Source: http://www.jei.it/approfondimenti/item/56-il-phishing-analisi-dati-e-previsioni?tmpl=component&print=1
Timestamp: 2018-09-21 14:42:10+00:00

Document:
Il phishing: analisi, dati e previsioni - Jei - Jus e Internet
Phishing si pronuncia come “fishing”, il verbo inglese “pescare”, e sta ad indicare una nuova tipologia di crimine informatico che, in questi ultimi tempi, si sta diffondendo sempre di più.
Questa azione criminosa consiste, infatti, nel “pescare” informazioni riservate di navigatori, soprattutto se ricorrono ai servizi di e-banking(1).
Molti clienti di varie banche sparse in tutto il mondo, infatti, hanno constatato che i propri dati personali e bancari sono stati rubati attraverso falsi messaggi e-mail apparentemente provenienti dalle banche stesse.
In realtà si trattava solo di un sistema per far compilare dei moduli, chiedere i numeri dei conti e altre informazioni riservate ai clienti.
Grazie a questi messaggi l'utente è ingannato e portato a rivelare dati sensibili, come numero di conto corrente, nome utente e password, numero di carta di credito ecc.
1. l'utente malintenzionato [cracker(2)] spedisce all'utente vittima un messaggio e-mail (Elettronic mail) che simuli nella grafica e nel contenuto quella di una istituzione nota al destinatario (ad es. la sua banca, il suo provider web, un sito di aste online a cui è iscritto, ecc.);
2. l'e-mail contiene avvisi di particolari situazioni o problemi verificatesi con il proprio conto corrente/account ecc.(ad es. un addebito enorme, la scadenza dell'account ecc.);
3. nella e-mail il destinatario è invitato a seguire un link, presente nel messaggio, per evitare l'addebito e/o per regolarizzare la sua posizione con l'ente o la società di cui il messaggio simula la grafica e l'impostazione;
4. il collegamento al sito web della banca fornito NON porta in realtà al sito web ufficiale, ma a pagine appositamente create che sono veri e propri cloni dei siti ufficiali nei quali si richiede al destinatario dati personali particolari, normalmente con la scusa di una conferma o la necessità di effettuare una autenticazione al sistema; queste informazioni vengono memorizzate dal server e quindi finiscono nelle mani del cracker;
5. il cracker utilizza questi dati per trasferire somme di denaro o per acquistare beni.
«Gentile Utente eBay, durante i regolari controlli sugli account non siamo stati in grado di verificare le sue informazioni.
In accordo con le regole di eBay abbiamo bisogno di confermare le sue reali informazioni.
È sufficiente che lei esegua il login e completi il modulo che le forniremo.
Se ciò non dovesse avvenire saremo costretti a sospendere il suo account»
Questo è un esempio tradotto di phishing, il sistema illegale di raccolta di informazioni sensibili, dati di carta di credito e password che è stato utilizzato da molti cracker nell'ultimo periodo.
Il sistema è semplice, per riassumere, si inoltrano e-mail che paiono provenire da istituti di credito, da aziende che gestiscono siti Internet, dalle più svariate organizzazioni che richiedono dati personali agli utenti, millantando un rinnovo dei server.
Le e-mail vengono formattate in modo da contenere loghi di stile del tutto simili a quelli originali e recano link e verso finte pagine web e completamente identiche alle pagine ufficiali (clonazione di pagine ufficiali).
(Ad esempio, viene indicato l'indirizzo: www.bancaintesa.it/piu/mod/...
L'indirizzo sembra relativo al dominio: www.bancaintesa.it
Non è così. In realtà l'indirizzo è: www.bancaintesa.it.piu.mod/...)
I moduli che si troveranno in queste pagine (web) non hanno naturalmente nulla a che fare con quelli ufficiale imitate nelle e-mail e così le password e i numeri di carta di credito finiscono nella banca dati del truffatore che ha inviato la finta e-mail.
Precedentemente già è successo che qualcuno usa la rete per aggirare qualche povero navigatore, anche se i metodi sono decisamente cambiati.
