😱 BANK OF IRELAND: smishing e vishing ai massimi livelli

Nell'estate del 2023 in Irlanda migliaia di clienti della Bank of Ireland hanno ricevuto un messaggio sul telefono. L'SMS proveniva dalla loro banca e li invitava a cliccare su un link per verificare un accesso sospetto. In molti lo hanno fatto. È in questo modo quasi banale che è partita una delle campagne di smishing più efficaci degli ultimi anni. I truffatori hanno avuto accesso ai conti correnti di centinaia di utenti, trasferendo denaro a conti offshore e provocando un'ondata di panico. I malintenzionati sono riusciti perditi persino a prelevare denaro da conti vuoti, con danni economici enormi per la banca. Ma come hanno fatto a ottenere tutto questo? Solo con un messaggio ben scritto. Ciao a tutti e benvenuti in questo nuovo video. Sono contenta di trattarlo poco dopo quello sulle VPN, perché molti di voi nei commenti a quel video hanno giustamente osservato che ormai svuotare un conto corrente è diventato molto più complicato con tutti i sistemi di autenticazione richiesti. Ma quello che non viene tenuto abbastanza in considerazione è che il punto più debole di qualsiasi sistema di sicurezza non è il software, non sono le password, non sono i firewall, non è l'HTTPS, non è la VPN. Il punto più debole siamo noi, con le nostre paure, le nostre ansie, la nostra fretta di risolvere i problemi e soprattutto la nostra naturale tendenza a fidarci. E quindi certo che basta un messaggio ben congegnato per fregarci, a prescindere da quanto sia sicuro un sistema. Ma andiamo con ordine. L'attacco l'attacco ai danni di Bank of Ireland non si è manifestato come un singolo incidente isolato, bensì come una serie di ondate di frodi via SMS e telefono che hanno colpito l'Irlanda nel corso del 2023. Iniziò tutto a febbraio di quell'anno, quando prese il via una massiccia campagna di smishing studiata nei minimi dettagli. Tantissimi cittadini irlandesi ricevettero sul proprio telefono un SMS apparentemente proveniente da eFlow, il sistema di pedaggi elettronici che praticamente ogni automobilista irlandese conosce e utilizza, l'equivalente del nostro Telepass. Il testo, conciso e allarmante al tempo stesso, diceva: "E-Flow, hai un addebito in sospeso di €6,32 relativo a un viaggio effettuato a gennaio 2023. Ti preghiamo di pagare ora per evitare eventuali penali tramite eflow-e-payment.com." Niente errori grammaticali, niente promesse mirabolanti, niente principi africani. Solo un messaggio apparentemente burocratico che faceva leva su una delle paure più comuni di ogni automobilista, ovvero quella di ritrovarsi con una multa salata per pedaggi non pagati. Anche la scelta dell'emittente non era casuale. iFlow era il servizio perfetto per attuare una truffa di massa, perché gestisce pagamenti frequenti per piccoli importi e comunica regolarmente con i clienti tramite SMS per avvisi e solleciti di pagamento. In altre parole, ricevere un messaggio da iFlow con la richiesta di un pagamento di un piccolo importo era perfettamente normale, soprattutto perché i truffatori avevano falsificato il reale emittente, in modo che non solo il messaggio comparisse come proveniente da iFlow, ma si inserisse addirittura all'interno della conversazione fra il cliente e il vero eFlow. Nel giro di poche settimane migliaia di persone cliccarono sui link fraudolenti, vennero reindirizzate a siti web che erano copie perfette del portale eFlow ufficiale e inserirono i dati delle loro carte di credito per pagare il fantomatico pedaggio. Ma i criminali non si fermarono lì. Una volta ottenuti i dati della carta, utilizzarono queste informazioni per accedere ai conti bancari delle vittime, spesso riuscendo a sottrarre altro denaro. L'effetto, come potete immaginare, fu devastante. I criminali creavano fino a 10 nuovi siti web fraudolenti al giorno, sostituendo quelli che venivano man mano individuati e chiusi dalle autorità. Uno degli istituti bancari più preoccupati del fenomeno fu proprio Bank of Ireland, che diramò vari avvisi ai suoi clienti per avvertirli del tentativo di truffa e di non cliccare su link sospetti provenienti da iFlow. E