Che cos’è lo skimming nel contesto della sicurezza informatica?

Molti di noi hanno sentito parlare dello skimming, un metodo con cui i criminali manomettono gli sportelli automatici per rubare i dati delle carte letteralmente sotto il nostro naso. Ma sapevi che esiste anche lo skimming digitale? Questo articolo spiega tutto quello che devi sapere sullo skimming tradizionale, digitale e RFID. Vedremo inoltre come Avira Free Security può aiutarti a proteggerti dal furto di dati.

Che cos’è lo skimming?

Lo skimming consiste nell’acquisizione non autorizzata dei dati di carte di credito e di debito, sia mediante sportelli automatici e lettori di carte (terminali POS) manomessi che tramite negozi online compromessi. Nelle forme tradizionali di skimming o shimming fisico, i truffatori puntano a catturare il PIN e i dati memorizzati sulla carta, sia dalla banda magnetica (skimming) che dal chip EMV (shimming). Questo perché sia la banda magnetica che il chip EMV contengono molte informazioni importanti, come il numero della carta (PAN), la data di scadenza e, a volte, anche il nome del titolare. Questi dati possono quindi essere copiati sulla banda magnetica di una carta contraffatta o, nel caso delle carte di credito, usati per effettuare pagamenti online. Al contrario, il PIN e il codice di sicurezza della carta (CVV/CVC) non vengono memorizzati né sulla banda magnetica né sul chip.

Nel caso dello skimming RFID, i dati vengono acquisiti in modalità wireless da carte con tecnologia NFC. Con lo skimming digitale, i truffatori sottraggono i dati delle carte di credito durante il processo di pagamento nei negozi online compromessi. I potenziali guadagni sono significativamente maggiori in questo caso, poiché il truffatore può intercettare non solo i numeri e le date di scadenza delle carte di credito, ma anche i codici di sicurezza della carta, i nomi e altri dati personali (come indirizzi, indirizzi e-mail e numeri di telefono). I truffatori possono quindi fare acquisti online, sottoscrivere abbonamenti, vendere i tuoi dati sul dark web o persino rubare la tua identità.

Skimming e shimming tradizionali

Lo skimming fisico consiste nel sottrarre le informazioni dalle bande magnetiche delle carte di credito o di debito (come Visa/Mastercard Debit) e nel registrare l’inserimento dei codici PIN tramite sportelli automatici o lettori di carte manomessi. I criminali possono quindi creare carte duplicate e utilizzarle insieme al PIN per pagare o prelevare denaro, ma non all’interno dell’UE. 

Le carte dotate solo di banda magnetica non funzionano più nell’UE, poiché tutte le transazioni vengono elaborate tramite il chip EMV integrato. A differenza della banda magnetica, questo chip contiene non solo dati statici, ma anche chiavi crittografiche, utilizzate per generare codici dinamici per ogni transazione e che non sono leggibili. Al di fuori dell’UE, tuttavia, gli sportelli automatici e i lettori di carte non sono ancora stati completamente convertiti allo standard EMV, quindi la banda magnetica continua a funzionare parzialmente come soluzione di riserva.

Lo shimming è il successore dello skimming tradizionale e rappresenta la risposta dei criminali informatici alla transizione verso la sicurezza EMV a livello di settore: in questo caso cercano di intercettare i dati statici memorizzati sul chip EMV. Poiché il chip è crittografato e non può essere copiato, i truffatori di solito utilizzano i dati rubati per frodi online o per creare semplici copie della banda magnetica destinate a lettori di carte e sportelli automatici obsoleti che accettano ancora carte con banda magnetica. 

Dispositivi di skimming

I seguenti dispositivi di skimming, o skimmer, possono essere utilizzati per clonare le carte presso gli sportelli automatici o con lettori di carte: 

• Skimmer sovrapposto: con questo metodo, i truffatori posizionano un lettore di carte davanti allo slot per la carta e lo usano per acquisire le informazioni memorizzate sulla banda magnetica.
• Shimmer: è la versione moderna dello skimmer sovrapposto, ovvero un modulo di skimming sottile e flessibile installato direttamente nello slot della carta, così da non essere visibile. Intercetta e registra la comunicazione tra il chip EMV e il lettore. 
• Mini telecamere nascoste: questi dispositivi vengono solitamente posizionati in una striscia sopra il tastierino o nel pannello di protezione della privacy degli sportelli automatici e registrano l’inserimento del PIN. 
• Skimmer per il tastierino: sottili inserti fissati con precisione al tastierino che registrano tutto ciò che viene digitato, incluso il PIN. I dati vengono archiviati in formato elettronico oppure sono trasmessi ai criminali tramite connessione wireless.

Fortunatamente, la maggior parte delle banche cerca di prevenire le manomissioni degli sportelli automatici, dotandoli di moduli anti-skimming, sensori e dispositivi di disturbo. 