Unico disegno criminoso
Superata questa prima fase della truffa telematica, i phishers devono nascondere ogni traccia dei successivi trasferimenti di denaro dal conto del truffato, attraverso complesse operazioni bancarie per così sviare le possibili indagini della polizia postale.
Tale tecnica viene effettuata attraverso una complessa serie di trasferimenti bancari, avvalendosi di altri utenti complici, ma non consapevoli.
Questi trasferimenti avvengono promettendo opportunità di guadagno e/o lavoro ad altri, infatti gli aspiranti lavoratori, ignari di quanto stanno compiendo, permettono ai phishers di far depositare, per qualche tempo, determinate somme di denaro per poi trasferirle presso altri conti con lo scopo, come precedentemente detto, di far perdere le tracce informatiche.
Queste operazioni, ovviamente avvengono in cambio di un corrispettivo, generalmente calcolato sulla percentuale del valore delle somme depositate e poi trasferite.
Obiettivo primario per il phisher è quello di fare transitare tali somme su molteplici conti correnti finché non vengono poi inviate all'estero o presso i fiduciari dei truffatori.
Il phishing si presenta come un fenomeno complesso è caratterizzato da profili sia civili che penali.
Importante è soffermarsi su quest'ultimo, infatti la legge non prevede una disciplina e una definizione specifica per il phishing, la quale si configura come una molteplicità di azioni finalizzate ad un unico disegno criminoso.
Il modus operandi dei phishers integra gli estremi di svariate ipotesi di reato previste dal codice penale e dal codice in materia di protezione dei dati personali (D.Lgs 196/2003):
• Truffa - art. 640 c.p. : ”Chiunque, con artifizi o raggiri, inducendo taluno in errore, procura a sè o ad altri un ingiusto profitto con altrui danno, è punito…” (aggravante) - “2) se il fatto è commesso ingerendo nella persona offesa il timore di un pericolo immaginario…“;
• Trattamento illecito di dati - art. 167 D.Lgs n. 196/2003: “…,chiunque, al fine di trarne per sè o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione di quanto disposto dagli articoli 18, 19, 23, 123, 126 e 130, ovvero in applicazione dell'articolo 129 è punito,…”
• Accesso abusivo in un sistema informatico o telematico - art. 615 ter c.p.: “Chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo, è punito…(aggravanti)…”
• Frode informatica - art. 640 ter c.p. : “Chiunque, alterando in qualsiasi modo il funzionamento di un sistema informatico o telematico o intervenendo senza diritto con qualsiasi modalità su dati, informazioni o programmi contenuti in un sistema informatico o telematico o ad esso pertinenti, procura a sè o ad altri un ingiusto profitto con altrui danno, è punito…“
• Riciclaggio - art. 648 bis : ”Fuori dei casi di concorso nel reato, chiunque sostituisce o trasferisce denaro, beni o altre utilità provenienti da delitto non colposo, ovvero compie in relazione ad essi altre operazioni, in modo da ostacolare l'identificazione della loro provenienza delittuosa, è punito …“.
Gli articoli del codice penale e del codice in materia di protezione dei dati personali elencati in precedenza sono ravvisabili nella condotta dei phishers:
• applicazione dell'art. 640 c.p. - l'email fraudolenta contiene un collegamento ipertestuale ingannatorio (artifici o raggiri) che rimanda verso un sito clone dell'originario (induzione in errore) ed infine nel quale vengono sottratti i codici d'accesso della vittima che sono successivamente utilizzati per sottrarre il denaro (ingiusto profitto ed altrui danno). Cosicché, con quest'ultima azione del phisher si perfeziona il reato.
A volte nell'email è presente anche il consiglio di recarsi repentinamente, ad esempio nel sito del proprio istituto di credito, prospettando rischi di truffe o altri accessi ai dati personali non consentiti (ingenerando nella persona offesa il timore di un pericolo immaginario). In quest'ultimo caso, ci sono gli estremi che integrano l'ipotesi di un'aggravante.
• Applicazione dell'art. 167 D.Lgs 196/03 ­– Successivamente alla raccolta dei dati personali della vittima, che automaticamente vengono registrati in un database, il phisher pone in essere un trattamento di tali dati in violazione del disposto dell'art. 11 D.Lgs 196/03 e in seguito con la condotta di trarne profitto, nel momento in cui il denaro viene sottratto, il phisher realizza un ulteriore illecito penale ex art. 167 D.Lgs 196/03.
