e account bancario.• Imposta il tuo profilo social in modo da
garantirti il livello di privacy che desideri.• Presta attenzione a pubblicare foto,
video e post con informazioni personali.
PASSWORD• Cambia regolarmente le tue password.• Non scrivere o comunicare ad altri la password e le chiavi di accesso ai servizi che
usi online.• Evita il salvataggio automatico di password e chiavi d’accesso sul browser.• Non usare la stessa password per più siti.
