Brata colpisce anche in Italia: è il pericoloso trojan bancario che resetta il telefono

[Darkon]

Originariamente inviato da Qarboz

Mi potresti spiegare perché è più sicura un'app che il token fisico con tastiera per PIN? Chiedo da ignorante, non per polemica.

Perché 1 cliente su 3 va a finire che tiene username, password e token insieme.

Diciamo per fare un paragone come quelli che scrivono il pin del bancomat sul retro della carta.

Quando parliamo di queste cose va tenuto conto della sicurezza ma anche di quello che la gente sa gestire e come lo gestisce.

Ad esempio in banca fu sperimentato il token fisico ma poi capitava che gli rubavano la borsa e avevano il foglietto con user e password più il token motivo per il quale ormai il token lo hanno abbandonato tutti o quasi.

[Qarboz]

Originariamente inviato da Darkon

Perché 1 cliente su 3 va a finire che tiene username, password e token insieme.

Diciamo per fare un paragone come quelli che scrivono il pin del bancomat sul retro della carta.

Quando parliamo di queste cose va tenuto conto della sicurezza ma anche di quello che la gente sa gestire e come lo gestisce.

Ad esempio in banca fu sperimentato il token fisico ma poi capitava che gli rubavano la borsa e avevano il foglietto con user e password più il token motivo per il quale ormai il token lo hanno abbandonato tutti o quasi.

Quindi il discorso è sempre il solito: non è un problema di tecnologia ma dell'utonto...


Ps
Non l'ho scritto prima, ma anche io non uso home banking nel telefonino, solo l'app della Postepay dove non ho mai più di 100 euro

[Qarboz]

Originariamente inviato da Svelgen

Semplicemente, il 13 gennaio 2018 è entrata in vigore la Direttiva PSD2, in sostituzione della vecchia PSD in materia di servizi di pagamento, che mira a promuovere lo sviluppo di un mercato interno dei pagamenti al dettaglio efficiente, sicuro e competitivo, rafforzando la tutela degli utenti, sostenendo l’innovazione e implementando il livello di trasparenza e di sicurezza dei pagamenti elettronici.
Il Token, come giustamente è stato spiegato, non era più sicuro rispetto, ad esempio, al messaggio PUSH che arriva sul telefono e dove è l'utilizzatore dello stesso che da la conferma. Quindi si presume che sia fisicamente davanti al telefono prima di entrare sulla home banking da qualsiasi dispositivo sparso nella terra.

Infatti ho scritto "token fisico con tastiera per PIN", che a quanto mi risulta è conforme alla PSD2

[Sandro kensan]

Originariamente inviato da Qarboz

Non l'ho scritto prima, ma anche io non uso home banking nel telefonino, solo l'app della Postepay dove non ho mai più di 100 euro

Saggia decisione.

[gd350turbo]

Originariamente inviato da Svelgen

La seconda: evita di usare un dispositivo che non viene più aggiornato.
Per la seconda, se lo usi ugualmente e ti svuotano il conto, sei utonto alla pari di chi risponde alle mail di pishing per cui la banca potrà fare ben poco, del resto: ti avevano avvisato..

Questa te la sei inventata...
La mia banca, ti chiede anzi, ti obbliga ad avere l'ultima versione della loro app, se li telefoni per qualche problema la prima cosa che ti chiedono è se l'app è aggiornata, mai nessuno mi ha chiesto se il telefono è aggiornato, anche perchè se questa fosse una richiesta ufficiale, dovrebbero specificare, cosa si intende esattamente per telefono aggiornato.
e anche andando a vedere le altre banche, la prima a caso,
https://www.bancamediolanum.it/i-tem...me-portafoglio
non mi pare che citino questa cosa.
Poi concludo questa inutile perdita di tempo e byte, dicendo che se sei convinto che il telefono aggiornato al day zero sia indispensabile, padronissimo di crederlo, nessuno ti vuole convincere del contrario, ma non spacciarla come una verità assoluta.

[Darkon]

Originariamente inviato da Svelgen

Sicuro che me la sono inventata...
La mia banca, consiglia di tenere aggiornati i dispositivi per collegarti e non solo l'app.
Tra l'altro, faccio notare la cazzata che hai scritto, perché l'app di home banking manco funziona se non è aggiornata, per cui sei obbligato ad aggiornarla..

Comunque, aggiungo altre fonti dove il consiglio non cambia di una virgola:



Attenzione: metà degli smartphone italiani non è sicura per l'home banking

A parte che è un articolo del 2018... e quindi parte delle informazioni che contiene non sono più corrette. Di conseguenza linkare e diffondere stralci senza sottolineare che essendo del 2018 potrebbero non essere più corretti non mi sembra un gran lavoro.

