SESSION HIJACKING E TRUFFA DELLA BALLERINA – COME PROTEGGERTI

Nel Gruppo Banco BPM si stanno verificando attacchi giornalieri di Session Hijacking (Furto di Sessione) e la Truffa della “ballerina” per la quale si sono già verificati alcuni casi.

Di seguito vengono descritti i due attacchi e presentate le modalità di difesa.

 

Attacchi di Session Hijacking: cosa sono e perché sono pericolosi

Negli ultimi mesi si è registrato un aumento di attacchi informatici che non mirano a rubare direttamente la password, ma a prendere il controllo di una sessione di lavoro già autenticata. La sessione è la connessione logica che si instaura tra il pc dell’utente (e il suo browser) ed i servizi applicativi erogati dalla Banca (tramite i server). La connessione logica è rappresentata da un’informazione identificativa univoca che transita in tutti gli scambi di informazioni tra i pc ed i server dopo la fase di autenticazione (login).

Questa tecnica è nota come Session Hijacking, appunto furto di sessione.

Sostanzialmente, l’attaccante riesce a “impadronirsi” della sessione attiva dell’utente, rubandone l’informazione identificativa univoca, e ad agire come se fosse l’utente stesso, spesso senza dover superare ulteriori controlli di sicurezza.

Come avviene un attacco di Session Hijacking

Questi attacchi partono molto spesso da email di mittenti conosciuti con cui si intrattengono rapporti che inducono l’utente a compiere un’azione apparentemente innocua, come:

• cliccare su un link,
• visualizzare un documento,
• effettuare un accesso “di verifica” ad una pagina che emula quella di Microsoft.

In alcuni casi l’utente ha già effettuato l’accesso ai servizi aziendali: l’attaccante non ruba la password, ma intercetta l’informazione identificativa univoca di sessione (token di sessione).

Il risultato è che l’attaccante può:

• accedere alla posta elettronica,
• consultare documenti e informazioni riservate,
• inviare messaggi o richieste fingendosi l’utente,
• avviare ulteriori tentativi di frode o diffusione dell’attacco all’interno dell’organizzazione.

Come proteggersi: comportamenti fondamentali

Ogni collega può ridurre in modo significativo il rischio seguendo alcune semplici regole:

• Diffidare sempre di email che richiedono azioni immediate (apertura documenti non attesi, verifica account);
• Non cliccare su link o allegati inattesi, anche se il messaggio sembra provenire da un collega o da un mittente noto;
• Verificare sempre l’indirizzo del sito prima di inserire credenziali o confermare accessi;
• Non approvare richieste di autenticazione MFA che non sono state avviate consapevolmente;
• Segnalare immediatamente al SOC qualsiasi comportamento anomalo (accessi non riconosciuti, email inviate a propria insaputa, sessioni improvvisamente disconnesse) all’indirizzo: https://bancobpm-dwp.onbmc.com/dwp/app/#/catalog

La prima linea di difesa resta il comportamento dell’utente.

 

Truffa della “ballerina” su WhatsApp: come riconoscerla

Negli ultimi mesi si sta diffondendo su WhatsApp una truffa nota come “truffa della ballerina”, segnalata dalla Polizia Postale e da diverse associazioni di tutela dei consumatori.

Si riceve un messaggio da un contatto presente in rubrica (amico, collega o familiare) che invita a votare per una bambina o ragazza che parteciperebbe a un concorso di danza o a una selezione per una borsa di studio.

La richiesta viene presentata come innocua, gratuita e veloce, spesso accompagnata da una foto, proprio per indurre fiducia.

Come funziona la truffa

Cliccando sul link contenuto nel messaggio, l’utente viene indirizzato a una pagina web falsa che chiede di digitare:

• il numero di telefono;
• un codice ricevuto via SMS.

Quel codice non è un codice di voto, ma il codice di verifica di WhatsApp. Inserendolo, si consente ai truffatori di prendere il controllo dell’account, disconnettendo il legittimo proprietario.

Una volta compromesso, l’account viene utilizzato per:

• inviare lo stesso messaggio a tutti i contatti, diffondendo la truffa;
• contattare amici e familiari fingendo emergenze e chiedendo denaro.

Come proteggersi

• Non cliccare su link ricevuti via WhatsApp che richiedono voti, verifiche o inserimento di codici, anche se provengono da contatti conosciuti.
• Non comunicare mai a nessuno i codici ricevuti via SMS o tramite app.
• In caso di messaggi sospetti, verificarli sempre contattando telefonicamente il presunto mittente dato che è conosciuto.
• Eventualmente attivare la verifica in due passaggi su WhatsApp.

Se hai già cliccato disconnetti immediatamente l’account da eventuali dispositivi non riconosciuti e segnala l’evento al SOC all’indirizzo: https://bancobpm-dwp.onbmc.com/dwp/app/#/catalog

Di seguito vengono riportate le FAQ messe a disposizione da Whatsapp che potrebbero essere utili per il recupero dell’account.

• Informazioni sulla sospensione degli account: https://faq.whatsapp.com/465883178708358/?helpref=uf_share

Come recuperare un account compromesso: https://faq.whatsapp.com/1131652977717250/?helpref=uf_share