Source: http://patextra.it/lo-smsishing-la-variante-sms-del-phishing/
Timestamp: 2018-05-24 10:10:19+00:00

Document:
Lo smsishing è un fenomeno che effettua un attacco phishing attraverso gli SMS. Scopriamo su Patextra come funziona.
Visto che ultimamente si parla sempre più di questo fenomeno (specialmente grazie ai nuovi smartphone) ho deciso di pubblicare sul blog un lavoro che ho buttato giù l’anno scorso per l’esame di Diritto dell’Informatica (docente il mitico prof. Massimo Farina), che analizza una sentenza dell’Ufficio del GIP di Milano del 15 ottobre 2007.
Essendo un esame di diritto dell’Informatica lo Smishing è trattato prettamente da un punto di vista normativo, ma essendo io un ingegnere e non un avvocato non aspettatevi che parli così bene il “giurisdicese” o il “politichese”… perciò accontentatevi!
SMS – Phishing o SMSishing
Parleremo di SMS-iShing, inteso come una variante della tecnica più nota in questo senso, ovvero il phishing. Il Phishing, è una pratica delittuosa, che mostra dei connotati comuni con alcune tecniche di ingegneria sociale. Queste ultime vengono infatti abitualmente sfruttate dagli hacker/cracker per ottenere credenziali di accesso privilegiate ad un sistema informatico, sfruttando il punto più debole di un tipico servizio destinato all’utenza generale: gli utenti stessi. Sarebbe infatti più dispensioso, oltre che quasi sempre proibitivo per il cracker e l’hacker, perpetrare la sua condotta malevola di accesso ad un sistema informatico ben protetto come quello della maggior parte degli istituti di credito, se non passando attraverso le falle “sociali” che inevitabilmente gli ignari utenti, con poche nozioni di sicurezza, non si curano di “chiudere”.
Il phishing consta di diverse fasi ben definite, seppur non necessariamente tutte contemporaneamente presenti e consequenziali. Non esiste tuttora nell’ordinamento italiano una norma apposita per il phishing, a differenza di ciò che avviene per esempio negli Stati Americani, in cui si è giunti ad avere già dal 2005 delle disposizioni ad hoc che regolamentano la fattispecie.
Fondamentalmente il phisher agisce in diverse fasi:
1) cernita delle informazioni: è la fase di preparazione, nella quale il phisher ottiene dati personali del soggetto (come ad esempio numero di telefono cellulare o indirizzo email) attraverso estrapolazioni abusive. Il fatto stesso di utilizzare dati personali presenti mostrati “in chiaro” dalle pagine web, e quindi accessibili senza alcun sistema di protezione preventivo per la loro visualizzazione, non autorizza l’uso degli stessi se non per le finalità specifiche descritte dal sito in questione.
2) Utilizzo di tecniche di spamming per inviare a una vasta platea di destinatari un messaggio dalla forma grafica/contenutistica simile a quello di un istituto di credito.
3) È sempre presente all’interno del messaggio un riferimento ad un contatto esterno, come ad esempio il link di un sito web, all’interno del quale si cerca di portare la vittima dell’attacco di phishing. Spesso i messaggi contengono dei riferimenti ad eventuali pericoli immaginari corsi dalla persona offesa nel caso non ponga in essere il comportamento descritto nel messaggio. In tal caso come analizzeremo successivamente, il capo di imputazione di cui all’art.640 potrà essere applicato nella sua fattispecie aggravata.
4) L’utente che accede al sito/servizio indicato dal phisher è tratto in inganno dall’apparente somiglianza tra l’ambiente elettronico del proprio istituto di credito e quello del truffatore. A questo punto l’utente verrà invitato ad inserire delle informazioni personali contenenti generalmente i propri dati di accesso ad un servizio di banking online o i codici numerici associati alla propria carta di credito.
5) L’utente inserisce le informazioni, le quali vengono memorizzate dal server
6) Il phisher utilizza i dati per effettuare acquisti, trasferire somme di denaro etc.
