Newsgroup: it.comp.sicurezza.varie
Titolo: Truffa SIM Swap: dubbio!

Oggi, nella trasmissione "Mi manda Rai 3", un' ospite segnalava di essere stata vittima della truffa "SIM Swap", come riportato al seguente link:
 
https://quifinanza.it/info-utili/sim-swap-come-difendersi/380827/
 
 
..quello che mi ha lasciato perplesso è che l'ospite ha detto di aver ricevuto un falso sms (*che credeva fosse vero*) dalla sua banca ed aver cliccato sul relativo link per aggiornare la sua app ma di NON aver fornito alcun codice  e password.
 
Successivamente è stata poi richiamata telefonicamente e gli hanno detto che era tutto OK con la sua app ed anche in questa circostanza l'ospite ha ribadito di non aver comunicato nessun codice e password.
 
Quello che mi sembra sconvolgente è che i truffatori, secondo l'ospite, con il solo possesso della sim e senza la conoscenza dei codici e password, sono riusciti lo stesso a svuotarle il conto corrente: ma come hanno fatto??
 
 
Ciao e grazie mille
 
 
 


**posto che** la persona non abbia travisato (e se non è esperta è 
possibile) la prima possibilità che mi viene in mente è che avesse una 
password banale (alcune banche la lasciano personalizzare) e/o che l'app 
installata fosse un qualche trojan che ha permesso di scoprire gli 
eventuali codici. Non conoscendo di preciso la banca usata e i 
meccanismi che usa è difficile dire certamente cosa sia successo...


Ha parlato della banca  BNL e dell'operatore telefonico Vodafone.
 
 
Ciao e grazie mille!

 la sua app ma di NON aver fornito alcun codice  e password.
 
E come ha fatto l'ospite a sapere che la nuova app aggiornata funzionava?
 
Suppongo che l'abbia usata.
 
Quella che credeva essere l'app della sua banca.
 
E che ovviamente aveva i permessi per accedere agli SMS in entrata.
 
E i permessi per accedere a Internet -- e ritrasmettere a chicchessia i codici
contenuti negli SMS medesimi.
 
Azzardo l'ipotesi che, per usare la app e accertarsi che funzionasse, l'ospite
abbia inserito nella app il PIN, e la password. Alla 2FA, la app ci ha pensato
da sola.
 
Leonardo
-- 
 
"You all presumably know why" :-) :-(


Perché se fosse stata complessa il figlio di trojan non l'avrebbe 
scoperta? Non credo facciano un brute force verso server di una banca, 
credo che li abbiano meccanismi per scoprire e bloccare queste 
evenienze, almeno spero.


OK... ma come cavolo ci si può difendere da questo tipo di truffa?.. è per questo motivo che ho sempre avuto timore di aprire un  conto  online...  :-((
 
 
 
Ciao e grazie mille!
 


Difficile dirlo, quindi non usi nemmeno le carte di credito?

 Difficile dirlo, quindi non usi nemmeno le carte di credito?
 
Sì, uso carte di debito prepagate.
 
 
Ciao e grazie mille!
 
 

 ..quello che mi ha lasciato perplesso è che l'ospite ha detto di aver ricevuto un falso sms (*che credeva fosse vero*) dalla sua banca ed aver cliccato sul relativo link per aggiornare la sua app ma di NON aver fornito alcun codice e password. 
 
in primo luogo non mi pare di essere di fronte ad un "sim swap" ma ad un semplice phishing. ad ogni modo dai soli racconti degli utenti truffati è impossibile risalire alle tecniche, vuoi perché trascurano particolari importanti, vuoi perché se hanno commesso una ingenuità non l'ammetteranno mai pubblicamente. in questo caso un qualsiasi esperto che analizzasse quell'app darebbe tutte le risposte, purtroppo spesso queste trasmissioni nazional-popolari preferiscono lasciar credere che esistano le streghe piuttosto che dare risposte.
se vuoi il mio parere quella persona dice di non aver fornito alcun codice o password, con ogni probabilità codice e password gli erano già stati sottratti in precedenza. magari con una mail di phishing e con questo giochino hanno completato l'opera.

 ad ogni modo dai soli racconti degli utenti truffati è impossibile risalire alle tecniche, vuoi perché trascurano particolari importanti
 
Esatto, è come chiedere a uno spettatore che non sa nulla di magia che 
cosa è successo durate il numero di un prestigiatore. Il racconto non 
non avrà nulla a che vedere con quello che è successo davvero, e se 
racconti al mago cosa ha detto il testimone ti dirà sicuramente che se 
fosse successo così il numero non avrebbe mai potuto farlo.
 
-- 
Saluti
VITRIOL