Detto ciò frasi come "E senza aggiornamenti di sicurezza, le informazioni riservate dello smartphone sono alla mercé degli hacker. Comprese quelle bancarie." è puro allarmismo.
Non è che un telefono non aggiornato equivale al ragazzino che si scarica Kali linux e crede di essere diventato come un hacker dei film che lancia una shell scrive crack wifi e bam è craccato.
Craccare un telefono anche non aggiornato non è semplice e spesso per non dire quasi sempre accedono solo a parte del telefono e non proprio a tutto. Ancora più difficile è riuscire ad avere un controllo totale dei dati dell'app dell'home banking.

Se fosse così banale considerato che c'è chi usa versioni di android antecedenti alla 4.4 a quest'ora ci sarebbero conti azzerati a man bassa. Se ciò non avviene è proprio perché anche telefoni incredibilmente vecchi e non aggiornati non sono così banali da hackerare.

Ripeto è OVVIO che sia meglio avere terminali aggiornati ma perdonami se te lo dico, te ne fai una questione esagerata come se senza l'ultimissima patch di sicurezza ci fossero gli hacker di tutto il mondo lì pronti ad aspettarti.

[Saturn]

Originariamente inviato da Darkon

A parte che è un articolo del 2018... e quindi parte delle informazioni che contiene non sono più corrette. Di conseguenza linkare e diffondere stralci senza sottolineare che essendo del 2018 potrebbero non essere più corretti non mi sembra un gran lavoro.

Detto ciò frasi come "E senza aggiornamenti di sicurezza, le informazioni riservate dello smartphone sono alla mercé degli hacker. Comprese quelle bancarie." è puro allarmismo.
Non è che un telefono non aggiornato equivale al ragazzino che si scarica Kali linux e crede di essere diventato come un hacker dei film che lancia una shell scrive crack wifi e bam è craccato.
Craccare un telefono anche non aggiornato non è semplice e spesso per non dire quasi sempre accedono solo a parte del telefono e non proprio a tutto. Ancora più difficile è riuscire ad avere un controllo totale dei dati dell'app dell'home banking.

Se fosse così banale considerato che c'è chi usa versioni di android antecedenti alla 4.4 a quest'ora ci sarebbero conti azzerati a man bassa. Se ciò non avviene è proprio perché anche telefoni incredibilmente vecchi e non aggiornati non sono così banali da hackerare.

Ripeto è OVVIO che sia meglio avere terminali aggiornati ma perdonami se te lo dico, te ne fai una questione esagerata come se senza l'ultimissima patch di sicurezza ci fossero gli hacker di tutto il mondo lì pronti ad aspettarti.

Non avrei saputo rispondere meglio...mi dispiace dirlo anche a me ma certi interventi "allarmistici" sono quanto mai esagerati. Praticamente passa il messaggio che se non si è esperti del settore o sistemisti, l'unico smartphone acquistabile per l'utente "normale" sia un iphone. Cosa non vera. Basterebbe un minimo, ma proprio un minimo di formazione sullo strumento che si sta usando e non ci sarebbero problemi di sorta. E comunque, sui computer si potrebbe applicare lo stesso ragionamento. Ma ad ogni modo anche apple ha avuto e ha la sua buona dose di rischio. Non è affatto immune come taluni sono convinti dalle minacce informatiche...

[gd350turbo]

Originariamente inviato da Svelgen

Sicuro che me la sono inventata...
La mia banca, consiglia di tenere aggiornati i dispositivi per collegarti e non solo l'app.

Consigliare ci sta, anch'io consiglio se possibile di utilizzare dispositivi aggiornati, anche tu lo fai e anche darkon lo fa...
Ma consigliare è una cosa, fare credere che sia indispensabile pena essere invasi da hacker è disinformazione pura, o se la vuoi mettere pubblicità occulta per apple.

Originariamente inviato da Svelgen

Non è indispensabile ma è utile se vuoi operare con un certo margine di sicurezza sul tuo conto corrente e senza paranoie del tipo: "io sugli strumenti finanziari sul cellulare ci tengo solo pochi soldi, il minimo".

Io non ci tengo poco, perchè ho paura che mi entrino nel cellulare, ci tengo poco perchè ne ho pochi... ( seguo il consiglio di darkon, profilo basso )

[piwi]

Approfitto del topic per fare una domanda sugli aggiornamenti : il mio smartphone Samsung A40 mi propone aggiornamento ad Android 11, è un bel po' che la notifica è lì, ma non ho proceduto poichè leggendo sul web non ho trovato riscontri molto positivi ... e, per quel poco che faccio con il telefono, va bene così. E' il caso di aggiornare ? Non vorrei che la notifica sparisse e poi, tra un certo tempo, fosse necessario avere Android 11 per usare qualche applicazione indispensabile.

