DOBBIAMO PREOCCUPARCI? La nuova truffa con Apple Pay

Esiste una truffa per rubare dal tuo telefono decine di migliaia di euro senza che tu te ne accorga, senza dover sbloccare il telefono, e apparentemente nessuno sta facendo nulla. Salve, oggi parliamo di pagamenti, parliamo di sicurezza, perché è successa una cosa decisamente interessante, direi anche inquietante, e potenzialmente molto sottovalutata. Io quando l'ho vista non è che mi sono preoccupato da mettermi le mani nei capelli, quelli, però ho detto porca miseria, questa non me l'aspettavo. E la cosa secondo me molto interessante è che questa specifica truffa che vi racconterò oggi ci darà anche modo di capire meglio come funzionano i pagamenti, come funzionano tutte quelle che sono le transazioni digitali fatte con Apple Pay, con Google Pay, con le carte di credito contactless. Cercheremo di fare un po' di chiarezza e di capirci qualcosa in più, sia perché siamo curiosi e ci piace imparare, sia per evitare potenzialmente di essere fregati. Ora Tutto nasce da un particolare video YouTube fatto dal canale Veritasium, che se non conoscete vi consiglio assolutamente di seguire. Ha fatto un lavorone, nello specifico in collaborazione con dei professori universitari, dei ricercatori, insomma, ha fatto emergere questa criticità che permette di sottrarre a una potenziale vittima da un telefono completamente bloccato potenzialmente qualsiasi cifra e l'unico limite sarebbe il limite dei soldi che hai sul conto corrente, o meglio il limite della carta di credito. C'è da dirlo subito, non siamo di fronte a dei truffatori a caso, siamo di fronte a degli espertissimi di cybersicurezza che hanno fatto un lavorone e sono riusciti appunto a far emergere questa criticità. Detto questo, è decisamente impressionante, tant'è che cameo del video di Veritasium è Marques Brownlee, top. YouTuber tech al mondo, ed effettivamente sono riusciti semplicemente appoggiando il suo iPhone su questo lettore a sottrargli $10.000 in pochi secondi senza nessun problema. E la cosa ancora più assurda è che questa criticità si basa su una vulnerabilità che era emersa nel 2021 e nessuno ha fatto nulla. Detto questo, prima di riassumervi velocemente il video e quindi anche come funziona la truffa e come effettivamente ovviamente si riesce a fare questa cosa. La cosa più impressionante secondo me è il concetto del telefono bloccato e soprattutto di iPhone, che è sempre stato ritenuto tramite Apple Pay uno dei modi più sicuri in realtà di pagare. Facciamo però un passo indietro per capire meglio come funzionano i pagamenti elettronici e le carte di credito. Secondo me è interessante partire dal concetto base, cioè perché le banche a un certo punto hanno iniziato a inventarsi nuovi modi per spendere. Perché il loro obiettivo era far spendere più facilmente, più velocemente alle persone dei soldi. Negli anni '50 nascono le prime carte di credito che erano pazzesche perché erano semplicemente delle carte con dei numeri, dei codici, che per pagare venivano copiati dall'esercente. Si faceva una doppia copia della transazione in modo che sia chi aveva fatto la transazione sia chi la riceveva potesse avere un riscontro. Tutto questo veniva fatto in maniera totalmente analogica con della carta carbone, ed è questo il motivo per cui le carte di credito hanno i numeri a rilievo, cioè è rimasta questa roba sta roba qua che fa molto ridere adesso e che soprattutto in confronto alle criticità di cui parliamo adesso è assolutamente nulla, perché potenzialmente lì bastava copiarti i numeri della carta e tu eri fregato. Questa cosa ovviamente faceva perdere un sacco di tempo. Va avanti la tecnologia, arriva una tecnologia sviluppata in realtà dalla CIA per il riconoscimento del personale. Ai tempi c'erano solo i badge e i documenti di identità fisica, non di certo i documenti elettronici a cui siamo abituati. Sviluppano le prime strisce magnetiche che poi sarebbero finite sulle carte di credito, anche In questo caso però dall'esterno non vedi niente, di fatto però lì sotto c'è una specie di codice a barre, fondamentalmente magnetico, mascherato dalla striscia. Nulla di troppo crittografato o che cosa, motivo per il quale ai tempi era facilissimo clonare una carta di credito, bastava avere semplicemente un lettore in grado di leggere quella roba lì e potenzialmente replicarlo su altre carte. Molto molto facile, però appunto è sempre il compromesso tra velocità e