Newsgroup: it.comp.sicurezza.varie
Titolo: Truffa - violato pc oppure casella mail?

Ciao a tutti,
un cliente ha subìto una truffa, effettuando un ordine ad un fornitore 
estero, ha ricevuto subito in risposta una mail da parte di una terza 
persona che si è inserita spacciandosi per il fornitore ed inviando 
delle sue coordinate bancarie a cui il cliente ha fatto un bonifico 
fidandosi.
Teme che il pc sia stato hackerato, ma è più probabile che siano entrati 
nel pc oppure che abbiano avuto accesso alla casella mail del fornitore 
in attesa di un ordine per rispondere al posto suo?
Oppure ancora che siano entrati nella casella del cliente? (anche se in 
questo caso vedo difficile bloccare la mail spedita dal cliente al vero 
fornitore, che a quanto pare non ha ricevuto nulla).
Tutto dovrebbe essere iniziato con una mail del cliente spedita alla 
mail corretta del fornitore vero, ma è stato solo il truffatore a 
rispondere.
Il cliente ha un pc Win 8.1 e per la posta usa esclusivamente 
Thunderbird, non webmail. Il mio parere è che gli accessi illeciti siano 
stati fatti sui server di posta, più probabilmente quello del fornitore 
che si è dichiarato ignaro di tutto (salvo che non sia esso stesso 
complice...)
Voi che ne pensate?
 
Grazie
RAY


E' una tipologia di truffa abbastanza comune, ultimamente.
 
Di solito ad essere sfruttate sono "solo" le credenziali della casella
postale, ma non necessariamente quelle del tuo cliente: protrebbe essere
anche la controparte (il fornitore estero, in questo caso).
 
Tuttavia, tali credenziali in qualche maniera l'attaccante se le è
procurate. Password troppo banali a parte, questo di solito implica la
compromissione di un client che usa l'account utilizzato (e da lì il
prelievo delle credenziali).
 
 
In short: controllo attento dello stato di salute del PC e cambio della
password sono il minimo sindacale, per entrambi i sospettati (il tuo
cliente e il suo fornitore).
 
Se i provider del servizio di posta da entrambi i lati sono
collaborativi, chiedete un report di tutti gli accessi alle mailbox, con
dettaglio dell'IP di connessione.
 
Questo dovrebbe permettervi di individuare quale mailbox ha subito
l'accesso non autorizzato e da quale IP.
 
Informazione che servirà a poco (conviene sempre denunciare l'accaduto,
ma di norma le cose non vanno lontano), ma almeno siete certi di chi sia
stato compromesso.
 
 
(poi, se la truffa è stata possibile a causa di problematiche di
sicurezza del fornitore, magari è possibile scaricare su questi la somma
maltolta, ma IANAL, quindi mi limito a buttarla lì; di sicuro farlo
costerebbe probabilmente altri soldi in cause legali...)

 cliente e il suo fornitore).
 
...snip...
 
 
Storie come questa mi fanno apprezzare l'autenticazione con codice di conferma
via SMS la prima volta che ci si collega da un certo PC offerta per es. da 
Gmail... ma anche riflettere sul fatto che ciò non basta se è l'account del 
fornitore a essere stato compromesso.
 

 fornitore, che a quanto pare non ha ricevuto nulla).
...
 
Se hanno hackerato la mailbox del fornitore, potrebbero aver cancellato l'email 
originaria del cliente.
 

 Voi che ne pensate?
 
Io inizierei leggendo le email per avere qualche indizio ulteriore.
 
 
-- 
Andrea
 

 5. un approfondito controllo antimalware sul pc del cliente... che dice?
 
Ciao Edevils, ti rispondo per punti dopo avere verificato qualche 
dettaglio in più:
1 - Il cliente ha inviato una mail di ordine al fornitore, cinese, già 
conosciuto per lavori precedenti ed in rubrica, è partita una trattativa 
via mail col fornitore reale fino alla definizione del prezzo da pagare, 
a questo punto si è inserito il truffatore che ha inviato al cliente un 
duplicato dell'ultima mail del fornitore, usando una mail lievemente 
diversa: questa copia includeva in allegato la stessa fattura proforma 
inviata poco prima anche dal vero fornitore, era quindi identica 
all'originale.
Poco dopo il truffatore invia un'altra mail con nuove coordinate a cui 
inviare il pagamento scusandosi e dicendo che quelle sul documento sono 
errate, il cliente si è fidato.
2 - il vero fornitore ha ricevuto tutte le comunicazioni del cliente 
fino a prima di quella mail che è stata duplicata, ovviamente da quella 
in poi il cliente rispondeva al truffatore soltanto, che poi si è 
scoperto avere creato anche una mail fasulla del cliente, probabilmente 
per temporeggiare col fornitore e tenerlo buono con risposte sommarie 
mentre la truffa era in atto.
3 - So solo che l'indirizzo del cliente è un 
tin.it
 e gli ho già 
raccomandato di chiedere a Telecom la lista degli accessi degli ultimi 
giorni. Gli indirizzi fasulli in gioco sono 2 o 3 e dagli IP risultano 
tutti creati dagli Stati Uniti.
4 - il fornitore è cinese.
5 - Vedrò il pc in giornata ed oltre a fare pulizie cambieremo 
ovviamente un pò di password, tuttavia sapere dove è avvenuta la falla è 
importante per stare più sicuri.
 