In generale il fenomeno del phishing è poi collegato, nel punto 6, ad altre condotte illecite, che scaturiscono nel riciclaggio di denaro, effettuato per mezzo di soggetti c.d. financial manager, che agiscono inviando attraverso servizi di trasferimento fondi come Western Union, Money Gram e simili, parte del denaro trasferito dal conto della persona vittima del phishing, verso destinatari esteri, in cambio di un compenso che va nell’ordine del 5/20% della somma originariamente trasferita. In tal modo si potranno aggirare i sistemi di controllo sui bonifici internazionali, che rischierebbero di bloccare le operazioni illecite.
Il fatto che nell’ordinamento giuridico non appaia definito il phishing lo rende associabile ad una serie di condotte delittuose, che spaziano dall’illecito trattamento di dati, all’accesso abusivo a sistema informatico, alla truffa, al riciclaggio e alla frode informatica. I suddetti capi di imputazione possono più o meno sussistere a seconda del caso specifico.
Il caso che andremo ad esaminare si basa su una sentenza del tribunale di Milano depositata il 7 novembre 2007. È un caso di phishing non convenzionale, in quanto si rifà al cosiddetto phishing via sms. La tecnica utilizzata è simile a quella del phishing più diffuso, ovvero quello che avviene attraverso l’invio attraverso tecniche di spamming di messaggi email, sebbene in questo caso il vettore scelto per l’inoltro dei messaggi fraudolenti è l’SMS.
L’imputato era riuscito ad implementare un sistema tale che permettesse di estrapolare dati sensibili di utenti da un sito internet di compravendita di beni, per l’esattezza numeri di cellulare, destinatari del successivo attacco di spamming. Quest’ultimo veniva perpetrato attraverso l’acquisto di un pacchetto di SMS dal sito della ALFA s.r.l., destinato a terzi. In questa maniera è stato possibile sostituire al numero di telefono del mittente del messaggio, il nome di una nota società emittente di carte di credito: Cartasì.
In tal modo è stato inviato un SMS dal contenuto seguente:
“Attenzione: chiami il numero 02 ******* di Servizi Interbancari per verificare la transazione con la sua carta di credito al fine di evitare usi fraudolenti”.
Il numero telefonico indicato nel messaggio era tuttavia collegato a una numerazione di tipo VOIP, intestata ad un account fittizio, associato ad una mail creata negli Stati Uniti. Il servizio di risposta provvedeva attraverso una voce sintetizzata a richiedere i dati della carta di credito: numero, data di scadenza e codice segreto. Una volta memorizzati questi dati nel sistema, l’utente veniva disconnesso dalla conversazione per un’apparente “mancanza di operatori disponibili”.
A sua volta l’imputato ha utilizzato i dati sensibili in suo possesso per finanziare il pagamento di beni e servizi via internet.
Contemporaneamente all’indagine avviata dal Tribunale di Milano, un’indagine incrociata della Polizia Tributaria di Catania ha fatto luce su alcuni casi denunciati da titolari di Cartasì che si son visti accreditare debiti per piccoli/medi acquisti su internet, nessuno dei quali realmente effettuato dagli stessi. Le denunce son risultate compatibili con il caso di smishing in questione. Da ulteriori accertamenti seguiva che i casi non denunciati erano in netta minoranza rispetto a quelli regolarmente segnalati alle autorità, in quanto la maggior parte delle volte accadeva che il potenziale danneggiato, pur avendo intuito gli intenti fraudolenti dell’sms, non decidesse di denunciare il fatto, preferendo adottare misure preventive (come non richiamare il numero indicato nell’sms) o bloccare la carta nel caso si fosse accorto di essere stato vittima di un raggiro.
Le indagini, nel loro compiersi, hanno verificato come siano stati creati successivamente altri account VOIP, utilizzati successivamente dallo stesso imputato per i medesimi scopi.
Il colpevole è stato rintracciato tramite la sua utenza telefonica ADSL dalla quale risultavano effettuate connessioni internet finalizzate all’iscrizione al servizio di invio degli SMS, oltre che dalla sua stessa utenza cellulare, utilizzata come prima “vittima” di un attacco di prova. Dopo attenta perquisizione gli inquirenti hanno trovato nella casa dell’imputato hardware e software utilizzato per i suddetti scopi illeciti.