truffe, capito? A quel punto la gente era in grado di spendere soldi semplicemente strisciando la carta sul lettore e via. Avanti veloce, comunque tra gli anni '90 e i primi del 2000 arrivano i primi chip all'interno delle carte. All'inizio per gli importi più bassi potevi strisciare, per gli importi più alti chip più PIN, sicurezza molto più elevata, rimane comunque potenzialmente clonabile con un finto lettore e con una videocamera o dei sensori che in qualche modo vanno a vedere il PIN. Dopodiché arrivano i pagamenti contactless, quindi dentro le carte di credito ci sono delle vere e proprie antenne che sono in grado di ricevere segnali dai lettori, dai POS, e allo stesso tempo, spiegato anche velocemente, ricevere alimentazione, energia temporanea per rimandare segnali indietro. Fondamentalmente fanno passare via aria quello che prima succedeva con il lettore fisico del chip o prima ancora col nastro magnetico. Nulla di rivoluzionario, però sempre partendo dal nostro primo punto, un modo incredibile per far spendere ancora più velocemente i soldi delle persone. E in tutto ciò, parallelamente col migliorare dei vari smartphone, arrivano i primi wallet digitali, arrivano le prime carte su smartphone, su Apple Pay, su Google Pay, su Samsung Pay, che sfruttano fondamentalmente la stessa identica tecnologia, quindi la tecnologia NFC, Near Field Communication, ma addirittura andando a crittografare la carta e facendo uscire un segnale che apparentemente non può essere clonato e non dà nessuna informazione apparentemente utile a chi eventualmente prova a leggere il segnale che esce dal telefono, cosa che invece una carta non fa, cioè una truffa molto comune sono persone che con lettori vanno fisicamente vicino, magari in ambienti molto affollati, alle tasche delle persone con importi particolarmente bassi, che quindi vanno bene per il contactless, perché il contactless ovviamente di solito è limitato a pagamenti bassi. Si avvicinano ai portafogli, si avvicinano alle tasche e riescono a farsi un bel po' di soldini a furia di 5 euro di qua e 5 euro di là. Quindi su questo le carte di credito fisiche paradossalmente sono molto meno sicure che non questa roba qua. Anche perché, se non lo sapete, ogni volta che devi fare un pagamento doppio tap, Face ID oppure codice oppure impronta digitale a seconda del dispositivo, molto più sicuri di un PIN digitato su una tastiera che potrebbe essere comunque compromessa o osservata. Già solo tenendo più carte all'interno di un portafoglio o i vari cosi che bloccano i lettori RFID tra una carta e l'altra, questo rischio viene praticamente annullato. E in generale comunque ci sono tanti altri protocolli di sicurezza che vanno a individuare eventuali transazioni sospette. Comunque tutto questo per dire che sulla carta la la carta di credito funziona, è sicura, ma il pagamento digitale via telefono dovrebbe essere molto più sicuro. Ma soprattutto questa cosa del telefono bloccato è grossa, non è una cosa da poco. Cioè, scusate, è così facile sbloccare il telefono? Fermi tutti che adesso vi spiego. Ma prima, visto che abbiamo parlato di carte e di metodi di pagamento, mi permetto di fare una menzione speciale a Trade Republic, sponsor di questo video. Per chi non lo conoscesse ancora, conto corrente totalmente gratuito con carta, tra l'altro questa bellissima mirror error. Guardate che stile! E a proposito di sicurezza, vi faccio notare che dietro non ci sono neanche i numeri segnati, perché si fa tutto in maniera semplicissima dall'applicazione. Si possono fare una valanga di cose con Trade Republic. La cosa secondo me più bella di tutte è che vengono riconosciuti interessi sui soldi che ci mettete dentro, sul saldo, il 2%, il tasso della BCE corrispondente. Non c'è trucco e non c'è inganno. Guardate qua, questi sono tutti i soldi che mi sono arrivati. Si possono poi fare investimenti in un sacco di cose, è tutto super semplice, super intuitivo, sempre tutto dall'app. E a grandissima richiesta è arrivato finalmente il servizio clienti 24 ore su 24, 7 giorni su 7, in italiano. 