Newsgroup: it.economia.banche
Titolo: Sicurezza Banche Online


MAterasso +  Colt Python
 
considera che la  Colt Python ha il doppio uso ,
puoi anche effettuare prelievi allo sportello senza essere correntista!!
 
Giulia

 E ora che si fa?
 
Sappiamo tutti che le banche hanno più livelli di protezione e sicurezza 
bisognerebbe capire ad esempio se nel caso in questione la password 
dispositiva sia singola, se sia legata ad un otp, ad una firma digitale, 
etc. etc. etc.
 
Ti porto l'esempio dell'home banking aziendale di Unicredit che per 
disporre qualcosa ha bisogno della concatenazione di una password legata 
al token di firma digitale, della password usa e getta generata da un 
otp con notifica finale ad un indirizzo mail con la possibilità tra 
l'altro di profilare users senza poteri di firma in modo che possano 
stare anche connessi H24 per preparare le distinte che volendo si 
possono firmare su un computer "terzo" adibito solo a questo!
 
Ti porto anche l'esempio di Iwbank che da qualche anno a questa parte, 
probabilmente a causa di qualche problemino interno precedente, ti fa 
entrare con username+password+codice genereto da otp e quando vai a 
firmare hai sempre la generazione del codice tramite otp e la notifica 
in tempo reale sia del login che delle disposizioni tramite mail!
 
Tra l'altro se un eventuale hacker riuscisse a rubare tutti i codici ed 
a sottrarre l'otp comunque non riuscirebbe a disattivare le notifiche 
mail perchè per la modifica di tali parametri ci sono altri codici 
inviati all'apertura del conto tramite posta cartacea.
 
Tutto questo per dirti che la sicurezza al 100% non esiste ovviamente 
però c'è chi si ferma al 99%, chi all'80%, chi al 70% etc. senza poi 
considerare gli utonti quindi prima di gridare al lupo al lupo...
 
Saluti!
GabrieleMax

 telefonico dedicato con autenticazione strong con token).
 
Mi hai fatto venire in mente un episodio di quando a fine anni '90 inizi 
2000 poche aziende importanti si collegavano tramite modem alla banca 
con programmi che giravano in dos, ricordo di un cliente di Sulmona 
produttore di confetti (non posso fare il nome perchè è molto famoso!) 
che lasciò il modem connesso per dimenticanza dalla sera per tutta la 
notte fino a metà del giorno dopo verso l'allora Banca di Roma o BNL 
(questo non lo ricordo) e gli impallò il server perchè rimanendo una 
sessione aperta questi non riusci' a far partire procedure automatiche 
etc. etc. etc.
 
Ok stiamo parlando della preistoria dell'informatica però nel 2016 
sentire parlare di modem lascia il tempo che trova, non hai minimamente 
idea di cosa toccherebbe mettere in piedi per gestire una cosa del 
genere e poi pagheresti 100 euro al mese solo di canone di home banking!
 
Ci sono soluzioni web che garantiscono un elevato livello di sicurezza, 
concatenare una password+token+firma digitale+notifica su email è un 
modo che oggi basta e avanza ma il ruolo fondamentale è sempre quello 
dell'utente e di cosa ci fa con il computer.
 
Saluti.
GabrieleMax

 GabrieleMax
 
-- 
    * b *
  *   y   *
*   Piero   *
#v+
Ho nascosto qualche grammo di cervello per uso personale.
#v-
 

 sicurezza la gente!
 
Se tra le tante banche online scegli quella che su tre ipotetici livelli 
di sicurezza ne ha uno o forse manco quello IO mi guarderei bene dal 
metterci i soldi quindi il primo sbaglio lo fa la gente che non guarda 
la sicurezza e non si informa prima!
 
Mi sembra di sentire i discorsi di quelli che hanno investito in borsa 
in titoli della banca salvo poi vederla saltare e perdere tutti i soldi 
e scoprire che investire in borsa può rendere tanto ma non è come 
comprare bot!
 
Imho credo sempre meno nel 2016 a quello che cade dal pero, al finto 
tonto, a quello che non sapeva, etc. etc. etc.
 