Alle problematiche di sicurezza non ho mai pensato, effettivamente.

[gd350turbo]

Originariamente inviato da piwi

Approfitto del topic per fare una domanda sugli aggiornamenti : il mio smarphone Samsung A40 mi propone aggiornamento ad Android 11, è un bel po' che la notifica è lì, ma non ho proceduto poichè leggendo sul web non ho trovato riscontri molto positivi ... e, per quel poco che faccio con il telefono, va bene così. E' il caso di aggiornare ? Non vorrei che la notifica sparisse e poi, tra un certo tempo, fosse necessario avere Android 11 per usare qualche applicazione indispensabile.

Io ho passato il mio da 10 a 11 da tanto tempo e non è cambiato praticamente nulla...
Tranne qualcosina più che altro a livello grafico, non ho riscontrato altre differenze sostanziali nel suo utilizzo.
ma è diverso dal tuo è uno xiaomi mi9 t pro.

[Darkon]

Originariamente inviato da piwi

Approfitto del topic per fare una domanda sugli aggiornamenti : il mio smartphone Samsung A40 mi propone aggiornamento ad Android 11, è un bel po' che la notifica è lì, ma non ho proceduto poichè leggendo sul web non ho trovato riscontri molto positivi ... e, per quel poco che faccio con il telefono, va bene così. E' il caso di aggiornare ? Non vorrei che la notifica sparisse e poi, tra un certo tempo, fosse necessario avere Android 11 per usare qualche applicazione indispensabile.

Alle problematiche di sicurezza non ho mai pensato, effettivamente.

Io utilizzavo da un po' android 11 e non ho avuto particolari problemi anche quando ho fatto l'aggiornamento al 12 non ho riscontrato app che avevano problemi o altri problemi evidenti.

Non so i pareri che hai letto online di cosa si lamentassero... eventualmente prova a scrivermi le più comuni e ti faccio sapere però ripeto io per tutto il tempo che l'ho usato prima di passare al 12 non ho avuto problemi evidenti.

Semmai mi chiedo se valga la pena ora come ora passare all'11 invece di andare direttamente al 12. A occhio e croce non dovresti più essere in garanzia quindi puoi installare senza tante paure una custom rom che ormai non è particolarmente più difficile che fare un normale aggiornamento.

Nota bene: non per forza significa dover anche fare il root se non ti interessa. Quello valutalo te se farlo o no.

[gd350turbo]

Originariamente inviato da Darkon

Nota bene: non per forza significa dover anche fare il root se non ti interessa. Quello valutalo te se farlo o no.

Ecco il root può essere davvero pericoloso, se utilizzi il cellulare in ambito banking, infatti spesso le app se lo trovano attivo impediscono all'app di funzionare.

[piwi]

In generale, è lamentata minore fluidità. Il telefono è fuori garanzia da un paio di mesi, ma vorrei evitare avventure con il Root. Certo, mi rode non poter avere , per default, il controllo del *mio* dispositivo. Installassi ora l'aggiornamento, non credo potrei tornare indietro.

[gd350turbo]

Originariamente inviato da Svelgen

Non ho tempo di cercarne uno più recente in una news dove c'è un eloquente titolo: Brata pericoloso tojan bancario.

E di nuovo, è un troian che si attiva se dai retta a quello che ti dice di fare l'sms che pare arrivare dalla banca, e a questo punto che tu abbia il telefono aggiornato alle patch 0-day, non conta assolutamente nulla !
Non è che se hai il telefono aggiornato, mentre stai per cliccare, esce una mano dal telefono e ti da una sberla !

Originariamente inviato da Svelgen

Detto questo: io come ho detto ne faccio una questione di primaria importanza, senza celarmi dietro al fatto che "c'è chi usa versioni di android antecedenti alla 4.4 a quest'ora ci sarebbero conti azzerati a man bassa".
Perché come hai avuto modo di leggere, molti tra quelli intervenuti sul C/C hanno palesemente dichiarato di lasciarci poco o nulla.

Questo lascia presagire che sul tuo ci siano un tot di zeri, a sinistra della virgola , oh meglio per te se è così !

[piwi]

Originariamente inviato da Svelgen

Se non lo usi per operazioni importanti, per me, puoi anche ignorare l'aggiornamento.

Riceve le "OTP" per le operazioni bancarie, che eseguo comunque sempre da PC.

[gd350turbo]

Originariamente inviato da Svelgen

Non mi risulta che sia un qualcosa che abbia a che fare solo con gli SMS...

Parte tutto da li...

Originariamente inviato da Svelgen

Adesso sta a vedere che in un sito dove si parla di schede video, macchine fotografiche, computer Apple, Iphone e auto elettriche ci sono solo poveracci che vivono di stenti e hanno tempo da perdere con Brata e il trojan bancario...
Se vuoi fare lo gnorri, con me non attacca. A me come ho detto, non fanno certo paura i delinquetelli hacker del web 2.0.
Se mi vengono a cercare, li aspetto a braccia aperte...