Tipi di imputazioni associabili al phishing.
Il Phishing tradizionale, così come quello via SMS, è associabile ad una costellazione di imputazioni, che va puntualmente scandagliata caso per caso, al fine di individuare le condotte malevole associate all’azione compiuta.
1) Illecito Trattamento di Dati: Art. 167 co.2 Codice Privacy (fattispecie penale) – vedi seguito, e art. 122 e 15 del Codice della Privacy (illecito civile): 122: è vietato l’uso di una rete di comunicazione elettronica per accedere a informazioni archiviate nell’apparecchio terminale di un abbonato o di un utente, per archiviare informazioni o per monitorare le operazioni dell’utente. 15: “chiunque cagioni un danno per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell’art. 2050 del codice civile”. Art. 31: I dati personali oggetto di trattamento sono custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l’adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta.”.
La lettura dell’art. 15 e dell’art. 31 pongono un’interessante quid iuris sugli istituti di credito: essi permettono (non impediscono) veramente a terzi estranei di accedere alle informazioni relative ai propri clienti? (1)
2) Truffa: art. 640 c.p. (vedi seguito). In tal senso gli istituti di credito sono da considerarsi persone offese, così come i titolari dei Conti.
3) Frode Informatica: 640-ter: chiunque, alterando in qualsiasi modo il funzionamento di un sistema informatico o telematico o intervenendo senza diritto con qualsiasi modalità su dati, informazioni o programmi contenuti in un sistema informatico o telematico o ad esso pertinenti, procura a se o ad altri un ingiusto profitto con altrui danno, è punito con la reclusione da sei mesi a tre anni e con la multa da euro 516 a euro 1032. La pena è della reclusione da uno a cinque anni e della multa da euro 309 a euro 1549 se ricorre una delle circostanze previste dal n.1 del secondo comma dell’art. 640 ovvero se il fatto è commesso con abuso della qualità di operatore del sistema. […]
4) Accesso abusivo a sistema informatico: 615 ter: 1. Chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo, è punito con la reclusione fino a tre anni.
2. La pena è della reclusione da uno a cinque anni:
1) se il fatto è commesso da un pubblico ufficiale o da un incaricato di un pubblico servizio [358], con abuso dei poteri o con violazione dei doveri inerenti alla funzione o al servizio , o da chi esercita anche abusivamente la professione di investigatore privato, o con abuso della qualità di operatore del sistema;
3. Qualora i fatti di cui ai commi primo e secondo riguardino sistemi informatici o telematici di interesse militare o relativi all’ordine pubblico o alla sicurezza pubblica o alla sanità o alla protezione civile o comunque di interesse pubblico, la pena è, rispettivamente, della reclusione da uno a cinque anni e da tre a otto anni.
4. Nel caso previsto dal primo comma il delitto è punibile a querela della persona offesa ; negli altri casi si procede d’ufficio.
5) Riciclaggio: 648 bis del c.p.: Fuori dei casi di concorso nel reato, chiunque sostituisce o trasferisce denaro, beni o altre utilita’ provenienti da delitto non colposo, ovvero compie in relazione ad essi altre operazioni in modo da ostacolare l’identificazione della loro provenienza delittusa, e’ punito con la reclusione da quattro a dodici anni e con la multa da lire euro 1.032 a euro 15.493. La pena e’ aumentata quando il fatto e’ commesso nell’esercizio di un’attivita’ professionale. La pena è diminuita se il denaro, i beni o le altre utilità provengono da delitto per il quale è stabilita la pena della reclusione inferiore nel massimo a cinque anni. Si applica l’ultimo comma dell’articolo 648 (1). (1) Articolo cosi’ sostituito dalla L. 19 gennaio 1990, n. 55.
Condotte illecite perpetrate nella sentenza in esame:
Illecito nel trattamento dei dati personali – Art. 167 Codice Privacy
L’incipit dell’articolo sull’eventuale caso in cui l’illecito nel trattamento dei dati personali non rappresenti il reato più grave, trova applicazione nella sentenza in analisi. Il reato compiuto e riconosciuto è quello appartenente al primo comma, nel quale il nocumento sarà presente anche nel caso in cui l’imputato non diffonda o comunichi i dati personali ottenuti illecitamente. Il fatto che essi fossero presenti in un sito internet liberamente accessibile non ne autorizza comunque l’uso se non per i fini specifici per i quali essi vengono trattati nel sito di origine.