Nel caso specifico non sarà colpa diretta di 20.000 utonti ma imho anche 
quelli che se la vanno a cercare hanno una bella percentuale di colpe!
 
Saluti.
GabrieleMax

"marmellata23" [by Sylpheed 3.4.1 (GTK+ 2.18.3; i486-t2-linux-gnu)]

Nella banca che uso si entra con username+password+codice token.
 
Un esempio:
i bonifici posso farli solo a nominativi inseriti in Rubrica e già
autorizzati dalla banca con SMS; se dovessi farlo ad un soggetto non in
Rubrica, dovrei aspettare la nuova autorizzazione sempre con SMS, poi
inserire il codice che trovo nel SMS (utilizzabile solo al momento)
seguito da quello del token, solo adesso posso completare la procedura
ricevendo sulla pagina il segnale di eseguito e .pdf che posso stampare,
dopodiché posso (se voglio) inserire il nuovo soggetto in Rubrica.
 
Come vedi i mezzi per operare con ragionevole sicurezza ci sono, ma se
questi 20.000 utenti non hanno saputo scegliere le banche giuste...
 
-- 
    * b *
  *   y   *
*   Piero   *
#v+
-panem et circenses-
#v-
 

 stanno le cose.
 
Letto.
Sintetizzando, hanno ipotizzato tre possibilità:
 
[1] i clienti sono stati vittime di phishing;
 
[2] un difetto al codice a tempo (token) per cui continuando a funzionare
    (ipotizzo: anche se cambiato) abbiano sfruttato quel difetto per
    baypassare il blocco;
 
[3] truffa operata da un dipendente della banca, oppure l'operato di un
    intruso all'interno della rete che ha fatto tutto nel fine settimana.
 
Allora, nell'ipotesi [1] nulla a che vedere con la sicurezza della banca;
 
nell'ipotesi [2] mai avrebbero potuto truffare durante il bonifico stante
tutte le altre sicurezze usate (ti consiglio di rileggere *attentamente*)
quel che ho scritto;
 
nell'ipotesi [3] anche qui vale quanto ho scritto sopra.
 
Riesci ad ipotizzare come sarebbe possibile baypassare tutti i vari
passaggi che ho descritto il 10/11/16 18:18:47 ?!
 
Aspetto con ansia... :-)
 
-- 
    * b *
  *   y   *
*   Piero   *
#v+
È un genio della scrittura, ha inventato il paragrafo senza fili.
#v-
 

 stare anche connessi H24
 
Tutto bene.
 
Ma bisogna anche graduare i livelli di sicurezza.
 
La stessa Unicredit richiede la stessa sicurezza del'home banking per 
fare un'acquisto online con una delle sue carte.
A mio giudizio un livello (relativo) cosi' alto per un acquisto con CC 
(che ha anche coperture assicurative e riassicurative verso cliente e 
banca) sia eccessivo e rende o troppo complicata la procedura o espone 
eccessivamente il sistema di sicurezza che a mio parere deve tenere al 
sicuro transazioni potenzialmente di ben altro valore e a queste 
dovrebbe essere riservato.
 
Mi e' stato chiesto l'utilizzo del token (in realta' io ho ancora la 
scratch card, ma la sostanza non cambia molto) per una ricarica 
cellulare da 3.4 Euro!
 
Domanda: almeno le mie credenziali home banking le tengo solo in testa, 
ma come faccio a separare token e carta di credito? Dove tengo l'una e 
dove tengo l'altra (come si dovrebbe fare, altrimenti e' come scrivere 
il PIN dietro al Bancomat) senza perdere la possibilita' di fare un 
acquisto anche in mobilita' (ad es. un biglietto del treno).
OK, hanno anche la app, ma sta pur sempre su un cellulare e non mi fido 
tanto di quello che potrebbe succedere in caso di furto, aldila' di 
quello che mi garantiscono.
 
A parte i dettagli procedurali, quello che non capisco e' questo stile 
"o tutto o niente" che a me personalmente non da' alcuna sensazione di 
sicurezza maggiorata, ma piuttosto uno "sparo tutto" per non sbagliare 
senza avere sviluppato una politica di sicurezza equilibrata.
 