• Applicazione dell'art. 615 ter c.p. – il phisher accede all'account della vittima senza aver nessun titolo e così eludendo le misure di autenticazione e di identificazione predisposte dal sistema informatico per garantire la tutela dei dati in esso contenuti. Pertanto, l'accesso è abusivo e conseguentemente è accompagnato da una frode informatica (art. 640 ter c.p.).
Inoltre, se l'azione di phishing abbia causato il blocco anche momentaneo dell'accessibilità dell'utente presso ad esempio il suo istituto di credito, in tale ipotesi ricorrerebbero gli estremi di un aggravante di codesto reato.
• applicazione dell'art. 640 ter c.p. – il phisher carpendo i dati d'accesso della vittima, li utilizza nei rispettivi account intervenendo nei sistemi informatici, ad esempio dell'istituto di credito, senza aver alcun titolo (senza diritto, con qualsiasi modalità). In questa fattispecie, il reato è commesso contro l'istituto di credito colpendo il suo sistema informatico.
La Suprema Corte ha più volte ricordato che la differenza tra la truffa e la frode informatica è circoscritta solamente per ciò che concerne l'attività fraudolenta dell'agente che investe non la persona, bensì il sistema informatico, infatti la struttura e gli elementi costitutivi di questi due reati rimangono inalterati.
• applicazione dell'art. 648 bis c.p. – infine, dopo aver sottratto illecitamente il denaro dai conti correnti delle vittime, gli autori dei reati ne compiono uno ulteriore con la realizzazione di tale ulteriore attività si configura il reato di riciclaggio.
I phishers, per trovare utenti disposti a far transitare per breve tempo somme di denaro di illecita provenienza, utilizzano varie società su Internet che permettono facili guadagni.
Il lavoro richiesto è di una facilità estrema, infatti non si deve far altro che incassare tali somme sul proprio conto corrente per poi inviarle su ulteriori conti correnti indicati dalla società stessa, in cambio di una percentuale sul denaro transitato.
Accettando tali offerte di lavoro online, vi è un forte rischio di essere coinvolti in processi per riciclaggio o perlomeno limitatamente nelle indagini preliminari.
Per non cadere nelle trappole del phishing, si devono seguire due consigli: il primo, è quello di non credere a messaggi elettronici che richiedano informazioni personali riservate o codici di accesso a conti correnti perché tali richieste non perverranno mai via e-mail; il secondo, è quella di non credere a chi promette facili profitti chiedendo solamente la disponibilità del proprio conto corrente.
Una possibile tecnica di difesa potrebbe essere usare dei “filtri”: è una possibile soluzione anti-frode basata sulla tecnologia bayesiana(3) già usata per i programmi anti-spam in modo tale da bloccare i messaggi prima che entrino in un'organizzazione.
Il vero obbiettivo degli strumenti di difesa è in definitiva lo stesso degli anti-spam, ovvero determinare con sicurezza la fonte reale di una e-mail.
Comunque, bisogna ribadire che le società operanti via internet assicurano che mai chiederebbero ad un cliente di fornire in questo modo i propri dati, ma a volte l'abilità dell'impostore di falsificare le intestazioni e la scarsa informazione dell'utente provocano danni irreparabili.
Proprio per combattere la piaga delle truffe, eBay, una delle più famose case d'asta telematiche, ha creato un apposito sito dove chiede ai clienti di girare (ovviamente senza aprirle) le e-mail sospette, in modo da poter ricorrere successivamente alle autorità di polizia postale.
Analisi, dati, previsioni
Il 2004 verrà ricordato come l'anno del phishing, cioè un anno in cui è nato un “nuovo” crimine informatico.
Questo è un fenomeno preoccupante, i messaggi di e-mail phishing rilevati nei primi mesi del 2005 confermano un trend di crescita contenuto, ma costante e pertanto da non sottovalutare.
Invece, particolarmente significativi i casi registrati tra agosto 2005 e agosto 2006, dove le segnalazioni di questo tipo di attacco hanno raggiunto dei picchi decisamente preoccupanti.