Grazie, ciao
RAY
 

 Io inizierei leggendo le email per avere qualche indizio ulteriore.
 
Il fornitore pare molto collaborativo ed ha già inviato al cliente le 
mail ricevute da lui stesso oltre a quelle che il truffatore ha inviato 
pure al fornitore spacciandosi per il cliente (da altro indirizzo falso 
ma simile a quello del cliente) per prendere tempo mentre attuava la truffa.
Il fornitore ha anche fornito al cliente gli ip con cui il truffatore ha 
registrato questi indirizzi falsi, pare siano degli Stati Uniti.
 
Comunque c'è poco da leggere, nel senso che qualcuno era in "ascolto" e 
ad un certo punto ha usato un indirizzo simile a quello del fornitore 
per scrivere al cliente e mandargli altre coordinate bancarie.
Ora si tratta di capire se era in ascolto sulla casella mail del 
fornitore oppure del cliente, noi chiederemo a Telecom gli accessi alla 
casella 
tin.it
 del cliente, c'è altro che possiamo richiedere al provider?
 
Ciao
RAY
 


Capitato a 2 clienti.
In entrambi i casi non c'erano accessi sospetti all'email del cliente e 
quindi probabilmente è avvenuto tutto lato fornitore.
Invio proforma modificato (con diverso creatore del file pdf) con dati 
bancari simili ma non uguali.
Conto chiuso appena arrivato il bonifico
 
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
 
www.robyt.eu
 
 

 5. un approfondito controllo antimalware sul pc del cliente... che dice?
 
Ciao,
ho poi trovato sul pc un backdoor.agent (che per inciso trovo su oltre 
la metà dei computer che pulisco...) ed alcuni accessi alla webmail 
effettuati dall'estero, probabilmente non dal cliente, negli ultimi 
giorni (attendiamo dal provider una lista più estesa).
 
E' possibile che abbiano veramente prelavato la password della mail dal 
Thunderbird installato sul pc attraverso il virus? Parliamo di un 
piccolo ufficio che non è certo l'obiettivo principale di hacker 
internazionali, inoltre il cliente mi ha detto che a loro capita una 
sola volta all'anno di fare un grosso ordine con bonifico, non è una 
prassi, chi stava spiando ha avuto la fortuna di trovarsi in mezzo alla 
trattativa al momento in cui il fornitore chiedeva il pagamento.
 
Ciao
RAY
 

 Conto chiuso appena arrivato il bonifico
 
Ciao,
come scrivevo sopra, io ho trovato anche degli accessi sospetti alla 
webmail del cliente, ma in effetti non era così appetibile per il 
truffatore che ha avuto la fortuna di trovarsi in mezzo all'unico 
acquisto che fa in un anno all'estero con bonifico.
Però non sappiamo se quegli accessi sono veramente legati al truffatore 
in causa, non abbiamo ancora riscontri di altri accessi sulla mail del 
fornitore (che difficilmente ammetterà sue falle sulla sicurezza) 
azienda cinese che fa esportazioni di continuo ed è quindi l'ideale per 
inserirsi e fare anche più truffe simultaneamente a più clienti.
 
Forse si potrebbero avere più info indagando su chi ha aperto le 3 mail 
fasulle presso il provider negli USA.
 
Ciao
RAY
 

 internazionali
 
'sti trojan lavorano in modalità completamente automatizzata e su larga
scala. Non sono attacchi mirati...
 

 scala. Non sono attacchi mirati...
 
Ok, di conseguenza dobbiamo dedurre che sia una coincidenza e fosse lì 
"dormiente" come in tanti altri pc, oppure che sia stato proprio 
sfruttato dal truffatore per ottenere la password della mail?
 
RAY
 
 


Può essere entrambe le cose con quasi la stessa probabilità.
Statisticamente, di solito è più facile che ad essere sfruttata sia
stata una compromissione della controparte, ma capitano entrambe.
 
Il fatto che tu abbia effettivamente trovato traccia di accessi alla
webmail eseguiti con successo "da fuori" è probabilmente significativo.
 
*MA*: il tuo cliente afferma di avere inviato delle mail al fornitore
(quello vero) e il fornitore non la ha mai vista, e in risposta a queste
si è invece introdotto il truffatore. Questo è un MO abbastanza comune
nei casi che ho visto capitare, ed è possibile solamente se il criminale
aveva accesso alla mailbox *del fornitore* (per cancellare il messaggio:
leggerlo poteva farlo anche dalla "Sent" del tuo cliente).
 
 
Il che mi fa propendere a ritenere che il problema qui sfruttato sia
dall'altro lato. Il che non significa che ci possa essere un problema
anche dal lato tuo...
 