E, ripeto, esporre il sistema di sicurezza "finedelmondo" a tutto il 
mondo perche' se lo possa studiare bene, anche per una transazione da 
3.4 Euro con CC non mi sembra una buona idea.
Aldila' della scomodita' di utilizzo per il cliente, che almeno io (e 
forse solo io da quanto capisco parlando con Unicredit) provo.
 
Sleepy

 autorizzati dalla banca con SMS;
 
E tutte le volte che devo fare un bonifico devo mettere uno in rubrica? 
Ma voi siete fuori di testa.
 
 
---
Questa e-mail è stata controllata per individuare virus con Avast antivirus.
https://www.avast.com/antivirus
 

 essere obbligatorio per tutti come minimo livello di sicurezza.
 
Sai dove devi mettertelo il token?
Ci sono altri metodi sicuri senza aver bisogno di portarsi dietro 
inutili orpelli.


 rubrica? Ma voi siete fuori di testa.
 
Incollo il testo che hai tagliato, così te lo rileggi con calma:
 
.............. _*Beginning of the citation*_ ..............
Un esempio:
i bonifici posso farli solo a nominativi inseriti in Rubrica e già
autorizzati dalla banca con SMS; se dovessi farlo ad un soggetto non in
Rubrica, dovrei aspettare la nuova autorizzazione sempre con SMS, poi
inserire il codice che trovo nel SMS (utilizzabile solo al momento)
seguito da quello del token, solo adesso posso completare la procedura
ricevendo sulla pagina il segnale di eseguito e .pdf che posso stampare,
dopodiché posso (se voglio) inserire il nuovo soggetto in Rubrica.
............... _*The end of the citation*_ ...............
 
è chiaro che la *facoltà* d'inserire in Rubrica è una libera scelta, però
quando l'hai fatto una volta per quel soggetto non devi farlo più.
 
È stata aggiunta questa ulteriore sicurezza che serve solo per bonifici
/una tantum/, ma se prevedi di riutilizzarlo (e lo ritieni affidabile)
conviene inserirlo nella Rubrica, con un ulteriore vantaggio:
 
quando devi bonificare ad un soggetto "rubricato", basta scrivere  i primi
caratteri che automaticamente viene inserito nome ed IBAN nei campi giusti
evitando possibili errori.
 
Ritengo che di meglio non potevano fare. :-)
-- 
    * b *
  *   y   *
*   Piero   *
#v+
-do ut des-
#v-
 

 Sleepy
 
Saluti!
GabrieleMax

sicurezza la gente!
 
Si, impedendogli di avere accesso a servizi che NON sanno usare:
"People tend to do stupid things, like reusing passwords or clicking
on random links, giving hackers the access they need".
 
-- 
Lex Tutor
L'Asilo Infantile di Bofhland® è un argomento che sarà oggetto
di un libro di prossima pubblicazione, quindi sto discutendo
di una questione che mi interessa per finalità di ricerca

 come tutte le carte...
 
Leggi bene quello che ho scritto.
Non uso l'home banking, altrimenti e' ovvio che facendo un bonifico devo 
usare il token o similare.
 
Parlo di carta di credito. Sempre di carta di credito. Mai di bonifici o 
di azioni in home banking.
Hai in mente andare sulla TIM e ricaricare e non poter usare PayPal?
O su Trenitalia e non voler usare PayPal?
 
Ecco. 
 
Quando normalmente viene richiesta la Matercard Secure Code, allora si' 
che Unicredit ti reindirizza verso una sua pagina che ti chiede il PIN 
del token o della scratch card. Esattamente come se stessi facendo un 
bonifico da 20.000 Euro.
 
Chiaro?
 
Sleepy

 Sleepy
 
Saluti.
GabrieleMax

 sentire parlare di modem lascia il tempo che trova, non hai
 
Ergh.
 
Molti POS, fanno ancora partire una chiamata telefonica (e manco ad un 
numero verde: quando l'avevo io, era a tariffazione separata, me lo 
trovavo in bolletta. Credo fosse un 199. C'e' voluto del bello e del 
buono, all'epoca, per chiedere una chiamata ad un numero geografico. Che 
era, BTW, uno 02).
 