Infatti, il vero record si è verificato con 28.571 siti “fasulli” identificati nel giugno 2006, come si può analizzare dal grafico sottostante.
Ma non è solo una questione di numeri. Secondo gli esperti, uno dei problemi più evidenti è che gli attacchi stanno diventando via via sempre più complessi, sfruttando modalità sempre più difficili da individuare.
Infatti, col proseguire di tale fenomeno, le tecniche si sono fatte sempre più raffinate e si sono aggiunti stratagemmi da “social engineering”. (cercare di indurre un utente a fare qualcosa utilizzando un metodo non tecnologico, ma "psicologico").
Infatti, due sono le nuove tecniche adottate dai phisher: la prima è rappresentata dal “Voip”, grazie alla crescente diffusione dei servizi voce su Internet a basso costo e alla relativa impreparazione degli enti su questo argomento, i responsabili degli abusi iniziano a chiamare le vittime designate, invece di inviare loro un messaggio via posta elettronica.
I destinatari possono così ascoltare un messaggio che li avvisa di un problema relativo al loro conto bancario e vengono invitati a chiamare un certo numero per risolvere il problema.
Chiamato il numero, passano attraverso il sistema vocale che chiede di inserire il numero di carta di credito; la seconda si concretizza in un attacco in tempo reale e il phisher riesce a neutralizzare la sicurezza aggiuntiva fornita dal password-token che sincronizzato con il server della banca forniscono una nuova password ad intervalli regolari.
Alcuni phishers sono, infatti, riusciti a creare “pagine-trappola” dove gli utenti ignari vengono spinti ad inserire tutti i dati necessari all'autenticazione bancaria: numero di conto, password personale e codice numerico generato dal token.
Attraverso un sofisticato script, il phisher si connette in tempo reale alla banca della vittima e sfrutta il codice generato dal token prima che diventi inefficace.
In questa finestra temporale, che può durare anche solo pochi secondi, i truffatori sarebbero in grado di trasferire fondi o effettuare qualsiasi altro tipo di operazione bancaria.
Pertanto le previsioni per il futuro non sono buone, infatti, sono previste frodi via e-mail più personalistiche e proprio in questa ottica è bene cominciare a pensare alle reazioni non solo di carattere normativo (sempre più lente ad arrivare), ma soprattutto di carattere tecnologico.
Una truffa informatica permette agli ideatori di capire, attraverso l'e-mail, i dati di accesso personali alla propria banca online.
In Italia finalmente la prima condanna per phishing:
Due truffatori avevano predisposto una rete di conti bancari, per riciclare all'estero il denaro di numerose frodi.
I due appartenevano ad una sofisticata organizzazione criminale operante in Europa.
Nel luglio 2006, il tribunale di Milano, per la prima volta in Italia ha condannato per phishing i due truffatori rispettivamente a quattro anni e quattro anni e sei mesi oltre una sanzione di 4000 euro.
Dalla sentenza si apprende il loro modus operandi: con documenti falsi e clonati creavano società “fasulle” con l'obiettivo di aprire il maggior numero di conti bancari intestati alle stesse società, inoltre contattavano diversi titolari di conti in Italia per coinvolgerli nell'attività di riciclaggio di denaro.
Gli intestatari, mettendo a disposizione i loro conti, guadagnavano in percentuale sul flusso di denaro che transitava, ma facilitavano in realtà la trasmissione del denaro all'estero, attraverso bonifici su conti esteri.
Disegno criminoso scoperto dalla guardia di finanza in collaborazione con la direzione centrale tutela aziendale di poste italiane.
Le indagini proseguono sul fronte del phishing e dei riciclaggio, indagati circa 80 intestatari dei conti.
Persone più o meno consapevoli delle loro azioni, che dovranno essere valutate da un magistrato caso per caso.
Questi comportamenti criminosi sembrano essere in Italia solo i primi di una possibile lunga serie.
Fino ad ora, nel nostro paese la situazione è stata ancora controllabile, infatti in seguito ad un'indagine compiuta su un campione significativo di utenti avente ad oggetto la nota insidia telematica, è emerso che il 36% degli utenti avrebbe subito attacchi di phishing, e fra questi, il 5% si sia recato presso i link indicati nell'e-mail.
