È allarmante la quantità di carte di pagamento rubate presenti nel dark web e, purtroppo, gli esperti sostengono che si tratta solo della “punta dell’iceberg”, i numeri potrebbero essere molto più alti.
Anche se le banche e le istituzioni finanziarie si impegnano per proteggere gli utenti da frodi e truffe legate alle carte di pagamento, in alcuni casi, le organizzazioni criminali e gli hacker riescono comunque a mettere le mani nei portafogli delle vittime. L’ultima ricerca di NordVPN ha analizzato 6 milioni di carte di pagamento rubate, trovate sulla dark web. Due terzi di queste carte veniva venduto in una sorta di “kit” con altre informazioni personali come indirizzo di residenza, numero telefonico, email e, in alcuni casi, anche Codice Fiscale (o SSN, Social Security Number).
Insieme alle carte di pagamento trovati i dati personali delle vittime
Ben 78.676 (1,3%) delle card analizzate erano di utenti italiani (l’Italia risulta così la nona nazione più colpita a livello globale nel campione analizzato). I ricercatori hanno anche fatto una stima del prezzo medio richiesto per le carte di pagamento italiane rubate trovate sulla dark web, arrivando a un valore di 8,10 € (a fronte di un valore medio globale di 6,37 €). Inoltre, le carte di pagamento degli italiani sono a rischio frodi e truffe: secondo il Card Fraud Risk Index di NordVPN, avrebbero un fattore di rischio pari a 0,57, su una scala che va da 0 (rischio nullo) a 1 (rischio massimo).
“Le carte di pagamento rubate trovate dai ricercatori sono solo la punta dell’iceberg. Le informazioni vendute a loro “corredo” renderebbero molto più pericoloso, almeno dal lato potenziale, il pacchetto nel suo complesso”, ha rivelato Adrianus Warmenhoven, consulente in ambito cybersecurity per NordVPN. “Nel passato, le frodi sulle carte di pagamento venivano collegate dagli addetti ai lavori ad attacchi “brute-force” — offensive basate su un tentativo di accedere al denaro disponibile sulla card della vittima, provando un numero enorme di codici e CVV. Ma la maggior parte delle carte trovate durante la nostra ricerca veniva venduta con indirizzo email e di residenza delle vittime, dati che non possono essere sottratti con la forza bruta. Ecco perché possiamo concludere che queste informazioni sono state carpite usando metodi più sofisticati, come il phishing o attraverso l’uso di malware”.
Furto di identità con frode delle carte di pagamento rubate
In totale, dalla vendita del database analizzato nella ricerca, i cybercriminali dovrebbero incassare più di 16,8 milioni di euro. E, una volta completato questo “investimento”, le organizzazioni in possesso di queste informazioni potrebbero ottenere guadagni superiori rispetto alla spesa iniziale.
54.000 carte di pagamento rubate e poi messe in vendita includevano l’indirizzo di casa del legittimo proprietario italiano, 38.000 includevano il numero di telefono, 25.000 l’indirizzo email e circa 1.000 card includevano la data di nascita del possessore.
Un data breach può far diventare di pubblico dominio l’indirizzo e altre informazioni personali delle vittime oltre a spianare la strada a un furto di identità. Una volta che l’aggressore ha ottenuto il nome della vittima, l’indirizzo di casa e la sua email, potrebbe abusare di metodi legali (come il diritto all’accesso ad altre informazioni personali garantito dal GDPR) per completare un furto di identità o commettere altre attività illecite.
Regno Unito — il Paese più colpito in Europa, l’Italia è terza
Il Regno Unito è stato colpito con più forza, come dimostrano le 164.413 carte di pagamento rubate, facendo di questo Paese il terzo per furti a livello mondiale e il primo in Europa. La Francia è in seconda piazza su base continentale, con quasi 100 mila carte di pagamento rubate.
L’Italia è al terzo posto fra i Paesi europei più colpiti, seconda se si considerano inclusi nell’Unione Europea.
Malta, Australia e Nuova Zelanda in cima all’indice di rischio, Italia al 36° posto
Sulla base dei dati raccolti, i ricercatori di NordVPN hanno calcolato il rischio posto dal furto di carte di pagamento e relativi cyber attacchi ai cittadini residenti in 98 Paesi. Malta, Australia e Nuova Zelanda sono risultati i 3 Paesi sul podio del rischio, mentre l’Italia si è piazzata al 36° posto.
In fondo alla classifica, la Russia presentava il rischio minore, così come la Cina, arrivata terzultima. Questi dati sembrano confermare le ipotesi prevalenti riguardo al posizionamento geografico delle principali organizzazioni di hacker e la chiara volontà di colpire i Paesi anglo-europei.
Il 58,1% delle carte di pagamento rubate è stato emesso negli USA
Più della metà delle 6 milioni di carte di pagamento rubate analizzate proveniva dagli Stati Uniti, probabilmente a causa dell’alto tasso di utilizzo di questo metodo di pagamento, per le dimensioni della popolazione e per la forza economica del Paese. Le carte di credito americane rubate venivano però proposte a un prezzo medio inferiore (6,24 € invece che 6,37 €) sui mercati illeciti della dark web — le carte di maggior valore sarebbero quelle danesi (10,5 € in media).
Come proteggersi dalle frodi e dalle truffe legate alle carte di pagamento
“Sono pochi i criminali che attualmente usano la forza bruta per sottrarre informazioni relative alle carte di pagamento. Questo significa che le tecniche usate dai criminali si stanno affinando. Ne consegue, però, che gli utenti informati sono meno a rischio rispetto al passato”, ha detto Adrianus Warmenhoven, fornendo anche una serie di consigli per aiutare gli utenti a sentirsi più sicuri online.
- Usare password impenetrabili: si consiglia di usare password diverse e uniche per ogni account e di conservare le credenziali all’interno di un password manager crittografato. È importante assicurarsi che le password siano composte da almeno 20 caratteri fra lettere, numeri e simboli.
- Scaricare l’app della propria banca: uno strumento utile per tenere sempre sotto controllo il saldo, prestando particolare attenzione a eventuali operazioni insolite. Alcune app invieranno una notifica in tempo reale per qualsiasi transazione (basta controllare le impostazioni).
- Reagire ai data breach: cambia immediatamente nome utente e password se sei stato informato che i tuoi dettagli sono stati coinvolti a qualunque titolo in un data breach (una violazione di un database o qualsiasi altro evento o incidente per cui i tuoi dati personali potrebbero essere diventati di dominio pubblico). Se la password coinvolta è stata utilizzata in altri account, modificala immediatamente in tutti i casi in cui l’hai riciclata.
- Usare software anti-malware: software antivirus e anti-malware non ti faranno scaricare file pericolosi o dannosi sui tuoi dispositivi, proteggendoti da virus capaci di rubare informazioni sensibili.