Per fare la telelettura dei pannelli fotovoltaici, sono stati imposti dei 
modem, con SIM telefoniche. Che devono "rispondere" solo (sim M2M, quella 
che costa meno va bene, solo dati).
 
I primi due esempi di modem che mi vengono in mente.
Per il secondo caso, sto cercando un modem nei miei vecchi scatoloni, 
cosi' me la faccio pure io la telelettura, senza muovere il culo ed andare 
a leggere...
Non so piu' dove li ho messi. :-P
 
 
Fabrizio
 
 

 questo il caso.
 
Ma il massimale della carta non e' un problema tuo, solo di chi assicura 
tutte le spese che fai usando la carta e ci guadagna nel 99& dei casi, 
risarcendo poi l'1& dei truffati.

 la mia lo usa. :-)
 
Gli SMS non sono garantiti, possono anche non arrivare mai, eppur lo 
paghi (fonte: le compagnie telefoniche).

 deve diventare obbligatorio per tutti. Se facessi business mi guarderei
 
Il seed, questo sconosciuto.

"ilChierico" [by Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:25.9) Gecko/20161025

Quelli dei quali parlo sono gratis, e per questi intendo:
 
[1]  quello che viene inviato con il codice per attivare un bonifico ad
     un soggetto NON in rubrica (un clic per inserirlo, se voglio);
 
[2]  l'altro viene inviato subito per conferma al termine dell'operazione
 
A questo segue una mail...


 Quelli dei quali parlo sono gratis, e per questi intendo:
 
E chi se ne frega se li paghi o no.
 
Sia in Italia sia all'estero non mi arrivano tutti gli SMS che 
dovrebbero arrivarmi, eppure per ogni operazione dovrebbe arrivarmi un 
SMS, casini informatici della banca a parte.
 
E siccome almeno io li pago sulla bolletta, posso anche controllare e 
smentire.
 
Va ben che c'e' l'home banking che controllo ogni due per tre, ma non 
devi avere il falso convincimento che l'invio degli SMS sia garantito da 
parte delle compagnie telefoniche, anzi e' proprio il contrario.

 SMS, casini informatici della banca a parte.
 
E chi se ne frega se non li ricevi e la tua banca fa casini, io l'ho
sempre [S E M P R E] ricevuti tutti dalla mia!
    ..._skipped!_
-- 
    * b *
  *   y   *
*   Piero   *
#v+


 sempre [S E M P R E] ricevuti tutti dalla mia!
 
Non hai capito una ceppa, oppure sei il solito troll. Io ti ho avvisato. 
Auguri.

"ilChierico" [by Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:25.9)

Tranquillo, ho capito benissimo. LOL
Ti rode il fatto che qualcuno (io) riceva _regolarmente_ gli SMS dalla
banca, come altrimenti sarebbe possibile compiere alcune operazioni, me
lo sai spiegare?!
 
Non hai argomenti per controbattere quindi provi a tacciarmi di troll, ma
hai sbagliato persona; ecco adesso fai il bravo *torna a servire la messa*
 
Pace e bene Chierico.
-- 
    * b *
  *   y   *
*   Piero   *
#v+
-beati monocoli in terra caecorum-
#v-
 

 lo sai spiegare?!
 
Sai quanto me ne importa del *tuo* conto in banca? Io ti ho solo 
avvisato del problema, passo e chiudo.

 avvisato del problema, passo e chiudo.
 
Ma non hai capito che il problema che ti affligge non mi tocca?!
-- 
    * b *
  *   y   *
*   Piero   *
#v+
-cogito ergo sum-
#v-
 

 Ma non hai capito che il problema che ti affligge non mi tocca?!
 
Io l'ho capito, sei tu che non hai capito che gli SMS non sono una 
tecnologia che garantisce la consegna, quindi prima o poi ti tocchera', 
o potrebbe toccare anche a te.

"ilChierico" [by Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:25.9) Gecko/20161025

Porello :-/, che te servono immagini sottotitolate per capirlo?!
-- 
    * b *
  *   y   *
*   Piero   *
#v+
Tutto il futuro è racchiuso nella sacra sillaba "bo!".
#v-