Situazione ben differente se si osservano indagini compiute a livello mondiale, infatti secondo l'Anti-Phishing Working Group (APWG), i siti di phishing tradizionali crescono, ogni mese, del 50%.
Proprio per questo motivo Microsoft, e-Bay e Visa hanno deciso di dar vita al “Phishing Report Network” una sorta di database che raccoglie le informazioni utili per identificare l'e-mail “truffaldine” che arrivano agli utenti di tutto il mondo e che consentirà di stilare una lista nera dei siti del phishing a cui sono stati attribuiti molti tentativi di truffa.
Infatti, la polizia postale, quale organo di controllo, ha inviato una circolare all'Associazione bancaria italiana (ABI) invitando le banche ad avvertire i propri clienti di non digitare i codici personali nel caso dovessero ricevere questo tipo di e-mail.
L'ABI ha prontamente riunito in un decalogo le regole utili per difendersi dal phishing:
“1. Diffidate di qualunque e-mail che vi richieda l'inserimento di dati riservati riguardanti codici di carte di pagamento, chiavi di accesso al servizio di home banking o altre informazioni personali;
2. è possibile riconoscere le truffe via e-mail con qualche piccola attenzione: generalmente queste e-mail non sono personalizzate e contengono un messaggio generico di richiesta di informazioni personali per motivi non ben specificati; fanno uso di toni intimidatori; non riportano una data di scadenza per l'invio delle informazioni;
3. nel caso in cui riceviate un'e-mail contenente richieste di questo tipo, non rispondete all'e-mail stessa, ma informate subito la vostra banca tramite;
4. non cliccate su link presenti in e-mail sospette, in quanto questi collegamenti potrebbero condurvi a un sito contraffatto, difficilmente distinguibile dall'originale;
6. quando inserite dati riservati in una pagina web, assicuratevi che si tratti di una pagina protetta: queste pagine sono riconoscibili in quanto l'indirizzo che compare nella barra degli indirizzi del browser comincia con “https://” e non con “http://” e nella parte in basso a destra della pagina è presente un lucchetto;
7. diffidate se improvvisamente cambia la modalità con la quale vi viene chiesto di inserire i vostri codici di accesso all'home banking;
8. controllate regolarmente gli estratti conto del vostro conto corrente e delle carte di credito per assicurarvi che le transazioni riportate siano quelle realmente effettuate. In caso contrario, contattate la banca e/o l'emittente della carta di credito;
10. Internet è un po' come il mondo reale: come non dareste a uno sconosciuto il codice PIN del vostro bancomat, allo stesso modo occorre essere estremamente diffidenti nel consegnare i vostri dati riservati senza essere sicuri dell'identità di chi li sta chiedendo.
In caso di dubbio, rivolgetevi alla vostra banca.”
Infine, come si è potuto apprendere da un'analisi minuziosa di tale problematica, per prevenire, arginare e limitare la diffusione di codesto reato bisogna adottare molteplici soluzioni per garantire la sicurezza dei sistemi informatici, nonché il rispetto delle regole.
Sicuramente è molto difficile frenare queste condotte criminose, perchè nell'”era di internet” tutto avviene ad una velocità estrema. I punti cardini su cui soffermarsi per cercare di risolvere in parte il reato di phishing sono, in primis, una esaustiva e approfondita informazione a tutti gli utenti di internet coordinata con l'utilizzo di software sempre più precisi ed aggiornati, nonché l'emanazione e l'applicazione di norme adeguate.
Il crimine informatico, comunque, rimane, a tutt'oggi, un problema da affrontare e da superare che riguarda proprio la disciplina e le regole che devono e dovrebbero regolamentare Internet e i sistemi informatici.
Infine, analizzando i fatti si capisce che l'evoluzione dei sistemi informatici e di Internet è stata talmente veloce che il diritto è rimasto indietro: si pensi solamente all'infinità di reati che si possono compiere sul web e che non trovano una valida regolamentazione secondo diritto.