Il reato di illecito nel trattamento dei dati personali, che avrebbe previsto nel caso specifico una pena non superiore ai 18 mesi, viene tuttavia assorbito (???) dal più grave reato di truffa (che prevede la reclusione fino a tre anni) e la multa di un corrispettivo massimo di € 1032, analizzato in seguito.
Art. 494 C.P.Sostituzione di persona – 1 mese + 100 euro
Il reato sussiste nel momento in cui l’imputato si sostituisce alla societa Cartasi S.P.A. attraverso l’invio di SMS emulanti il servizio SMS Alert offerto dalla suddetta società.
Decreto Legge 143/91 Art. 12 – Carte di credito, di pagamento e documenti che abilitano al prelievo di denaro contante. – Capo b) 3 anni + 700 euro
1. Chiunque, al fine di trarne profitto per sé o per altri, indebitamente utilizza, non essendone titolare, carte di credito o di pagamento, ovvero qualsiasi altro documento analogo che abiliti al prelievo di denaro contante o all’acquisto di beni o alla prestazione di servizi, è punito con la reclusione da uno a cinque anni e con la multa da lire seicentomila a lire tre milioni. Alla stessa pena soggiace chi, al fine di trarne profitto per sé o per altri, falsifica o altera carte di credito o di pagamento o qualsiasi altro documento analogo che abiliti al prelievo di denaro contante o all’acquisto di beni o alla prestazione di servizi, ovvero possiede, cede o acquisisce tali carte o documenti di provenienza illecita o comunque falsificati o alterati, nonché ordini di pagamento prodotti con essi(31).
Il giudice ha stabilito che, sulla base dell’art. precedente, come prova di reato sia sufficiente l’utilizzo indebito della carta, anche quando non pervenga al perfezionamento dell’acquisto o al godimento del servizio. Inoltre la carta non è intesa come strumento materiale, ma la conoscenza dei suoi dati numerici sottratti fraudolentemente configura automaticamente l’utilizzo indebito.
Capo a) Art. 640 c.p. Truffa. – 11 mesi + 700 euro
In questo caso viene applicato il primo comma, in quanto sebbene possa essere inteso come ingenerato nella persona offesa il timore di un pericolo immaginario (il testo SMS cita l’eventuale rischio di possibili “usi fraudolenti”), il giudice ha ritenuto non sussistente la fattispecie aggravata.
Non ci sono elementi a favore dell’imputato per la considerazione di attenuanti generiche, dato:
1) Il comportamento dell’imputato al momento della perquisizione, che è indicativo del tentativo di occultare le prove
2) Le dichiarazioni ammissive dell’imputato tardive e di conseguenza non funzionali alla ricostruzione dei fatti commessi
3) Il non risarcimento del danno da parte dell’imputato
Non è la prima volta che l’imputato compie un fatto simile. Il tribunale di Varese aveva già giudicato l’imputato per un fatto commesso tra febbraio 2004 e ottobre 2005, in cui egli aveva utilizzato abusivamente numerose carte di credito di cui non era titolare inducendo in errore un soggetto presso cui aveva effettuato acquisti. Le pene non possono essere calcolate in continuazione in quanto quella sentenza non risulta irrevocabile (??). La tecnica di acquisizione dei dati (numeri di carte di credito) nei due casi è completamente diversa, e i soggetti parti lese sono diversi.
Pena totale: 4 anni di reclusione e 1500 euro di multa. Col rito abbreviato la pena è stata ridotta a due anni e otto mesi.
