Questa sera alle 20 sarò ospite di Banca Raiffeisen Valposchiavo per una serata pubblica sul tema delle banche e della sicurezza informatica dal punto di vista dell’utente e cliente; racconterò le mie esperienze nel settore e presenterò dati e consigli per operare in piena tranquillità con i conti bancari online. 

La serata si terrà al salone "La Torr" a Poschiavo e sarà moderata da Antonio Platz. Al termine della serata seguirà un rinfresco.

---

2023/03/05 01:00. La serata è andata molto bene (anche dal punto di vista alimentare, con una cena squisita di specialità locali); aggiungo giusto qualche appunto di viaggio elettrico che forse può interessare ad altri utenti.

La Dama ed io siamo andati a Poschiavo in auto elettrica (con Tess) da Lugano in 3 ore e 10, senza fare soste. La distanza è modesta (solo 150 km), ma il tempo lungo è stato dovuto al fatto che la strada è tutta statale o superstrada e passa per moltissimi paesi, per cui il limite di velocità oscilla fra 50 e 90 km/h; inoltre abbiamo sbagliato strada una volta, perdendo una ventina di minuti (ovviamente abbiamo sbagliato uscita proprio in un punto in cui non c’era modo di tornare indietro per parecchi chilometri). 

All’arrivo non abbiamo caricato, anche se c’era una colonnina libera nel parcheggio davanti all’albergo, perché tanto avevamo ampio margine di carica residua per l’indomani.

Al ritorno siamo partiti alle 10.30 e ci siamo fermati al Supercharger vicino a Sondrio (Forcola) a caricare alle 11.35 con il 30% di carica residua; la stazione di ricarica rapida Tesla è direttamente sulla statale, per cui non ci sono deviazioni da fare per arrivarci. Fra l’altro, è una stazione Tesla aperta anche ai veicoli di altre marche (basta avere l’app Tesla associata a una carta di credito e un’auto/moto con connettore CCS).

Ci sarebbe bastato un quarto d’ora di carica, ma abbiamo fatto una lunga tappa allo spaccio dolciario per fare incetta di golosità e ci siamo presi un caffé, e in meno che non si dica è passata un’ora (non l’avremmo mai detto: ho dovuto controllare gli orari delle foto che ho fatto). Così abbiamo caricato ben più del necessario (fino all’89%) e da lì siamo rientrati a Lugano alle 14.30. Tempo dedicato alla carica: zero. E per di più la carica per noi è gratuita grazie ai referral.

L’unico aspetto tecnico significativo di un viaggio di oltre 320 km è stato che non ho mai fatto un percorso così lungo interamente a bassa velocità, per cui ho potuto vedere effettivamente quanto la velocità (e quindi la resistenza aerodinamica) influenza i consumi. Normalmente a velocità autostradali (120-130 km/h) Tess consuma circa 200 Wh/km; per questo viaggio ha consumato 163 Wh/km. Questo vuol dire che, con una batteria da 62 kWh effettivi usabili, la sua autonomia a velocità autostradale è di 310 km (come ho potuto verificare), ma questa autonomia sale a 380 km a velocità da strada statale. Andare più piano ha un effetto notevolissimo sull’autonomia.

Ovviamente fare 150 km a una media effettiva di 50-60 km/h richiede molto più tempo che fare la stessa strada al doppio di velocità media, ma in questo caso non avevamo scelta. Più in generale, conviene sempre valutare se ci vuole meno tempo totale andando alla velocità massima consentita dai limiti e dal traffico ma fermandosi a caricare, oppure andando leggermente più piano del limite consentito in modo da evitare di far tappa per raggiungere la colonnina e caricare.

C’è una celeberrima scena di Terminator 2 (1991) nella quale il giovane John Connor riesce a farsi dare soldi da un Bancomat semplicemente collegandogli un cavetto e un mini-computer portatile (un Atari Portfolio). È fantascienza, direte voi: finzione cinematografica. Non può essere così facile “hackerare” un Bancomat.

In realtà sì, perlomeno secondo quanto riferisce Wired.com. Alcuni Bancomat dotati di componenti NFC (quelli che consentono di appoggiare la carta di credito invece di inserirla) hanno un difetto che consente un attacco ancora più elegante di quello mostrato al cinema dal regista James Cameron in Terminator 2: basta avvicinare al terminale uno smartphone Android contenente un’app appositamente programmata e diventa possibile mandare in tilt il Bancomat, modificarne il funzionamento in modo che raccolga e trasmetta dati delle carte di credito, alterare il valore delle transazioni e, in almeno un modello, fare quello che in gergo si chiama jackpotting, ossia far erogare al dispositivo una pioggia di banconote.