Skimming RFID

Con la tecnica dello skimming RFID, i criminali utilizzano lettori portatili o smartphone appositamente predisposti per leggere i dati delle carte di credito o di debito dotate di tecnologia NFC mentre passano nelle vicinanze. NFC (Near Field Communication) è uno standard di trasmissione internazionale basato sulla tecnologia RFID (Radio Frequency Identification) per lo scambio di dati senza contatto a breve distanza. Poiché il chip EMV delle moderne carte di pagamento contactless si attiva nel momento in cui si avvicina al campo di lettura di un lettore, è possibile accedere alle informazioni senza contatto fisico con la carta. 

Fortunatamente, però, lo standard EMV continua a offrire una solida protezione. Poiché le chiavi crittografiche e il codice di sicurezza della carta o il PIN necessari per i pagamenti non vengono trasmessi, i dati rubati risultano praticamente inutilizzabili. I truffatori utilizzano principalmente i dati della carta di credito (come il numero della carta e la data di scadenza) ottenuti in modalità wireless per effettuare acquisti in negozi online non sicuri che non richiedono il CVV/CVC della carta o non utilizzano l’autenticazione a due fattori. 

Inoltre, il dispositivo di lettura del truffatore deve trovarsi in prossimità della carta, vale a dire a pochi centimetri di distanza. Inoltre, quando più carte con tecnologia NFC vengono tenute insieme in un portafoglio, possono interferire tra loro e bloccare i segnali contactless.

Suggerimento utile: con servizi come Apple Pay o Google Pay, per ogni carta memorizzata nel portafoglio viene generato un numero virtuale DAN (Device Account Number) separato, che viene crittografato e salvato sul dispositivo mobile. Per i pagamenti (sia contactless che online), al posto del numero reale della carta viene trasmesso un token di pagamento basato sul DAN. I dati vengono trasferiti solo dopo aver sbloccato il dispositivo tramite approvazione biometrica (impronta digitale o scansione del volto) o inserendo il PIN del dispositivo. Questo rende praticamente impossibile che qualcuno possa leggere i tuoi dati di nascosto semplicemente passando nelle vicinanze.

Se vuoi saperne di più sulle frodi di skimming con carte NFC, consulta il nostro articolo.

Skimming digitale

Lo skimming digitale è un tipo di attacco in cui i dati di pagamento vengono acquisiti di nascosto sui siti web di e-commerce, causando una fuoriuscita di dati. Si tratta di un tipo di minaccia alla sicurezza informatica nota anche come web skimming, e-skimming, online skimming, formjacking o attacco Magecart. I primi tre termini si riferiscono al tipo o alla posizione dell’evento, mentre il formjacking si riferisce al metodo tecnico utilizzato più comunemente. 

Magecart, al contrario, ha una storia più consolidata. Deriva dalla piattaforma open-source “Magento” e dal termine “cart” (carrello). Questo software per negozi online è stato uno dei principali obiettivi di un gruppo di hacker che, a partire dal 2015, ha compromesso molti noti rivenditori online con attacchi di formjacking. Ecco perché sia il gruppo che questo tipo di attacco vengono chiamati Magecart, anche se oggi possono essere colpite piattaforme di e-commerce di ogni tipo. In breve, qualsiasi sito web che accetta pagamenti online è un potenziale bersaglio per attacchi di skimming digitale.

Vie di infezione e metodi di attacco

I negozi online vengono compromessi tramite l’inserimento di codice JavaScript dannoso. Questo sistema acquisisce i dati della carta di credito degli utenti in tempo reale e li invia a un server controllato dagli autori degli attacchi. 

Gli autori degli attacchi sfruttano diversi punti di accesso per raggiungere questo scopo, in particolare:

• Vulnerabilità nell’applicazione web: il codice dannoso viene integrato nel sito web ed eseguito nel browser dell’utente tramite tecniche come cross-site scripting (XSS) o lo sfruttamento di altre vulnerabilità.
• Attacchi alla supply chain: con questi attacchi, il codice dannoso viene iniettato nel sito web tramite script di terze parti infetti (come widget di chat o librerie) e poi inviato al browser dell’utente.

Gli autori degli attacchi utilizzano diverse tecniche per intercettare i dati delle carte di credito dei clienti, indipendentemente da come il codice dannoso penetri nel negozio.

• Formjacking: gli hacker utilizzano questo metodo per inserire codice JavaScript dannoso direttamente nel modulo di pagamento di un negozio online. 
• Reindirizzamento a un modulo dannoso: in questo scenario, gli autori degli attacchi manipolano il processo di pagamento dei negozi online compromessi, reindirizzando i clienti a una pagina di pagamento esterna estremamente convincente durante il checkout. I dati della carta inseriti vengono intercettati prima che l’utente venga reindirizzato al negozio legittimo.
• Inserimento di un modulo dannoso: gli autori degli attacchi iniettano un modulo di pagamento falso nei negozi online che caricano dinamicamente i moduli di pagamento da un fornitore di servizi, poiché non ne hanno uno proprio. I dati della carta inseriti vengono inviati direttamente agli autori degli attacchi senza che l’utente abbandoni mai la pagina del negozio.