a quel punto i criminali cambiarono target. Tra la primavera e l'estate del 2023 iniziò una nuova ondata di messaggi fraudolenti che questa volta abbandonavano completamente l'aspetto burocratico e istituzionale. Personale, facendo invece leva sulla relazione più profonda e primordiale che esista: quella tra genitori e figli. I messaggi arrivavano con testi del tipo: "Ciao mamma, ho perso il telefono e sto usando quello di un amico. Ho un'emergenza e ho bisogno che mi mandi del denaro urgentemente. Puoi trasferire 200 euro su questo conto? Ti spiego tutto dopo. Ti voglio bene, ciao." Tra l'altro, i criminali avevano fatto i compiti. Ai numeri intestati a una donna il messaggio iniziava appunto con "Ciao mamma", a quelli intestati a un uomo con "Ciao papà". Questa truffa fu da un lato più di impatto della precedente, perché si chiedevano in una volta sola somme maggiori. Dall'altro ci volevano davvero poche ore perché le vittime si rendessero conto di essere state truffate. Nel caso di iFlow invece non tutti si accorgevano della cosa, molti pensavano di aver pagato quei 6-7 euro e basta. Anche rispetto a questa seconda ondata Bank of Ireland diramò degli avvisi, per quanto molti cittadini ormai fossero già caduti nella trappola. Fu a quel punto che i criminali iniziarono a colpire direttamente la banca. In confronto all'attacco diretto a Bank of Ireland, le truffe di iFlow e del figlio erano solo il riscaldamento. Non si trattava più di semplici SMS o di chiamate fraudolente, ma di operazioni coordinate che combinavano phishing, smishing, ingegneria sociale e tecniche di accesso remoto, in cui cascarono tantissime persone. In questo caso, fra l'altro, le vittime prescelte erano quasi sempre amministratori delegati, titolari di aziende, o comunque responsabili e dirigenti dell'area finanziaria dell'azienda, quindi qualcuno che poteva essere effettivamente contattato per un problema sul conto corrente. Gli schemi tipici di questa truffa erano 3. Il primo, il più semplice, era abbastanza simile a quelli precedenti. La vittima riceveva un SMS apparentemente proveniente da Bank of Ireland, tanto che anche questo si inseriva all'interno della stessa conversazione. Il messaggio diceva ad esempio: abbiamo rilevato attività sospette sul suo conto, chiami questo numero oppure clicchi qui per verificare, e rimandava a un sito tipo bankofireland-security.com, che ovviamente col sito della banca non c'entrava nulla. Cliccando si apriva un sito identico identico a quello della banca e veniva richiesto al cliente di fare l'accesso con i propri dati, compreso l'inserimento del codice OTP generato dalla vera app della banca. Parallelamente i criminali utilizzavano le credenziali inserite e l'OTP per accedere al vero portale e preparare un bonifico istantaneo verso i propri conti. Al cliente nel frattempo sul sito fasullo veniva chiesto di inserire altri dati, giusto per prendere tempo, come il proprio nome e cognome, la data di nascita e così via. E quando i criminali avevano il bonifico pronto, al cliente veniva chiesto, ultimo step della verifica di inserire un altro codice OTP generato dall'app, che ovviamente serviva questa volta ad autorizzare la transazione. Il cliente terminava la procedura in modo abbastanza tranquillo, ma non ci metteva molto a rendersi conto di aver autorizzato un bonifico che molto spesso esauriva i suoi fondi, anche perché i malintenzionati, avendo accesso al conto, vedevano anche la disponibilità e quanto potevano sottrarre. Il secondo schema comprendeva anche una telefonata alla vittima. La telefonata poteva essere fatta o dai malintenzionati o dalla vittima stessa. Stessa, perché se vi ricordate nell'SMS veniva data la possibilità anche di chiamare e risolvere via telefono. Questa volta i criminali dicevano che il conto era stato violato e che quindi era necessario aprire un nuovo conto, sempre della stessa banca e sempre intestato alla vittima. Quest'ultima veniva quindi invitata a fornire i dati necessari e alla fine a effettuare un bonifico istantaneo per trasferire tutti i soldi all'interno del nuovo conto, che ovviamente non era intestato