Ma niente panico: lo ha scoperto uno dei “buoni”, il consulente informatico spagnolo Josep Rodriguez, che per mestiere verifica la sicurezza dei sistemi informatici bancari per conto delle aziende produttrici, che sono già state allertate oltre sette mesi fa. Il problema è stato corretto, anche se alcuni Bancomat possono continuare a manifestarlo se non sono stati aggiornati.

Un attacco così semplice da sembrare finzione scenica è in realtà possibile per via di un difetto elementare e classico: il software che gestisce molti lettori contactless (NFC) non fa alcuna validazione delle dimensioni del pacchetto di dati mandato dalla carta quando viene avvicinata al sensore.

Il software si aspetta che si tratti di una carta di pagamento, che si comporta secondo gli standard, e si fida di quello che la carta gli manda. L’app di Rodriguez, però, manda un pacchetto di dati centinaia di volte più grande del normale e questo genera un classico buffer overflow che permette di prendere il controllo del Bancomat o terminale di pagamento.

Per noi utenti, comunque, il rischio è minimo: le falle scoperte da Rodriguez non consentono di leggere il PIN e o i dati presenti nel chip integrato nella carta e riguardano soltanto le vecchie carte senza chip integrato, raramente usate in Europa. Il disagio è soprattutto per le banche, che devono aggiornare centinaia di migliaia di terminali in tutto il mondo.

Ieri sera (30 luglio) è andata in onda una puntata di Falò dedicata al fenomeno degli “spalloni digitali”, ossia le persone che riciclano inconsapevolmente denaro rubato: un problema che colpisce anche la Svizzera, nonostante le misure di sicurezza prese dalle banche per proteggere le transazioni online.

In uno dei casi citati, al quale ho collaborato, il denaro (11.400 CHF) era stato rubato dai criminali da un conto corrente e trasferito sul conto corrente dello “spallone” inconsapevole. La puntata è visibile qui sotto.


Ma come fanno i criminali a prendere il controllo dei conti correnti eludendo le protezioni antifrode? L'esperto di sicurezza informatica Oliver Hough ha seguito e raccontato su Twitter un esempio delle tecniche utilizzate, che è meglio conoscere per evitare di esserne gabbati.

Tutto comincia con un SMS che sembra provenire da una banca e avvisa "È stato effettuato un tentativo di pagamento tramite un dispositivo nuovo. Se non sei stato tu, visita Payee-alert[punto]cc/hsbc”.

Se si seguono queste istruzioni (provenienti in realtà dai truffatori), si viene portati a un sito (gestito sempre dai truffatori) che somiglia a quello della banca. La vittima immette le proprie credenziali di accesso in questo sito, e in tempo reale uno dei truffatori prende queste credenziali e le immette nel vero sito della banca prima che scadano.

A questo punto se la banca chiede password o altre verifiche, il truffatore presenta alla vittima delle pagine che richiedono queste informazioni, le intercetta e le immette nel vero sito della banca. Per esempio, spiega Hough, se la banca invia un SMS con un codice di verifica, i truffatori mandano alla vittima una finta pagina in cui immettere il codice.

La vittima crede di interagire con la banca vera e quindi immette quanto richiesto nella pagina finta; il truffatore legge quello che è stato immesso e lo digita nel sito vero della banca. Questo sistema funziona anche con le app di autenticazione e con i vari dispositivi generatori di codici usati da alcune banche.

Il fatto che ci sia un truffatore che segue personalmente e in tempo reale ogni vittima può sembrare incredibile, ma per i truffatori ha molto senso, perché una singola vittima può fruttare decine o centinaia di migliaia di franchi, euro, dollari o altra valuta. Un collega di Hough lo ha verificato immettendo, al posto delle credenziali, delle parole di scherno verso i truffatori e ha ricevuto in risposta una pagina su misura.

i inputted 'we_know_who-you_are_hehe' and they redirected me to this LOL! pic.twitter.com/nHApU2IM6W

— zseano💫 (@zseano) July 12, 2020

La difesa, in casi come questi, è solo la prevenzione: non bisogna mai cliccare su link apparentemente bancari ricevuti via SMS, WhatsApp, mail o altro, ma bisogna visitare manualmente il sito della propria banca oppure lanciare l’app della banca stessa.

Hough è andato oltre: si è procurato il software usato dai truffatori e l’ha installato e configurato in una decina di minuti, notando quanto sia facile da usare. Questo significa che saranno sempre più numerosi i criminali che lo useranno. Meglio essere prudenti e consapevoli.