 
Per l'esattezza il truffatore si è inserito ad un certo punto, il primo 
scambio di mail è avvenuto realmente tra cliente e fornitore senza 
intromissioni ed è durato settimane, per svariati messaggi, poi quando 
sono arrivati a parlare di pagamento si è intromesso l'altro ed ha 
fornito un conto bancario differente.
Sì pensavo anche io che gli basta una sola casella per fare ciò che ha 
fatto, ha duplicato una mail che poteva essere presa sia dalla casella 
sent del fornitore sia da quella ricevuta del cliente.
 
Ciao
RAY

 webmail eseguiti con successo "da fuori" è probabilmente significativo.
...
 
In ipotesi, dico in generale, potrebbero esserci anche altre spiegazioni.
Per esempio ho notato che quando leggo la posta da un blackberry l'accesso alla mailbox risulta dall'Olanda o dalla Germania, anche se sono in Italia, e infatti la mailbox si "insospettisce" per login da località insolita :)
 
Però, se le connessioni avvenivano sempre dallo stesso Thunderbird, senza niente di mezzo, in effetti un accesso "da fuori" pare strano.

 
 
Più che altro, lui ha parlato di accessi "alla webmail", non di accessi
al server IMAP.
 
Non conosco servizi proxy di terze parti che vadano ad interagire con la
webmail...


Controllando su un sito geo ip dal browser del blackberry mi dice che in questo 
momento mi trovo in UK. (Putroppo) non è così :)
 
Suppongo quindi che risulterà un accesso da UK anche in webmail, non solo imap.
 
 

 fornito un conto bancario differente.
 
In questo caso una verifica la puoi fare.
Se il tuo cliente afferma di avere spedito un'email al fornitore, e questo non l'ha ricevuta, non significa necessariamente che il "buco" sia lato fornitore.
Però lo puoi verificare in un modo relativamente semplice. Chiedi a Telecom di confermarti l'uscita del messaggio. Se il messaggio è transitato effettivamente dal mail server di Telecom, significa che il buco lo aveva (o lo aveva anche) il fornitore.
Se si tratta di un trojan è possibile infatti che interagisca con il client di posta o con la tua rete in generale (modificando il file di hosts... intervenendo sui DNS etc...) dandoti l'illusione che un messaggio sia stato inviato.


Tecnicamente, vero.
Praticamente, non è quel che avviene di norma (troppo complicato da
gestire, per "l'attaccante").
 
Ma far verificare l'effettivo transito della mail incriminata di certo
non nuoce e aiuta a chiarire il quadro.

 Se il tuo cliente afferma di avere spedito un'email al fornitore,
 
Potrebbe averla spedita via webmail.
 
-- 
Andrea
 

 Suppongo quindi che risulterà un accesso da UK anche in webmail, non solo imap.
 
Giusto, una cosa che avevo valutato anche io, infatti il cliente usa 
webmail da casa (e non Imap) per controllare la posta quando non è in 
ufficio, lo fa attraverso un Notebook ed un tablet e si connette 
attraverso due diverse sim della Tim.
Tuttavia quando gli ho fatto fare una prova di connessione con quelle 
sim per vedere come si loggavano nella webmail, risultavano accessi 
dall'Italia per entrambe. Ciò non esclude che in orari particolari Tim 
possa appoggiarsi a gestori stranieri per particolari accordi, pratica 
ormai diffusa oggi tra gestori per ripartire costi e servizi.
 
Ciao
RAY
 


Vorrei chiarire perchè in realtà non c'è nessun messaggio non arrivato.
Sia fornitore che cliente hanno ricevuto tutto quello che ha spedito 
l'altro.
Quello che è successo è che ad un certo punto il truffatore ha spedito 
una seconda mail al cliente, replica di quella originale del fornitore.
Da quel momento in poi il cliente ha risposto inconsapevolmente 
all'indirizzo farlocco del truffatore, convinto di rispondere al fornitore.
Quindi in realtà non ci sono state mail cancellate durante il tragitto o 
mai arrivate, ma solo doppioni che sono stati presi per autentici.
 
Ciao
RAY

 una terza persona che si è inserita spacciandosi per il fornitore ed
 
mi viene il sospetto che uno dei due lati abbia subito un furto di
credenziali; la cosa è più banale di quanto si potrebbe pensare, basta
un'infezione da virus o l'uso di un hotspot pubblico senza uso di SSL o
comunque di connessione crittata e ... le credenziali sono andate; in
alternativa è possibile che uno dei due accounts sia stato violato a
causa del classico "password reuse" ossia del riutilizzo della stessa
password per più servizi online; in tal caso si potebbe provare a fare
una verifica utilizzando questo sito 
https://haveibeenpwned.com
 per
controllare l'indirizzo del mittente e quello del destinatario
 
 

 controllare l'indirizzo del mittente e quello del destinatario
 
Per ora ho controllato la mail del cliente e risulta ok, ma questo cosa 
significherebbe? Esclude solo un tipo di accesso o più cose?
 
Grazie, ciao
RAY