alla vittima ma ai criminali. Le venivano poi forniti un nuovo falso IBAN e nuovi codici e Swift, proprio come se effettivamente fosse stato attivato un nuovo conto corrente a suo nome. Il terzo schema iniziava in modo molto simile ai precedenti, ma alla vittima per telefono veniva richiesto di installare un software di controllo remoto come TeamViewer o AnyDesk, che permetteva ai criminali di avere accesso diretto al computer del bersaglio, come se fossero stati seduti davanti alla sua scrivania. A quel punto, sempre con la scusa che il conto era stato violato e che era necessario aprirne uno nuovo, effettuavano davanti agli occhi del cliente il bonifico verso questo conto sicuro, con la vittima che inseriva direttamente i codici necessari dentro al portale. Altre volte invece si usava TeamViewer o AnyDesk per guidare il cliente dentro al sito fasullo e fare l'operazione alle sue spalle sul vero portale, chiedendo solo il codice OTP al momento giusto. Il punto è che queste persone erano estremamente convincenti, parlavano con una grammatica perfetta, con l'accento giusto, usavano il gergo corretto, non mettevano neanche pressione diretta alla vittima, nel senso che le dicevano: guarda che il tuo conto è stato violato e quindi qualcuno ti può fregare i soldi, ma "Ma se non hai tempo adesso per ultimare la procedura, facciamo in un altro momento." Come se all'operatore non importasse nulla, come se fosse un giorno di lavoro come un altro per lui. La vittima, convinta di star cooperando con la propria banca per proteggere fondi aziendali, forniva volontariamente i codici che permettevano ai criminali di completare i bonifici fraudolenti. Nel giro di pochi minuti migliaia di euro venivano trasferiti dai conti aziendali verso quelli controllati dai truffatori. Tra l'altro, quello è stato veramente un anno pessimo per la Bank of Ireland, perché ad agosto 2023, quindi mentre erano in corso queste truffe, ci sono stati anche problemi tecnici ai sistemi della banca che non c'entravano nulla con gli attacchi. Per un breve periodo molte persone sono state in grado di prelevare e trasferire denaro anche se sul conto corrente non avevano nulla. Immaginatevi la situazione: le code davanti agli sportelli bancomat erano lunghissime, di giorno e di notte. Le persone si facevano bonifici e giroconti di migliaia di euro anche senza avere nessuna disponibilità economica. Insomma, i danni per la banca sono stati veramente gravi. Questa situazione però ha permesso ai criminali di rendere rendere ancora più credibile la loro truffa. Perché la Bank of Ireland stava effettivamente avendo dei problemi tecnici, lo sapevano tutti. C'era anche una paura diffusa che questi soldi prelevati da conti vuoti fossero in realtà di proprietà di altri correntisti della banca. Provate a mettervi nei panni di una persona che ha tutti i suoi risparmi in un conto della Bank of Ireland, che vede al telegiornale le file di clienti che prelevano soldi gratis, con il giornalista che dice che probabilmente quei soldi sono presi dai conti di altri clienti. Poi magari questa persona arriva un messaggio che dice: ci sono attività sospette sul tuo conto, chiama questo numero di emergenza e facciamo un controllo di sicurezza. Io avrei chiamato, non so se sarei arrivata al punto di fidarmi a spostare tutti i miei soldi su un altro conto come chiedevano i truffatori, però non mi sento di giudicare chi lo ha fatto perché la situazione era veramente assurda. Nel frattempo le autorità ovviamente non restavano con le mani in mano, era stata avviata già da tempo un'operazione molto complessa volta a fermare l'ondata di smishing e individuare i responsabili. In particolare l' Interpol aveva avviato l'operazione Jackal, condotta in 21 paesi per fermare organizzazioni criminali con un focus sul gruppo Black Axe. Contemporaneamente, la polizia irlandese aveva avviato l'operazione Skane, identica all'operazione Jackal ma condotta appunto solo dalla polizia irlandese. Queste due indagini erano state avviate ancora prima che iniziassero le truffe via smishing relative a iFlow e alla Bank of Ireland. Ma ovviamente, quando