10 milioni di clienti in Europa, il conto si apre praticamente in 5 minuti. Se ancora non vi ho convinto, ho per voi una promozione super esclusiva riservata solo ai primi 1000 che si registreranno da questo specifico link o scansionando questo codice. Vi lascio comunque tutti i dettagli nella descrizione di questo video, ovvero ben €50 bonus in ETF rispettando 3 semplici requisiti, ovvero registrarsi tramite il link che vi ho appena dato, versare almeno €100 e fare almeno 3 investimenti anche solo da €1 ciascuno, tutto entro 21 giorni. Quindi occasione decisamente ghiotta, io vi consiglio assolutamente. La mia carta di fatto principale per tutte le mie spese personali quando sono in giro, mi trovo benissimo, ci faccio un po' di investimenti, mi piglio il 2% di quello che c'è dentro ogni mese e siamo dei signori. Detto questo, torniamo a noi. Come diamine è possibile fare tutto quello che abbiamo visto a inizio video? Anzitutto parliamo di un attacco cosiddetto man in the middle, quindi si mette il dispositivo da fregare su un lettore collegato al computer del malintenzionato, che si interfaccia poi con un altro telefono che fa fondamentalmente semplicemente da tramite per andare a pagare poi su un vero POS, su un vero lettore. Ecco, facendo questo si riescono a intercettare le cose che normalmente si scambiano il telefono e il POS e soprattutto si riesce a ingannare sia il telefono sia il POS. Nella fattispecie si dicono due bugie al telefono e una bugia al POS. E la cosa geniale di questa truffa è che non vengono rubati in nessuna forma i dati della carta di credito, semplicemente vengono appunto ingannati sia il dispositivo sia il POS. Come? Andando fisicamente a modificare alcuni bit di informazione che normalmente passa via onde elettromagnetiche quando appunto facciamo il pagamento contactless. Quindi Prima bugia, primo problema: far sbloccare il telefono non serve perché esiste una modalità trasporto che permette di fare pagamenti senza dover sbloccare il telefono. Questa l'hanno introdotta per le metropolitane, i mezzi pubblici, per importi normalmente piccoli. In Italia c'è ma non è neanche così utilizzata, però per evitare che la gente ogni volta si fermi, sblocchi il telefono, faccia e disfa, se sono appunto i $2 della metropolitana, tac, ti avvicini semplicemente al lettore e senza dover sbloccare il telefono la transazione avviene. Ecco, salta fuori che in tutta l'informazione che viene scambiata tra i dispositivi un singolo bit dà o meno l'OK per la transazione. Quindi basta che dal computer del malintenzionato venga cambiato quello specifico bit, il dispositivo è ingannato e non crede di essere di fronte a un normale POS, ma crede di essere davanti a un tornello della metropolitana. Quindi dice: "Vabbè, allora non serve sbloccare col codice, vai pure", dico io. Tra l'altro questo l'hanno scoperto semplicemente andando in giro per le varie stazioni delle metropolitane con dei computer, dei lettori, e vedendo effettivamente qual era quel singolo bit incriminato. Quindi in questo modo si risolve il problema del codice, ma dovrebbe valere solo per cifre piccole, vero? Sì, ed ecco perché entra in gioco la seconda bugia che si dice al dispositivo, ovvero si finge che quella sia una piccola transazione e quindi valida e comparabile con una transazione di una metropolitana, per esempio. Come si fa? Cambiando un altro bit, perché per essere efficiente e veloce il sistema non va a vedere il singolo valore della transazione, ma va a semplicemente classificarla come di alto valore o di basso valore, 1 o a 0, anche perché questa cosa cambia da nazione a nazione, da periodo si può alzare, si può abbassare, può essere una cosa dinamica. E quindi cambiando questo altro bit, il telefono pensa di star facendo una transazione di pochi euro sul lettore di un tornello di un mezzo pubblico. Cioè, anche se sono $10.000, iPhone è stupido e non lo vede di fatto. Ovviamente però c'è il problema che il lettore fa un doppio controllo, anche perché se c'è una transazione così alta senza codice, il lettore vede che c'è qualcosa che non va. Oltre al fatto che normalmente le transazioni nei mezzi pubblici, nelle metropolitane, sono pensate per essere fatte senza connessione, perché magari sottoterra non c'è connessione e quindi servono procedure in più per autenticare la transazione. Ecco, in questo caso si inganna il lettore modificando un altro bit, che è il bit che dice al lettore: guarda che non ho chiesto nessuna autorizzazione all'utente. E così il lettore, che nel mentre rimane sempre connesso a internet e quindi non ha tutti i protocolli aggiuntivi che hanno i lettori che veramente sono sottoterra nei mezzi pubblici senza internet, riceve come messaggio che la transazione è ok, l'utente te l'ha fisicamente autorizzata, anche se non è vero, autorizza