Una nuova truffa bancaria: emulatori di smartphone per svuotare i conti

[Redazione di Hardware Upg]

Link alla notizia: https://www.hwupgrade.it/news/sicure...nti_94270.html

I criminali hanno usato degli emulatori per accedere a conti bancari impersonando clienti legittimi, avviando così transazioni illecite per rubare fondi

Click sul link per visualizzare la notizia.

[acerbo]

di questo passo la doppia autenticazione sarà del tutto inutile, passeremeo alla tripla, quadrupla e quintupla fino a tornare indietro di 15 anni quando per fare un bonifico si andava allo sportello, covid permettendo

[kamon]

Benissimo. Non vedo l'ora che si inventino nuove tecniche che rendano l'esperienza d'uso ancora più frustrante...

Originariamente inviato da acerbo

di questo passo passeremo dalla doppia autenticazione alla tripla, quadrupla e quintupla fino a tornare indietro di 15 anni quando per fare un bonifico si andava in banca

Ecco, appunto

[phmk]

Però la guida autonoma è sicura ed impossibile da hackerare ...

[coschizza]

Originariamente inviato da acerbo

di questo passo la doppia autenticazione sarà del tutto inutile, passeremeo alla tripla, quadrupla e quintupla fino a tornare indietro di 15 anni quando per fare un bonifico si andava allo sportello, covid permettendo

la doppia autenticazione basata su sms è sempre stata molto debole e ormai poco usata

[acerbo]

Originariamente inviato da coschizza

la doppia autenticazione basata su sms è sempre stata molto debole e ormai poco usata

La mia banca mi ha obbligato a passare alla doppia autenticazione basata su app, se faccio un acquisto on line devo confermare la transazione aprendo l'app della banca, ma anche questo sistema sarà piratato vedrai

[joe4th]

Non capisco cosa centri l'emulatore. Le App hanno sostituito il token/chiavette (poi non si capisce perche', che vulnerabilita' aveva la chiavetta?) per generare il codice e non era associata al modello di telefono ma alla SIM. In alternativa si possono sempre usare gli SMS (non devi nemmeno avere uno smartphone), solo che la banca te li fa pagare 20 centesimi l'uno, nonostante te li invii lei.

Anzi in alternativa l'emulatore (ammesso che i piu' popolari funzionino) potrebbe anche avere un uso lecito, visto che rispetto al cellulare ne puoi avere un controllo superiore: a) lo usi solo sul computer, e solo per l'accesso all'home banking quindi non lo devi mischiare con le altre app fuffa; b) sei sempre aggiornato, a differenza dei cellulari, dove non hai il benché minimo controllo, e dopo 2 o tre anni ti scordi gli aggiornamenti...

[Gringo [ITF]]

La mia banca (che consegna anche lettere) aveva un sistema con un simil pos che creava un codice temporale con l'utilizzo della carta proprietaria, era molto sicuro, ma mi hanno obbligato a passare al sistema su SMS o tramite una ID che per attivarla ti tocca andarli a trovare..... Sempre peggio !! (Andavo benissimo con il simil pos...)

[Silent Bob]

Io mi domando in primis, ma per i truffati, si attaccheranno al caxxo come al solito?
Perché alla fine è quello che per me conterebbe di più, l'utente truffato, e le banche che si lavano le mani.

Sul fatto delle autenticazioni, ogni sistema è a sto punto sviabile, ma se proponi un sistema spacciandolo per sicuro, poi ne paghi tutte le conseguenze se fallisce.

[WarSide]

Il problema truffe è dilagante negli USA. Dove OTP è implementato via SMS ed ancora si può acquistare con la carta di credito e la sola firma autografa.

[Marcus Scaurus]

Ragazzi vi capisco, ma avete anche letto che i conti devono già essere stati compromessi tramite attacchi di phishing o tramite malware (deduco installato su pc o smartphone)?

Cioè anche fossero 100.000.... ma avete idea di quanti conti esistono in Europa o Usa? Miliardi………….

Ricordate sempre che i principali bug stanno tra sedia e touchscreen/tastiera+mouse…

[kamon]

Originariamente inviato da Marcus Scaurus

Ragazzi vi capisco, ma avete anche letto che i conti devono già essere stati compromessi tramite attacchi di phishing o tramite malware (deduco installato su pc o smartphone)?

Cioè anche fossero 100.000.... ma avete idea di quanti conti esistono in Europa o Usa? Miliardi………….

Ricordate sempre che i principali bug stanno tra sedia e touchscreen/tastiera+mouse…

Senz'altro, ma che il problema sia reale o percepito per colpa delle pessime abitudini di pochi, potrebbe portare a irrigidimento delle misure di sicurezza e conseguente lesione dei testicoli dell'utente normale.