questi eventi hanno iniziato a verificarsi, le autorità hanno sospettato potesse esserci esserci un collegamento e hanno quindi incluso anche questi elementi nelle indagini. Alla fine, il 21 novembre 2023, la polizia irlandese, in collaborazione con Europol, Interpol e altre agenzie internazionali, annuncia l'arresto di 9 persone sospettate di essere i principali responsabili della campagna di smishing e vishing che aveva colpito Bank of Ireland e migliaia di suoi clienti. Le indagini avevano rivelato l'esistenza di una vera e propria organizzazione criminale transnazionale, con ramificazioni che si estendevano dall'Irlanda al Regno Unito, da Dubai al Sudafrica e così via per tutto il mondo. Non si trattava di un gruppo di hacker improvvisati operanti da un garage, ma di una struttura criminale sofisticata con divisioni specializzate: chi creava i siti web fraudolenti, chi gestiva le chiamate di phishing, chi si occupava del riciclaggio dei proventi attraverso criptovalute e conti internazionali, e così via. I numeri dell'operazione erano impressionanti. Durante le perquisizioni, le autorità sequestrarono oltre 1 milione di euro in criptovalute, soldi che furono considerati il profitto diretto dell'attività. Furono bloccati anche conti bancari, sequestrate automobili di lusso e confiscati chiaramente dispositivi elettronici che potevano contenere delle prove delle attività criminali. I malviventi utilizzavano una rete complessa di money mules, cioè prestanome, che permettevano il passaggio di denaro attraverso i loro conti distribuiti in diversi paesi. Una volta sottratti i fondi dalle vittime irlandesi, il denaro veniva rapidamente diviso e fatto transitare attraverso più conti in diverse giurisdizioni per rendere quasi impossibile il Era tutto perfettamente organizzato. I criminali operavano con orari d'ufficio, avevano turnazioni organizzate per le chiamate di phishing, utilizzavano degli script preparati per ogni tipo di truffa e tenevano dei registri dettagliati delle vittime e dei pagamenti ottenuti. L'arresto dei 9 sospetti rappresentò il primo intervento repressivo di questa portata nel contrasto alle frodi bancarie via SMS e via telefono in Irlanda. Non era chiaro quanto gli arrestati fossero effettivamente collegati alle truffe connesse a Bank of Ireland, ma nei Nei giorni successivi agli arresti ci fu una drastica diminuzione dei casi di smishing e vishing segnalati dai clienti della banca. Le autorità furono molto chiare nel comunicare che la guerra era tutt'altro che finita. Le indagini sarebbero continuate anche perché gli arrestati rappresentavano solo una parte minuscola dell'organizzazione che aveva appunto dimensioni internazionali. Intanto però, come accennavo, da quel momento le truffe relative a iFlow e alla Bank of Ireland si fermarono. Ogni tanto ci fu qualche ripresa con messaggi simili, ma si pensò fosse più un tentativo di accumulazione di chi voleva provare a vedere se funzionava ancora, che l'ennesima truffa dell'organizzazione criminale originaria. Dal punto di vista economico ho trovato alcuni dati relativi ai danni, ma un po' imprecisi. Ho come il sospetto che né i Flow né la Bank of Ireland abbiano voluto mettere, diciamo, in manifesto delle perdite subite. Inoltre molte vittime non denunciarono immediatamente le frodi, alcuni danni furono scoperti solo settimane o mesi dopo, e questo non aiuta chiaramente ad avere un quadro chiaro della situazione. Tra l'altro, come dicevo, le indagini hanno riguardato tante diverse frodi, includendo queste due, quindi iFlo e la Bank of Ireland, solo perché in realtà capitate nello stesso periodo. Però ad oggi di fatto non è stato ancora capito se quelle truffe fossero effettivamente collegate al gruppo Black Hacks oppure no. Comunque, le autorità stimarono che da gennaio a novembre 2023 i casi in cui criminali avevano ottenuto il controllo dei conti bancari delle vittime fossero più di 1000, con un bottino complessivo di quasi 7 milioni di euro sottratti in tutta l'Irlanda. Bank of Ireland e essendo una delle banche più grandi del paese, rappresentò una quota molto significativa di questi