al debito e bang, fregati, $10.000. Ora, sebbene a livello hardware sia relativamente facile, perché basta un lettore di quelli che si trovano a poche decine o centinaia di euro su Amazon, se volete fare i truffatori ve lo lascio qua sotto in descrizione. Tra l'altro, a proposito di Amazon, piccola postilla al volo per ricordarvi che se state guardando questo video nei giorni in cui è uscito, dal 22 al 28 aprile c'è la settimana della tecnologia con un sacco di offerte dedicate alla tecnologia. E vi ricordo che giorno dopo giorno sui nostri canali Telegram e WhatsApp, che sono sempre comunque qua sotto nella descrizione. Vi segnaliamo tutte le migliori offerte con coupon esclusivi, con errori di prezzo, un sacco di roba. Andate a darci un occhio. Basta marchette però, ve lo giuro, basta, finite. Ecco, se basta un computer, un lettore, un altro telefono, quello che c'è dietro è molto complesso da replicare nel mondo vero su larga scala. Non è una roba fatta da truffatori così, ma è una roba fatta da ricercatori tra i migliori in quell'ambito, e soprattutto con una serie di cose allineate. Punto 1: questa cosa funziona solo con un tipo di smartphone, gli iPhone. Sorpresa sorpresa, sia Google Pay sia Samsung Pay, che sulla carta sarebbero anche meno sicuri di iPhone, in realtà non vengono attaccati da questo specifico attacco. E funziona solo con le carte Visa, perché le altre carte hanno altri protocolli che comunque vanno a proteggere, vanno a evitare, vanno a non rendere possibile questa cosa. Poi ci sono anche tante altre cose di sicurezza che vanno comunque a bloccare attacchi di questo tipo, e questo è il motivo per cui nessuno sta facendo Niente, cioè si predilige comunque l'efficienza di questo sistema che funziona al dover cambiare protocolli, cambiare tutto, perché ormai questo è il sistema. E alla peggio Visa si accolla il problema e rimborsa tutto, come hanno dichiarato nel video di Veritasium. Quindi tutto questo per dire che sì, fa impressione quando lo vedi, ma poi nella realtà dei fatti non è una truffa che veramente sta rubando milioni di euro in giro per il mondo. A questo punto però, prima di concludere, vedo già quelli: hai visto Apple che doveva essere più sicura, invece non più sicura. Fermi tutti, perché punto 1: per evitare proprio totalmente che questa truffa si possa fare, basta semplicemente non attivare la modalità trasporto. Quindi se la disattivate, o se non ce l'avete attiva, nessuno può toccarvi niente, a meno che non sappiano effettivamente il codice del vostro telefono. Punto 2: per quanto Google Pay e Samsung Pay in questo specifico caso sono più sicuri, perché effettivamente loro vanno a controllare che la transazione sia piccola, non è solo alto valore o basso valore che quindi è facilmente modificabile. Però senza entrare nel tecnico, C'è anche da dire che la differenza intrinseca tra Apple Pay e Google Pay, per esempio, è che i dati segreti della carta di credito su Apple Pay vengono sempre conservati sul dispositivo. Su Google Pay invece, in maniera crittografata, in maniera sicura, in maniera segreta, tutto quello che volete, però vanno sempre comunque a finire sui server di Google. Questo che state vedendo è proprio il grafico dello schema di come funzionano le cose. Quindi sulla carta Apple Pay rimane il metodo di pagamento più sicuro che esista, tranne per questa cosa che è veramente problematica. Apple potrebbe risolverla? Probabilmente sì. E più un problema della carta in questo caso, proprio perché, o meglio del circuito, perché gli altri circuiti non hanno questo problema. Però porca miseriaccia, amici, state attenti, non fatevi clonare le carte, abbiate sempre quegli occhi di riguardo in più. Tra l'altro fa molto ridere, perché anche riflettere, anche preoccuparsi, perché anche negli articoli internazionali, soprattutto degli americani che me li vedo in vacanza in Italia, citavano ovviamente tutti i vari furti nelle metropolitane di Milano e di Roma proprio come benchmark mondiale. Ottimo lavoro ragazzi! Vi ricordo, se cercate un conto con una carta super top, veloce, senza problemi, che si fa tutto da smartphone e adesso anche con l'assistenza 24 ore su 24, Trade Republic qua sotto in descrizione con questa promozione super esclusiva di €50 bonus in ETF. E noi ci vediamo prossimamente con prossimi video e prossime cose. Spero anche con questi video un pochino più raccontati, vi possano piacere! Ciao ciao... ciòciociocio—