Furto di dati tramite malware e app dannose

Oltre allo skimming digitale, esistono altre tecniche che i truffatori possono utilizzare per impossessarsi dei dati di pagamento. 

• Malware per il recupero di dati dalla memoria/RAM scraper: in questo caso, i criminali infettano i lettori di carte con malware. Questo software cerca nella memoria del registratore di cassa i dati di pagamento che vengono elaborati brevemente in chiaro durante il processo di pagamento e li “estrae”. Poiché i terminali moderni in genere crittografano i dati direttamente all’interno del lettore (crittografia point-to-point), questo metodo viene utilizzato principalmente nei sistemi più datati o in configurazioni non sicure, dove si verifica un ritardo tra la lettura dei dati della carta e la loro crittografia.
• Keylogging: i keylogger registrano tutte le pressioni dei tasti per sottrarre dati sensibili come password, PIN o dettagli degli account. Il malware viene solitamente installato su un dispositivo tramite allegati dannosi, aggiornamenti software manipolati o download infetti.
• App manipolate: si tratta di app legittime che sono state infettate da codice dannoso tramite aggiornamenti compromessi o vulnerabilità. Le app false funzionano normalmente, ma raccolgono di nascosto dati sensibili come credenziali di accesso o informazioni di pagamento.

Come evitare le truffe di skimming

Questi suggerimenti ti aiuteranno a proteggerti non solo dallo skimming fisico e digitale, ma anche da altri attacchi informatici ai dati di pagamento:

• Fai attenzione a oggetti insoliti o a qualsiasi cosa sembri sospetta sugli sportelli automatici e, quando digiti il PIN, copri sempre il tastierino con la mano.
• Controlla regolarmente l’estratto conto per verificare la presenza di transazioni insolite.
• Utilizza gli sportelli automatici situati all’interno della banca piuttosto che all’esterno: sono sorvegliati da telecamere, controllati regolarmente dal personale e i truffatori non riescono a installare dispositivi di skimming senza essere notati.
• Utilizza custodie o portafogli speciali con protezione NFC e blocco RFID integrato per schermare fisicamente le onde radio delle carte abilitate NFC e prevenire lo skimming RFID. 
• Utilizza preferibilmente servizi come PayPal, Apple Pay o Google Pay per i pagamenti online, poiché non trasmettono i dati della carta di credito al rivenditore.
• Abilita gli avvisi sulle transazioni nella tua app bancaria. Riceverai notifiche push per tutte le attività relative al conto, in modo da individuare rapidamente le transazioni sospette e intervenire immediatamente.
• Quando effettui pagamenti online, assicurati di non trovarti su un sito web falso. Prima di inserire i dati di pagamento su un sito web, verifica sempre attentamente l’indirizzo del sito.
• Se effettui pagamenti online con carta di credito, non salvare mai i dati di pagamento nel tuo account online. Sebbene non consenta di proteggersi dallo skimming digitale, riduce al minimo il rischio che i tuoi dati finiscano nelle mani sbagliate nel caso il rivenditore subisca una fuoriuscita di dati.  
• Non utilizzare mai hotspot di reti Wi-Fi pubbliche per transazioni online, poiché i criminali informatici possono usarli per sottrarre i dati della tua carta, ad esempio tramite attacchi man-in-the-middle.
• Scopri le truffe più comuni consultando il nostro articolo sulle truffe legate all’online banking.

Cosa fare se sei vittima di una truffa di skimming?

Se noti pagamenti, addebiti o prelievi insoliti e sospetti di essere vittima di una truffa di skimming, contatta immediatamente il tuo istituto finanziario. Richiedi il blocco della carta e segnala l’accaduto per avviare un chargeback. È opportuno sporgere denuncia anche se la somma in questione è relativamente modesta. 

Proteggiti dal furto di dati con Avira Free Security

Avira Antivirus Security può aiutarti a migliorare la protezione dei tuoi dati finanziari e di altri dati sensibili. Oltre all’antivirus e alla protezione dai download, questa soluzione di sicurezza informatica include Avira Browser Safety per bloccare i siti web infetti e di phishing, dal momento che gli attacchi di phishing spesso prendono di mira le informazioni di pagamento.

Avira Free Security include anche una VPN che crittografa il traffico dati sugli hotspot Wi-Fi pubblici, aumentando la sicurezza durante la trasmissione di dati sensibili durante le operazioni bancarie o gli acquisti online. Inoltre, puoi utilizzare Password Manager per proteggere i tuoi account online con password univoche e generare codici per l’autenticazione a due fattori.