numeri. Per le vittime individuali le perdite variano enormemente. I clienti che caddero nelle truffe di iFlow persero tipicamente cifre comprese fra 10 e 100 euro, ma spesso i criminali utilizzavano poi i dati raccolti per accedere ai conti bancari e sottrarre somme molto più sostanziose. Le vittime dei messaggi che sembravano provenire dai figli a cui si era rotto il telefono trasferirono spontaneamente cifre comprese fra i 200 e i 1000 euro, ma subire i danni più gravi furono le aziende, perché con i 3 schemi di truffa che ho citato prima i criminali riuscivano a sottrarre anche fra i 10.000 e i 20.000 euro alla volta, o addirittura svuotare completamente i conti aziendali con la scusa di trasferire tutti i soldi su un conto più sicuro. E ora vi starete chiedendo, ma la Bank of Ireland come ha reagito? La prima battaglia che la banca dovette combattere non fu contro i criminali, ma contro le proprie stesse policy. Negli anni precedenti la banca aveva adottato una posizione rigida verso le vittime di frodi digitali, sostenendo che chi divulgava volontariamente le proprie credenziali era responsabile delle conseguenze. Questa posizione, che aveva già causato comunque delle controversie in passato, divenne del tutto insostenibile di fronte alla sofisticazione degli attacchi del 2023, quando divenne chiaro che le vittime non erano persone incaute che avevano commesso errori grossolani, ma cittadini e imprenditori responsabili che erano stati ingannati da tecniche di manipolazione psicologica estremamente raffinate. Il cambio di rotta fu annunciato pubblicamente in agosto, quando Bank of Ireland dichiarò che avrebbe rimborsato integralmente tutti i clienti vittime di frodi smishing e vishing accertate. Il processo di rimborso non era automatico, ma richiedeva un'indagine caso per caso per accertare la buona fede della vittima. Tuttavia, Bank of Ireland stabilì criteri chiari e trasparenti. Se un cliente poteva dimostrare di aver ricevuto comunicazioni fraudolente che utilizzavano l'identità della banca o di enti fidati, ed aver agito in buona fede seguendo quelle che sembravano essere istruzioni legittime, il rimborso era garantito. Tra l'altro, come vi dicevo, tutto questo mentre c'erano problemi tecnici al sistema bancario che permettevano alle persone di prelevare denaro che non possedevano. Quindi la banca si trovò ad affrontare una crisi economica non indifferente. Il lato positivo fu che questa politica ebbe un impatto immediato sulla fiducia pubblica. Molte vittime che stavano considerando azioni legali contro la banca ritirarono le loro denunce. Ma cosa ancora più importante, questa decisione inviò un messaggio chiaro al mercato: Bank of Ireland si stava assumendo la responsabilità per la sicurezza dei propri clienti nell'era digitale. Parallelamente alla politica dei ricorsi, la banca lanciò una massiccia campagna di educazione alla cyber security. Il cuore della campagna era un mantra semplice ma efficace: Stop, Think, Check, cioè fermati, pensa, verifica. La campagna non si limitava a dire ai clienti di stare attenti, ma forniva strumenti pratici e concreti per riconoscere e contrastare le truffe. Ogni comunicazione della banca includeva esempi di messaggi fraudolenti, spiegazioni dettagliate delle tecniche utilizzate dai criminali, istruzioni precise su cosa fare quando si riceveva una comunicazione sospetta. Il primo Il primo pilastro della strategia era appunto STOP. Serviva insegnare ai clienti a fermarsi sempre prima di reagire a qualsiasi comunicazione che richiedesse delle azioni urgenti. Come spiegava il materiale educativo, i criminali fanno leva sull'urgenza per impedire di pensare. Il primo atto di difesa è sempre prendersi una pausa, anche di pochi minuti, prima di agire. Il secondo pilastro era THINK. Serviva sviluppare una specie di checklist mentale di domande da porsi di fronte a qualsiasi comunicazione. La banca fornì ai clienti una lista di segnali d'allarme da care: richieste di informazioni personali, linguaggio che creava urgenza, link da cliccare, richieste di scaricare software, ma soprattutto insegnò ai clienti a chiedersi