Interpretazioni della dottrina: Falso Informatico
Il falso informatico non è contemplato tra le ipotesi di reato del phishing, sia nel caso consueto, sia nella sua variante di Smishing, per alcune incongruenze dovute alla definizione stessa di documento informatico. In realtà l’equivoco sorge inizialmente dall’interpretazione dell’articolo 491 bis del codice penale:
Ci sono due elementi critici all’interno della formulazione di quest’articolo: il primo riguarda la definizione stessa di documento informatico, che viene identificato con il supporto (!!!) stesso in cui esso è contenuto. Questa formulazione che risulta ingannevole può essere superata attraverso l’articolo 617 sexies:
Art.: 617 – Sexies : Falsificazione, Alterazione o Soppressione Del Contenuto Di Comunicazioni Informatiche o Telematiche
Chiunque, al fine di procurare a se’ o ad altri un vantaggio o di arrecare ad altri un danno, forma falsamente ovvero altera o sopprime, in tutto o in parte, il contenuto, anche occasionalmente intercettato, di taluna delle comunicazioni relative ad un sistema informatico o telematico o intercorrenti tra piu’ sistemi, e’ punito, qualora ne faccia uso o lasci che altri ne facciano uso, con la reclusione da uno a quattro anni. La pena e’ della reclusione da uno a cinque anni nei casi previsti dal quarto comma dell’articolo 617 quater (1).
In questo caso si parla di contenuto, perciò per alcuni autori è da ravvisarsi il reato di falso informatico anche nel caso in cui venga a mancare qualcosa di “fisico o corporale”.
Tuttavia la vera limitazione nell’applicazione del reato di falso informatico ad alcune tecniche di phishing la si ha nel momento in cui si va a valutare l’efficacia probatoria delle comunicazioni informatiche. Essa è infatti nel nostro caso nulla, in quanto le comunicazioni informatiche in esame (mail di spamming) non possono essere fatte rientrare nella nozione di scrittura privata. Le comunicazioni informatiche che non vengono sottoscritte con una firma elettronica non potranno avere efficacia probatoria, ma potranno al limite, a discrezione del Giudice, soddisfare il requisito legale della forma scritta (art.20, c 1 bis) . Questa è la discriminante secondo cui si può valutare “la falsificazione di documenti suscettibili di produrre situazioni di danno o pericolo per la pubblica fede e quella incidente su documenti privi di rilevanza probatoria” . (vedi legge 547/1993).
In generale potrà rivelarsi un reato di falso informatico nel momento in cui si vada replicare attraverso falsità materiale o ideologica un documento recante firma digitale o firma elettronica qualificata. La falsità materiale si pone in essere quando ad essere falsificata è l’identità dell’autore del documento, quella ideologica riguarda invece il contenuto del documento stesso. In sintesi nel nostro caso si sarebbe configurata una falsità sia in termini materiali che ideologici, non rilevata dal Giudice in quanto l’SMS inviato non costituisce un documento con efficacia probatoria.
Potrebbe essere mossa un’obiezione:
– Cartasì dispone di un servizio denominato SMSAlert, utilizzato per le comunicazioni di sicurezza ai propri clienti,
– gli SMS possono essere circostanziati sia in termini di paternità, che a livello di contenuti e temporalmente attraverso gli archivi dei provider,
– non esiste l’equivalente della Firma Digitale per gli SMS, ma comunque questi possono essere intesi apparentemente “certi” a livello sia di contenuto che di provenienza (i codici a correzione di errore utilizzati per la trasmissione sul canale possono essere una sorta di hashing), una volta stabilita l’imparzialità e del provider
Perché non ritenere allora anche gli SMS documenti elettronici con efficacia probatoria al pari di quella attribuibile a una firma non qualificata?
A tal proposito si rimanda a un documento di un autore (3) nel quale appare evidente come le caratteristiche oggettive di qualità, sicurezza, integrità e non modificabilità del documento informatico vengano meno nell’SMS, in quanto facilmente aggirabili da tecniche di SMS-Spoofing, come dimostrato dalla sentenza presa in esame. Per questo motivo il provider stesso non può, al giorno attuale, garantire i suddetti requisiti, e l’elemento di falso informatico decade nell’SMishing, esattamente come nella sua variante del Phishing.
