Come gli hacker guadagnano con i dati

Ogni informazione trafugata può fruttare centinaia di dollari. I criminali le pescano ovunque: nelle banche dati sanitarie, ai desk degli aeroporti o persino dai calendari degli smartphone. Ecco come le sfruttano

I criminali informatici stanno mettendo sempre più nel mirino dei loro attacchi le organizzazioni sanitarie. Secondo il rapporto Healthcare cyber heists in 2019 realizzato da Carbon Black, nel 2018 i tentativi di intromissione in ambito sanitario sono stati in media 8,2 al mese per ogni endpoint, laddove il bottino è rappresentato, ovviamente, dai dati. Il canale di accesso resta lo spam, che buca i filtri e gli antivirus, sfruttando la disattenzione degli utenti.
Carbon Black ha stilato una sorta di borsino indicativo, che può variare molto in base al bottino. I dati più preziosi sono quelli del fornitore di servizi finanziari, come diplomi di laurea e licenze mediche: costano circa 500 dollari. Un hacker che riesce a ottenerli, li rivende sul dark web, direttamente o con l’aiuto di un intermediario. Il prezzo deve essere abbastanza alto da ripagare lo sforzo e abbastanza economico da permettere l’acquisto a più persone. Chi compra dati come questi può spacciarsi per un medico, rubare la sua identità, oppure richiedere rimborsi alle assicurazioni. Costano di solito tra i 10 e i 120 dollari i dati che permettono falsificazioni sanitarie relative a tessere e ricette. Vengono acquistate per superare i controlli, ad esempio in aeroporto, che vietano il trasporto di alcuni farmaci senza una specifica prescrizione.

Raggirare le assicurazioni

Accedere con le credenziali di un’altra persona consente di avere prescrizioni e prestazioni presso le assicurazioni sanitarie con i dati e i soldi della vittima. Le credenziali possono essere vendute a 3,25 dollari. Un prezzo ridotto dalla velocità con cui le credenziali possono essere modificate, soprattutto se si sospetta di un attacco. Si tratta di attacchi sempre più numerosi. L’83% delle organizzazioni sanitarie intervistate da Carbon Black ha notato un aumento nell’ultimo anno. Due su tre hanno subito l’azione di un ransomware. Molte organizzazioni (l’84%) hanno dichiarato di formare i dipendenti sulla cybersicurezza. Tuttavia, solo il 29% degli intervistati ha individuato la perdita o l’impossibilità di accedere ai dati dei pazienti come la principale preoccupazione. Pesano di più questioni di conformità alle norme (nel 33%) e, spesso (22%), il budget. “Questo – spiega il rapporto – è un punto su cui riflettere e probabilmente uno dei maggiori problemi”, perché “la conformità non equivale alla sicurezza. Troppe organizzazioni sanitarie che sono conformi sono state vittime di violazioni”. Gli standard vengono “costantemente aggiornati” e sono “un buon punto di partenza, ma non bastano: è necessario creare un programma di sicurezza per soddisfare le esigenze specifiche di un’organizzazione”.