sempre: "È normale che la banca mi chieda questo in questo modo?" Il terzo pilastro era "Check" e serviva a fornire ai clienti dei modi concreti per verificare l'autenticità delle comunicazioni ricevute. Bank of Ireland istituì una linea telefonica dedicata che i clienti potevano chiamare 24 ore su 24 2024 per verificare se una comunicazione fosse autentica. Inoltre creò un servizio innovativo e secondo me fantastico: i clienti potevano inoltrare qualsiasi SMS sospetto alla banca anteponendo la parola "check" e ricevere una risposta automatica sulla legittimità del messaggio. A febbraio 2024 Bank of Ireland andò ancora oltre annunciando un investimento di 50 milioni di euro in sistemi di prevenzione delle frodi e protezione dei clienti, ovviamente anche con finalità di marketing. Avevano un po' perso la faccia e cercavano di recuperare. 15 milioni di euro furono destinati a nuove soluzioni tecnologiche. Vennero implementati ad esempio dei sistemi di intelligenza artificiale per rilevare dei pattern sospetti nelle comunicazioni con i clienti. Questi sistemi erano in grado di identificare in tempo reale quando un cliente stava ricevendo chiamate da numeri che utilizzavano la tecnica di falsificazione del chiamante, oppure quando stava navigando su siti web che clonavano quelli della banca. Se un cliente riceveva una chiamata da un numero che si spacciava per Bank of Ireland e poi accedeva immediatamente a questi siti oppure al vero portale della banca, scattava automaticamente un sistema che contattava il cliente per verificare che stesse agendo di propria iniziativa e non per ordine di qualche scammer. Altri 20 milioni di euro furono investiti in sistemi di comunicazione sicura. Bank of Ireland sviluppò nuovi protocolli per contattare i propri clienti che rendevano quasi impossibile la falsificazione dell'identità. Ogni comunicazione autentica della banca iniziò a includere codici di verifica univoci che i clienti potevano controllare attraverso l'app mobile, tipo una password, una passphrase, che conoscevano solo il cliente e la banca. I restanti 15 milioni furono destinati a programmi di formazione e sensibilizzazione. La banca assunse esperti di cybersecurity, psicologi comportamentali, specialisti nella comunicazione, tutto per sviluppare materiali educativi che fossero non solo informativi ma anche coinvolgenti e facili da ricordare. La banca d'Irlanda non combatté questa battaglia da sola. L'istituto collaborò con le autorità per aiutarle nelle indagini e per sviluppare una risposta coordinata a queste nuove minacce. Collaborò poi la Banca Centrale di Irlanda per sviluppare nuovi standard di sicurezza per l'intero settore bancario irlandese, con gli operatori telefonici per contrastare le tecniche di spoofing, cioè di falsificazione della chiamata. Ad esempio, vennero sviluppati dei sistemi per identificare e bloccare automaticamente chiamate ed SMS che utilizzavano identificativi falsificati. Nel solo mese di aprile 2024, questa collaborazione portò alla disattivazione di oltre 20 numeri di telefono utilizzati per tentativi di phishing. In linea generale, a parte l'effetto chiaramente devastante nonostante di questa ondata di truffe, la risposta è stata quantomeno adeguata. Non so se sia effettivamente possibile che oggi tutti i cittadini irlandesi siano perfettamente in grado di riconoscere tentativi di truffa, ma quantomeno sono state adottate anche delle misure tecniche per impedire o ostacolare la falsificazione del mittente. Sono stati implementati sistemi automatici che si attivano se il cliente risponde a una chiamata e poi apre subito il conto. Insomma, tutti questi sforzi coordinati hanno dato quantomeno frutti. Fra l'altro, secondo me, i 3 consigli stop, think, check, quindi fermati, rifletti, verifica, sono applicabilissimi anche da parte nostra quando riceviamo mail, messaggi o chiamate strane. Quindi diciamo che l'eredità che questa vicenda ha lasciato è comunque tutto sommato buona. Bene, come sempre spero che il video di oggi vi sia piaciuto. Fatemi sapere nei commenti se conoscevate già questa storia. Noi ci rivediamo nel prossimo video.