A.A.V.V. a cura di Mario Jori, Elementi di informatica giuridica, Torino, G. Giappichelli, 2006
A.A.V.V. a cura di Roberto Tomei, Il nuovo diritto, Milano, Giuffrè, 2006
Claudia Pecorella, Diritto penale dell'informatica, Padova, CEDAM, 2006
Rosa Buonamassa, Le fonti del diritto nel mondo dell'informatica, Bari, Cacucci, 2006
A.A.V.V. Diritto e societa dell'informazione : riflessioni su informatica giuridica e diritto dell'informatica, Milano, Nyberg, 2005
Giuseppe Cassano, Diritto dell'Internet: il sistema di tutele della persona, Milano, Giuffrè, 2005
C.Pfleeger, S.Pfleeger, Sicurezza in informatica, Pearson Education Italia, 2004
W.Stallings, Sicurezza delle reti - applicazioni e standard, Addison-Wesley Italia, 2004
Taddei Elmi Giancarlo, Corso di informatica giuridica, Milano, Simone 2003
A.A.V.V. a cura di Giuseppe Cassano, Diritto delle nuove tecnologie dell'informazione e dell'Internet, Milano, Ipsoa, 2002
A.A.V.V. a cura di Roberta Mannucci, Lineamenti di informatica giuridica, Napoli Roma, ESI, 2002
Pascuzzi G., Il diritto dell'era digitale: tecnologie informatiche e regole privatistiche, Bologna, Il mulino, 2002
Borruso Tiberi, L'informatica per il giurista dal bit a Internet, Milano, Giuffrè, 2001
Fugini, Maio, Plebani, Sicurezza dei sistemi informativi, Milano, Apogeo, 2001
Giannantonio Ettore, Manuale di diritto dell'informatica (seconda edizione), Padova, CEDAM, 2001
A.A.V.V. a cura di Emilio Tosi, I prolemi giuridici di Internet, diritto dell'Informatica - collana diretta da Guido Alpa, Milano, Giuffrè, 1999
Giorgio Pica, Diritto penale delle tecnologie informatiche, Torino, UTET, 1999
A.A.V.V. Attualità forensi, pubblicazione a cura della “Fondazione dell'Avvocatura Italiana” presso il Consiglio Nazionale Forense
(http://www.antiphishing.org)
(http://www.anti-phishing.it)
(http://www.sicurezzainformatica.it)
(http://www.anssaif.it)
(http://www.governo.it/index.asp)
(http://www.diritto.it)
(http://www.cnipa.gov.it/site/it-IT)
Criminologia – Rivista Internet di Teoria e Scienze Criminali
(http://www.criminologia.it)
Rivista Telematica Full-tex di Criminologia Clinica e Psicologica Investigativa
(http://www.criminologia.org)
Crimine Informatico – Approfondimenti: giuridico, informatico, criminologo
(http://www.crimine.info)
(http://legali.com)
Polizia di Stato – Polizia Postale
(http://www.poliziadistato.it)
L'enciclopedia libera - Wikipedia
(http://punto-informatico.it)
1 “e-banking”: è l'opportunità offerta a tutti gli utenti bancari di effettuare operazioni di visualizzazione dati bancari e di transazione monetarie attraverso la connessione internet.
2 “cracker”: utilizzano svariate tecniche tra cui lo sfruttamento di bachi che un determinato sistema o programma può avere per entrare nei sistemi informatici e fare danni.
3 Questa tecnologia si basa sugli studi del matematico inglese Thomas Bayes che presentò il teorema di Bayes. Le applicazioni del teorema sono innumerevoli, infatti viene anche utilizzato nella realizzazione di sistemi di filtraggio impiegati nella lotta contro lo spam. E' un metodo di filtraggio statistico ed usa metodi probabilistici per predire se un messaggio è spam, basandosi su raccolte di email ricevute dagli utenti. Il servizio analizza le parole che si trovano nell'oggetto dell'e-mail, la firma e il testo dell`e-mail e, in generale, la frequenza d'uso di ogni singola parola, impara e memorizza i criteri scelti dall'utente.
4 Grafico estratto dal sito http://www.antiphishing.org

References: art. 640
 art. 167
 art. 615
 art. 640
 art. 648
 art. 167
 sentenza