[cronos1990]

Da quel che leggo nell'articolo il problema non è tanto l'emulatore, quanto il fatto che le credenziali di accesso sono state sottratte preventivamente secondo metodologie piuttosto "classiche".

La truffa sta poi nel modo in cui è stato usato l'emulatore, ma il problema non è stato l'emulatore.

Originariamente inviato da kamon

Senz'altro, ma che il problema sia reale o percepito per colpa delle pessime abitudini di pochi, potrebbe portare a irrigidimento delle misure di sicurezza e conseguente lesione dei testicoli dell'utente normale.

In pratica nulla di nuovo sotto il Sole

[Silent Bob]

io più che altro mi domando, possibile che un'emulatore riesce a mascherarsi così bene l'effettiva provenienza della richiesta dell'SMS?

Cioè, se uno sta in arkansas, e l'SMS è richiesto in una qualche città sperduta della Russia, qualche allarme di stranezza non compare nel servizio automatico?*

* tagliamo corto, potrei anche scrivere un testo molto più lungo sulla cosa in se, ma mi domando davvero che chi crea questa roba non metta in conto certi problemi.

[nx-99]

Secondo i ricercatori di IBM Trusteer le credenziali di accesso ai conti bancari con cui poi effettuare le transazioni illecite con i dispositivi emulati, sono state ottenuto sfruttando malware o tramite attacchi phishing.

Grazie a

20 emulatori per impersonare oltre 16 mila telefoni

e visto che c'erano troppi polli da spennare, hanno automatizzato il tutto.
Almeno il denaro è stato tracciato prima di sparire ...

[nameman]

visto la facilità ( si fa per dire...) con cui svuotano i conti correnti attraverso le app dei telefonini, sono curioso di vedere quanti polli aderisco o aderiranno alla famosa applicazione CASHBAK della pubbli amministrazione ( che tra l'altro ha numerossimi problemi) nella quale devi inserire i dati delle tue carte di debito/credito ed il tuo IBAN......

[zappy]

Originariamente inviato da acerbo

di questo passo la doppia autenticazione sarà del tutto inutile, passeremeo alla tripla, quadrupla e quintupla fino a tornare indietro di 15 anni quando per fare un bonifico si andava allo sportello, covid permettendo

infatti trovo che sia fuffa, utile solo a fregarti dati a scopo di marketing.

andavano benissimo le chiavette crittografiche o il simil-pos menzionato da altri,... ma no, usiamo app su dispositivi super-buggati e mai aggiornati dai produttori...

[zappy]

Originariamente inviato da nameman

visto la facilità ( si fa per dire...) con cui svuotano i conti correnti attraverso le app dei telefonini, sono curioso di vedere quanti polli aderisco o aderiranno alla famosa applicazione CASHBAK della pubbli amministrazione ( che tra l'altro ha numerossimi problemi) nella quale devi inserire i dati delle tue carte di debito/credito ed il tuo IBAN......

è già stato spiegato che questi dati sono hashati, quindi è matematicamente impossibile risalire ai numeri delle carte...
cmq almeno il cashback ti dà soldi, mentre questi te li fregano...

[zappy]

Originariamente inviato da Marcus Scaurus

Ragazzi vi capisco, ma avete anche letto che i conti devono già essere stati compromessi tramite attacchi di phishing o tramite malware (deduco installato su pc o smartphone)?

se lo smartphone viene compromesso (cosa facilissima considerato che i produttori non li aggiornano), lo è anch el'app delal banca che ci hai installato sopra, gli sms, e tutto il resto.

il problema è che le banche hanno spostato tutta la "sicurezza" (si fa per dire ) sullo smart, che è un colabrodo totale, anzichè lasciare la sicurissima e blindatissima chiavetta.

[\_Davide_/]

Originariamente inviato da Silent Bob

io più che altro mi domando, possibile che un'emulatore riesce a mascherarsi così bene l'effettiva provenienza della richiesta dell'SMS?

Cioè, se uno sta in arkansas, e l'SMS è richiesto in una qualche città sperduta della Russia, qualche allarme di stranezza non compare nel servizio automatico?*

Perché l'SMS dovrebbe essere richiesto in qualche città sperduta della Russia? Mica vanno a prelevare i soldi dallo sportello ATM...

Originariamente inviato da nameman

visto la facilità ( si fa per dire...) con cui svuotano i conti correnti attraverso le app dei telefonini, sono curioso di vedere quanti polli aderisco o aderiranno alla famosa applicazione CASHBAK della pubbli amministrazione ( che tra l'altro ha numerossimi problemi) nella quale devi inserire i dati delle tue carte di debito/credito ed il tuo IBAN......

Puoi farlo dal sito della banca (almeno la mia lo permette).