Page 15 - Cyber-attacchi: truffe e minacce informatiche

B

B FORME DI ATTACCO INFORMATICO-FINANZIARIO: DAL
"PHISHING" AL "MAN IN THE MAIL"

Gli attacchi informatici sono quelle azioni che mirano a compromettere quella
che può essere defi nita la "triade della sicurezza", ossia quei fattori che ci permet-
tono di parlare di qualsiasi concetto legato alla sicurezza:
• confi denzialità o riservatezza, concetto simile, ma non uguale, a quello di privacy.
La confi denzialità è necessaria per garantire la privacy e riguarda la nostra abilità
nel proteggere i dati (es. facendo uso di sistemi di crittografi a, password, sistemi
di riconoscimento facciale, sistemi di autenticazione forte (22) o sistema di doppia
autenticazione ecc.) da tutti quegli individui non autorizzati a vederli. (es. pensia-
mo al caso in cui una persona stia prelevando dei soldi da un ATM);
• integrità, ovvero l’abilità di impedire che i nostri dati vengano modifi cati o cancel-
lati in modo non autorizzato o indesiderato (es. i fi le system di moderni sistemi
operativi sono un ottimo esempio di meccanismo che permette di controllare i
vari livelli di integrità);
• disponibilità dell’informazione e dei sistemi che la gestiscono in formato digitale:
fa riferimento alla capacità di poter accedere ai nostri dati ogni qualvolta ce ne sia
bisogno.
I metodi per condurre un attacco informatico possono essere svariati, in di-
pendenza di particolari minacce, rischi e vulnerabilità dei sistemi che si intendono
attaccare, così come diverse possono essere le armi o i "cyber weapon", cioè gli
strumenti utilizzati (azioni-minaccia), per porre in essere tali attacchi.
In particolare, la continua evoluzione degli strumenti di pagamento elettronico,
oltre ad aumentare la velocità e la rapidità degli scambi, ha contribuito ad innalzare

rapidamente il volume globale dei traffi ci, con conseguenti ripercussioni sul versan-
te della sicurezza. Se da un lato, infatti, l’incremento del mercato digitale ha segnato
una notevole opportunità per gli operatori economici, dall’altro esso ha costituito un
fattore di attrazione per gli interessi della criminalità, anche organizzata - nazionale
e internazionale - sul versante sia delle frodi sia del riciclaggio di proventi illeciti, at-
tuati mediante l’utilizzo dei servizi bancari on line e dei servizi di moneta elettronica
favoriti, altresì, dallo sfruttamento delle informazioni illegittimamente acquisite. Fino
a qualche tempo fa il phishing costituiva la più frequente e pericolosa tra le forme
di attacco informatico-fi nanziario: esso, come noto, si concretizza nel furto massivo
di identità digitali, attraverso vari stratagemmi (impiego di siti-clone, invio di e-mail
con allegati malevoli), che inducono la vittima a riconoscere il messaggio come ve-
ritiero, perché proveniente da una fonte certifi cata e autorevole, e di conseguenza a
rilasciare direttamente le proprie informazioni personali. Tale fenomeno criminoso,
che fa leva sulle tecniche di social engineering (v. paragrafo B7) pur continuando a
rappresentare una grossa fetta del business illegale on line, condivide la scena con

le più moderne e affi nate tecniche di attacco ascrivibili alla categoria del cosiddetto
"The Man in the Mail". Quest’ultima tipologia di attacco, molto sviluppata recente-
mente, spesso si è prestata a diverse forme di interpretazione, talvolta anche di
confusione nella sua qualifi cazione, a dimostrazione del fatto che ogni giorno viene

(22) Ai sensi dell’art. 4, c. 1, regolamento delegato della Commissione (UE) 2018/389, per sistemi di
autenticazione forte o "strong customer authentication" si intendono quei sistemi basati su due o
più elementi classifi cati nelle seguenti categorie:
1 conoscenza: qualcosa che solo l’utente conosce (es. password),
2 possesso: qualcosa di personale e di esclusivo possesso (es. smartphone, token),
3 inerenza: qualcosa di riconducibile unicamente alla persona interessata (es. impronta digitale,
riconoscimento facciale).

27
27