Rubate 100mila foto di passeggeri aerei Usa

Il furto di identità, ovviamente, travalica i confini. È notizia dello scorso 11 giugno quella di un cyberattacco nel corso del quale sono state rubate 100mila fotografie di passeggeri in ingresso e uscita dagli Stati Uniti. Lo ha confermato lo US Customs and border protection (Cbp), la polizia doganale statunitense. Gli hacker hanno avuto accesso ai dati infiltrandosi negli archivi di una delle società che forniscono i servizi. La Cbp fa già ampio uso di immagini e videosorveglianza lungo i confini nazionali. E si sta espandendo anche l’utilizzo del riconoscimento facciale. Le immagini rubate facevano proprio parte di un programma rivolto al miglioramento della tecnologia. L’agenzia statunitense ha saputo della violazione il 31 maggio. Al momento non ci sono ancora tracce che le foto siano state vendute o utilizzate dagli attaccanti. Tuttavia, il sito The Register, proprio alla fine di maggio aveva scovato nel dark web immagini (scaricabili gratuitamente) provenienti da Perceptics, uno dei fornitori della Cbp. L’agenzia non ha rivelato se l’archivio individuato da The Register sia lo stesso né confermato se riguardi Perceptics. Il Washington Post ha notato che il documento Word inviato alla redazione con la dichiarazione ufficiale era stato chiamato "Dichiarazione pubblica di Perceptics e Cbp”. È quindi probabile che la società ci abbia ripensato, lasciando però una traccia tra i cosiddetti metadati del documento (il Washington Post parla infatti di “title”). Una fonte del quotidiano americano ha confermato inoltre che si tratterebbe di Perceptics, impegnata nel tentativo di migliorare gli algoritmi per il riconoscimento facciale. Le immagini riguarderebbero i viaggiatori che si sono mossi tra Canada e Usa. E, sempre secondo l’anonimo funzionario, sembra escluso il coinvolgimento di nazioni estere.

Se la truffa viaggia sui calendari degli smartphone

Un’altra porta di accesso al furto dei dati potrebbe essere Google Calendar. Secondo gli esperti di Kaspersky, società specializzata in cybersecurity, questa sarebbe una nuova strategia per mettere a punto attacchi informatici: gli hacker invierebbero notifiche fraudolente e indesiderate di Google Calendar, portando gli utenti a fornire le loro informazioni personali. Gli attacchi sarebbero avvenuti nel mese di maggio. La truffa sfrutta una funzione specifica del servizio: l’aggiunta automatica ai calendari di eventi e appuntamenti ricevuto sulla propria mail. La truffa si verifica nel momento in cui l’autore manda un invito, che include un link malevolo, sulla posta elettronica. Una notifica appare nella schermata dello smartphone e il destinatario è invitato a cliccare sul link. Spam e phishing (i tentativi di attacco che provano a rubare con l’inganno i dati degli utenti) utilizzano così strade non tradizionali: non passano solo dalla posta elettronica ma scelgono vie alternative, che possono sorprendere con la guardia abbassata anche utenti più esperti e attenti. È quello che succede in questo caso di “calendar phishing”. Nella maggior parte dei casi osservati, l’utente viene indirizzato a un sito che include un semplice questionario con in palio una vincita in denaro. Per ricevere il premio, viene richiesto di inserire i dettagli della propria carta di credito e aggiungere alcune informazioni personali come il nome, il numero di telefono e l’indirizzo. I dati raccolti finiscono nelle mani dei truffatori che li utilizzano per rubare denaro e dati.
Kaspersky ha definito la “truffa del calendario” uno “schema molto efficace, perché le persone sono abituate a ricevere messaggi spam via e-mail e a non fidarsi immediatamente. Ma potrebbe non essere così quando si parla dell’app Calendario, la cui funzione principale è quella di organizzare le informazioni piuttosto che trasferirle". A un occhio attento, l’idea del premio e della richiesta di carta di credito suona bizzarro ed è quindi individuabile. Ma, sottolineano gli esperti “ogni schema semplice diventa sempre più elaborato e ingannevole con il passare del tempo”. La buona notizia, afferma Kaspersky, è che non c’è bisogno di precauzioni sofisticate per evitare la truffa: “la funzione che aggiunge automaticamente inviti al calendario e invia notifiche può essere disattivata. Basta aprire Google Calendar, accedere alle impostazioni ed eliminare la voce Eventi da Gmail: in questo modo non ci saranno aggiunte automatiche, né lecite né fraudolente. Per il resto, valgono le raccomandazioni utili in tutti i casi: avere sistemi di protezione efficaci e, se non si è certi che il sito a cui si è indirizzati sia vero e sicuro, non inserire mai informazioni personali e finanziarie”.