Differenze e analogie tra smishing e phishing
Le sei fasi precedentemente elencate, che individuano la tecnica comunemente denominata “phishing” sono presenti nell’smishing, seppur in termini e modalità apparentemente diverse. La “cernita” delle informazioni riguarderà principalmente numeri di dispositivi mobili, lo spamming sarà effettuato via sms e non attraverso indirizzi email, e ciò porterà ad una maggior semplicità da parte dei malintenzionati nel riuscire a imitare l’aspetto di una comunicazione “ufficiale” proveniente dall’istituto di credito. Questo sarà possibile grazie a due elementi fondamentali:
1) l’assenza di un layout web da emulare (es. homepage del sito web di un’istituto di credito) congiunta alla brevità del testo da inviare (160 caratteri massimi per SMS) e quindi da elaborare;
2) la mancanza di sistemi di tutela per i destinatari dell’SMS che permettano di risalire al reale mittente, cautelandosi da forme di sms-spoofing.
Per quanto riguarda il “collegamento civetta” inserito all’interno dell’sms, si tratterà stavolta di un numero telefonico, associato molto probabilmente ad una numerazione VOIP (come nel caso in esame), ma non necessariamente. La seconda fase di camuffamento dei servizi dell’istituto di credito avviene simulando un servizio clienti con menu vocale associato all’utenza VOIP. In questo contesto l’utente sarà spinto a inserire le credenziali numeriche della propria carta di credito, memorizzate poi dalla stazione hardware su cui è installato il servizio.
In tal senso l’smishing si presta più facilmente allo sniffing delle informazioni numeriche, ed è perciò destinato principalmente ad attaccare servizi di Carte di Credito, Carte Prepagate che non account Internet di Home-Banking e simili, per i quali sarà necessario disporre di informazioni alfanumeriche, le quali non si prestano facilmente ad essere inserite durante una digitazione su richiesta on-call del servizio clienti.
Lo stesso ruolo del financial manager, che non risulta presente nel caso preso in esame, sarebbe sostanzialmente diverso da quello del phishing tradizionale. Per poter perpetrare condotte criminali di riciclaggio del denaro e trasferimento su conti Wester Union e simili, sarebbe necessaria la creazione di un sistema di POS virtuale verso il quale dirottare i pagamenti effettuati attraverso i codici carpiti fraudolentemente. L’intestatario del POS potrà poi agire alla stregua di un financial manager, utilizzando sistemi di money transfer. La creazione e lo sfruttamento di un POS virtuale presuppone perciò dei passaggi burocratici più delicati e sottili del semplice utilizzo di un conto corrente di un ignaro utente “pescato” sul web. La prassi da seguire per mettere in atto un’eventuale tentativo di riciclaggio di denaro da parte dei malintenzionati risulta perciò più articolata, complessa e più difficilmente realizzabile, seppur potenzialmente possibile, rispetto al riciclaggio di denaro derivante da operazioni di phishing tradizionale
(1) Farina Massimo, dispense del corso di Diritto dell’Informatica – 2010 – Facoltà di Ingegneria delle Telecomunicazioni, Università di Cagliari
(2) Farina Massimo, “I reati informatici (appunti) – 2010 – Facoltà di Ingegneria delle Telecomunicazioni, Università di Cagliari
(3) (3) Chirico Ugo – La protezione degli SMS con il modello PGP: firma digitale e cifratura di SMS con la crittografia delle curve ellittichehttp://www.ugosweb.com/Download/PGPsuSMS.pdf
(4) Il Sole 24 Ore – 1 novembre 2008, n°11 – Il Merito
(5) Sentenza del Tribunale di Milano – Ufficio del GIP – 15 ottobre 2007 (dep. 7 novembre 2007)
http://www.intertraders.eu/pronunce/view/14/Tribunale-di-Milano-Ufficio-del-G-I-P-Sentenza-del-15-ottobre-2007-dep-7-novembre-2007.html
H3G e Spam ... Ecco perchè si chiama "TRE".Rigenerazione Cardiaca, Work in Progress...
BroadBand SpeedTest – Il Miglior Test Online per la Velocità della Connessione
4 years ago	Tecnologiasmsishing520

References: sentenza 
 sentenza 
 Art. 167
 art. 122
 Art. 31
 art. 640
 sentenza 
 Art. 167
 sentenza 

Art. 494
 Art. 12
 Art. 640
 sentenza 
 sentenza 
 Sentenza