Quindi dalla tua reazione abbiamo la conferma che ci sono...
Il problema è che gli hacker non vengono da te di persona e quindi li puoi menare, se vengono lo fanno tramite la fibra o tramite onde radio e li la tua prestanza fisica, non serve.

[Darkon]

Originariamente inviato da Svelgen

Non ho tempo di cercarne uno più recente in una news dove c'è un eloquente titolo: Brata pericoloso trojan bancario. Resta il fatto che, da 2018 al 2022 non è cambiato nulla: la regola principale e che ti tocca sempre tenere aggiornati i dispositivi che utilizzi.
Detto questo: io come ho detto ne faccio una questione di primaria importanza, senza celarmi dietro al fatto che "c'è chi usa versioni di android antecedenti alla 4.4 a quest'ora ci sarebbero conti azzerati a man bassa".
Perché come hai avuto modo di leggere, molti tra quelli intervenuti sul C/C hanno palesemente dichiarato di lasciarci poco o nulla.
Di sicuro, se spariscono 1.000€ non sarà un grosso problema e, probabilmente, non lo verrai mai a sapere. Se ne spariscono 10.000 poco per volta, il discorso cambia.
Io preferisco tenere aggiornati tutti i dispositivi con cui mi collego all'home banking: indipendentemente se si chiamano Iphone oppure MacBook.

Guarda che Brata non c'entra niente con quello che stai dicendo. Ti spiego Brata:

1) Arriva classico SMS che sembra inviato dalla tua banca che ti invita a scaricare e installare un APK o un DEX per "sicurezza" fai conto con nomi tipo antivirus, antispam e simili.

2) Lo installi e nessun ripeto nessun telefono ti può fermare perché i file sono legittimamente firmati e non c'è patch di sicurezza che possa intervenire. A quel punto ti chiede i permessi per accedere a sms e compagnia bella.

3) Attende che tu faccia un login e tramite un overlay carpisce user e pass; a quel punto dato che gli hai dato l'accesso agli sms un eventuale truffatore carpisce anche l'sms di autenticazione a 2 fattori.

In tutto questo le patch di sicurezza o l'hacking non c'entrano niente perché se non installi te l'apk/dex e non gli dai i permessi non succede assolutamente niente.
Allo stesso modo il pacchetto è indistinguibile da un apk legittimo e quindi nessuna patch di sicurezza ti dirà alcunché se tenti di installarlo.

Ripeto Brata non è un virus vero e proprio è più un sistema simile al clonare la login page su PC. Non può essere rilevato facilmente proprio perché non è che compie azioni per cui sia chiaramente un virus e ci sono tante app che possono leggere, legittimamente, gli sms.
Quindi o togli quel tipo di permesso del tutto oppure sta all'utente saper discernere quando darli.

[Qarboz]

Originariamente inviato da gd350turbo

Ecco il root può essere davvero pericoloso, se utilizzi il cellulare in ambito banking, infatti spesso le app se lo trovano attivo impediscono all'app di funzionare.

Vero che alcune app non funzionano sui dispositivi rooted, ma si può impedire a quelle app di rilevarlo (il rooting). È anche vero che un dispositivo con i privilegi di root e le giuste app correttamente configurate IMHO può anche essere più sicuro di telefonini non rooted. P.es. installando un firewall è possibile concedere l'accesso ad internet solo alle app che ne hanno effettivamente necessità; anche app che permettono una gestione approfondita dei permessi e servizi sono piuttosto utili


Ps
Per evitare fraintendimenti sottolineo IMHO

[Saturn]

Originariamente inviato da Qarboz

Vero che alcune app non funzionano sui dispositivi rooted, ma si può impedire a quelle app di rilevarlo (il rooting). È anche vero che un dispositivo con i privilegi di root e le giuste app correttamente configurate IMHO può anche essere più sicuro di telefonini non rooted. P.es. installando un firewall è possibile concedere l'accesso ad internet solo alle app che ne hanno effettivamente necessità; anche app che permettono una gestione approfondita dei permessi e servizi sono piuttosto utili


Ps
Per evitare fraintendimenti sottolineo IMHO

"imho" al 100% anch'io....utilizzo i privilegi di root da sempre...mi piace avere il controllo su quello che possiedo (almeno maggior controllo). Io lo vedo come un valore aggiunto, non come una minaccia alla mia sicurezza...anzi !

[piwi]

Originariamente inviato da Svelgen

Mmh...Io allora lo aggiornerei per una maggior sicurezza.

Finirà che farò così. Se non altro per far sparire quella fastidiosa notifica.