Newsgroup: it.economia.banche
Titolo: Frodi internet banking

Roma: aumentano le frodi via internet a danno degli utenti
delle banche.
I consigli del Comune per i cittadini..... :
http://www.mdc.it/news.php?id=4013

 I consigli del Comune per i cittadini..... :
Sono le solite tecniche di "social engineering" usate oramai da quando 
esistono i computer,ci sono interi libri dedicati all'argomento.
Il primo caso memorabile di queste tecniche servi a mettere fuori uso una 
intera centrale telefonica AT&T di una grande citta americana,semplicemente 
avevano telefonato e fingendosi altre persone si fecero dire la password di 
accesso al PC che controllava la rete telefonica e la misero out.
Con le attuali chiavi crittografiche è praticamente impossibile decrittare 
le password a 128 bit (lo standard usato per le connessioni sicure) a meno 
di sforzi di calcolo matematico possibili solo grazie alla potenza di intere 
reti di computer.
Sicuramente è molto più semplice chiedere la password direttamente al 
titolare e a quanto sembra il pesce qualche volta abbocca.

 titolare e a quanto sembra il pesce qualche volta abbocca.
A proposito,
ultimamente mi sono arrivate svariate emails per conto di una sedicente
Citybank
che mi chiedeva appunto di riconfermare tutti i miei dati.
In questi casi è sempre preferibile non seguire il link che si trova in
email,
ma entrare sull'home del sito della banca e da lì cercare qualche riscontro.

Dopo dura riflessione, Rataplan ha scritto :

Nuovo questo metodo, eh? :D
Soli gli utonti ci potrebbero cascare.
Gli stessi che per strada si fanno rifilare qualsisasi cosa...
-- 
cordialmente
Carlo
*************************************************************************
"Per salire i mercati hanno bisogno di volumi, ma per scendere possono 
semplicemente crollare
sotto il proprio peso, senza che i volumi aumentino necessariamente". 
Edwards
*************************************************************************

titolare e a quanto sembra il pesce qualche volta abbocca.
Secondo Bruce Schneier, uno dei guru della sicurezza, e secondo Kevin
Mitnick, un hacker cui è probito avvicinarsi a qualsiasi apparecchio
elettronico per sentenza, i pesci abboccano quasi sempre.
La sensazione che hanno gli addetti ai lavori è distorta dal fatto che
loro sono esperti e quindi sanno che ci potrebbe essere un trucco in
una telefonata strana e fuori dai canoni. 
Il fatto è che i normali utenti ad una voce al telefono, che mostra
sicurezza di se, danno numeri di carta di credito, pin e password.
Per non parlare poi di password attaccate sul terminale con il post-it
come si vede in qualche sportello bancario. 
Vedi "The art of deception" di Mitnick e "Secret and Lies" di Schneier

 Gli stessi che per strada si fanno rifilare qualsisasi cosa...
Purtroppo ce ne sono troppi di questi utonti....


wrote:

 posso rubarvi questa definizione per i miei articoli?

  posso rubarvi questa definizione per i miei articoli?
Certo, ma ricordati di citare le fonti, almeno il NG! ^_^

 posso rubarvi questa definizione per i miei articoli?
che articoli?



wrote:

certamente, grazie!

che articoli?
scrivo su 
www.osservatoriofinanziario.com
articoli sulla sicurezza informatica
fra poco esce anche la rivista e-banking dedicata ai problemi della
banca on-line e virtuale

 banca on-line e virtuale
Approfondirai nello specifico anche la sicurezza del conto on line Fineco?
Se ne era già discusso molto l'anno scorso a riguardo e anche della
possibilità
dei vari promotori finanziari interni alle varie banche di andare a
monitorare
i vari movimenti sul conto corrente....

i vari movimenti sul conto corrente....
Ho ricominciato da poco a frequentare questo NG proprio per vedere che
succede in giro perciò mi farebbe piacere se mi date informazioni di
dettaglio su ogni problematica, sopratutto legata alla sicurezza IT.
Insieme a strutture universitarie facciamo anche controlli di
affidabilità dei siti bancari/finanziari che spesso sono affidati a
stagisti, con tutte le conseguenze del caso.
grazie in anticipo

 come si vede in qualche sportello bancario. 
siamo sicuri che sia tutta colpa degli utenti?
ciao
-- 
Con il greggio a 50 dollari, con i limiti ai fumi inquinanti, con le 
minaccie dell'effetto serra sul clima, le
centrali pulite non si fanno. Disturbano l'estetica del paesaggio.

 stagisti, con tutte le conseguenze del caso.
ma sei venuto a seminare il panico forse?!

 ma sei venuto a seminare il panico forse?!
Rataplan ha aggiunto:
e se, invece, fosse il primo ad accennare come veramente
stanno le cose?
Qualcuno, qui e/o altrove, ha mai saputo chi c'e' "dietro"
la sua banca on line?


wrote:

In un messaggio precedente 
(Consob, società quotate, banche e Disaster Recovery)
portavo a vostra conoscenza la lettera che avevo spedito a Consob sul
problema del Disaster Recovery per le società quotate e la  risposta
di Consob che dice non è affare loro ma di Borsa Italiana, mentre per
le banche se ne deve occupare Bankitalia, e ho allegato quello che la
CIPA dice della situazione del Disaster Recovery relativamente al
sistema bancario.
Se la situazione del Disaster Recovery in ambito bancario è quella che
espone la CIPA sul suo sito i soldi dei risparmiatori sono in
potenziale pericolo.
Forse a qualcuno sfugge il fatto che i soldi sono ormai semplici
registrazioni magnetiche sui dischi della banca e se la banca perde il
suo centro di elaborazione dati è fottuta la banca, i suoi azionisti,
i dipendenti ed anche i depositanti.
In un paese come l'Italia dove il rischio sismico è elevato in tutte
le regioni, escluso il Salento e la Sardegna, dove due anni fa ci sono
state alluvioni nella pianura padana, con gruppi di terroristi
politici ancora in attività, con tre organizzazioni criminali fra le
più potenti e feroci del mondo e con un pericolo, non tanto latente,
di terrorismo islamico, le misure di DR dovrebbero essere applicate
dal 100% delle banche e non come "seraficamente" dice la CIPA dal 68%.
oppure (ancora citazione della CIPA):
il 43% (ed il resto?) delle banche esaminate dispone di un piano di
continuità di servizio (BCP); di queste, soltanto la metà ha
predisposto procedure amministrative, sostitutive delle procedure
informatiche, da attivare in caso di disastro per garantire la
continuità di servizio per talune operazioni ritenute "vitali".
Come vedi il terrorismo se qualcuno lo fa lo fa la CIPA!
Ti segnalo, per completezza, che la FSA, l'ente che controlla le
istituzioni finanziarie inglesi, obbliga le società quotate ad avere
obbligatoriamente piani di DR/BCP testati e sacramentati.
Secondo voi perchè bankitalia non vuole che le banche straniere
comprino quelle italiane? Perchè fra le tante magagne di tipo
amministrativo/contabile scoprirebbero anche problemi tecnologici,
bilanci che non consentono di spendere in sicurezza IT, DR e Business
Continuity, lavori IT affidati alla ditta x che poi li passa alla
ditta y che poi li passa alla ditta z che poi li passa alla dittarella
xxxx.  E come direbbe Totò: e la banca paga!
Per non parlare di scelte tecnologiche discutibili come quella fatta
da un grande gruppo bancario che sta abbandonando i mainframe per
piattaforme Microsoft quando tutti gli esperti di sicurezza IT dicono
che i prodotti di Bill Gates non sono adatti a progetti mission
critical proprio perchè non sicuri.
Comunque i bancari che non credono agli esperti possono sempre fare
una ricerca nel bilancio patinato che ogni anno stampa la propria
banca e cercare di trovare quali cifre sono stanziate per la sicurezza
IT, DR, BCP.

 la sua banca on line?
chi c'è ? 

 ha scritto nel messaggio
news:2u725lF...@uni-berlin.de...

cu-cu' :-)
scherzando un po' meno: hai visto la risposta di 
cann...@libero.it
 ?

 la sua banca on line?
Un mio amico fa il programmatore e lavora su dei sistemi
studiati anche per istituti bancari: mi ha spiegato che ogni singolo
programmatore non puň avere la visione ed il controllo globale
su tutto il programma... quindi uno stagista per quanto possa essere
inesperto, non potrebbe arrecare danni piů di tanto...

 inesperto, non potrebbe arrecare danni piů di tanto...
......e questo e' gia' un po' piu' rassicurante.
Se poi un giorno, possibilmente non lontanissimo, potessimo avere
notizie che non provengono dal solo sentito dire di amici, sarebbe
anche meglio ed ancor piu' rassicurante.                     Rataplan.

inesperto, non potrebbe arrecare danni più di tanto...
Gli stagisti citati si dilettavano con web server al servizio di
banche on line.
I sistemi "studiati per istituti bancari" citati sono sopratutto
sistemi progettati per elaboratori centrali "tradizionali", dove c'è
molto più di controllo (anche perchè l'ambiente mainframe è molto più
sicuro: un vero carcere, dove è possibile bloccare accessi a livelli
molto bassi di codice e di dati.
Inoltre è materialmente impossibile per un programmatore, ad esempio,
scrivere un programma e renderlo operativo, in un ambiente
controllato, senza l'autorizzazione dei responsabili del sistema che,
di regola, dovrebbero:
autorizzare un programmatore a scrivere o modifcare un programma 
far passare il programma da un ambiente di sviluppo e test
all'ambiente di test operativo e solo dopo che il programma è stato
validato in ambiente di integration test può essere preso in carico
dalla produzione che:
1) ricompila il programma, 
2) lo prova 
3) lo manda in esercizio.
Naturalmente il responsabile della produzione non accetterà nessun
programma dalla programmazione se questo non è stato precedentemente
stabilito con un'apposita procedura e con appositidi documenti
firmati.
Purtroppo tutta questa architettura di sicurezza viene allegramente
ignorata spesso quando si lavora sui PC, dove tutti fanno tutto e
senza controlli.