Il Monitoraggio delle frodi informatiche in Banca

Transcript

1 Il Monitoraggio delle frodi informatiche in Banca Nuove minacce e strategie di contrasto: l esperienza di UBI.S Ing. Paolo Colombini Resp. Ufficio Eventi e Controlli di Sicurezza Informatica UBI.S paolo.colombini@ubiss.it ABI Banche e Sicurezza

2 UBI Sistemi e Servizi UBI Sistemi e Servizi ScpA (UBI.S) èuna società consortile per azioni detenuta al 100% dal Gruppo UBI Banca UBI.S accentra la gestione delle funzioni, dei servizi e delle elaborazioni comuni a tutte le Società del Gruppo in merito a Information Technology, servizi amministrativi, logistica operativa, valorizzazione del patrimonio immobiliare, acquisti, organizzazione applicativa. UBI Banca èil primo Gruppo bancario Popolare in Italia in termini di capitalizzazione di mercato, organizzato secondo un modello federale, comprendente 9 banche rete e società prodotto altamente specializzate che offrono un ampia gamma di prodotti e servizi finanziari Lausanne Banque de Dépôts et de Gestion Filiali anche a Lugano, Mendrisio, Neuchâtel Geneva Corporation Financière Européenne Luxembourg UBI Banca International Banco di Brescia Filiale Jersey UBI Trust Company Ltd Lugano Gestioni Lombarda Suisse Nice Banca Regionale Europea Filiale Munich UBI Banca International Filiale Krakow UBI Factor Filiale Wien Business Consultant Moscow Ufficio di Rappresentanza Mumbai Ufficio di Rappresentanza Shanghai Ufficio di Rappresentanza Lombarda China Fund Management Co Quota di mercato < 2% 2% <= Quota di mercato < 5% 5% <= Quota di mercato < 15% Quota di mercato >= 15% filiali in Italia + 9 filiali all estero Numero di filiali al 31 marzo 2009 Quote di mercato a Settembre 2008 Dati Gruppo UBI Banca 2009 Menton Banca Regionale Europea Filiale Madrid UBI Banca International Filiale Sao Paulo Ufficio di Rappresentanza Hong Kong Ufficio di Rappresentanza Singapore BDG Singapore Private Ltd 2

3 Indice Andamento degli attacchi informatici Dinamica del fenomeno frodatorio Trend evolutivi Servizio di monitoraggio frodi in UBI Banca Conclusioni 3

4 Andamento degli attacchi informatici nel mondo Phishing vs trojan Tecniche di phishing sempre più evolute Investimenti tecnologici sul fronte del malware Fonte: RSA Varianti Sinowal Più di credenziali rubate dal 2006 Fonte RSA Fonte: RSA Sinowal compromised bank account In 2008, Symantec detected 1,656,227 malicious code threats Fonte: APWG: Phishing Activity Trend Report Fonte: Symantec Internet Security Treat Report

5 Andamento del fenomeno scenario globale Modello di business maturo Modelli di costo e service evoluti Diversificazione e ottimizzazione investimenti Malware Price List Torpig/Sinowal Not for sale Silent Banker Not for sale Zeus Trojan Kit $3000 Limbo Trojan Kit $350 5

6 Dinamica del fenomeno frodatorio Il fenomeno frodatorio generalmente si articola in fasi successive gestite da attori diversi FASE 1: Furto delle credenziali Organizzazione Phishers FASE 3: Movimentazione del denaro Fraudster 3 1 Sito clone Sito infetto Sito ebanking reale Mail di phishing 1 Ricezione mail Risposta a mail e Collegamento a sito clone 2 Infezione tramite collegamento a sito trojan 1 Trojan Intercetta credenziali 2 FASE 2: Compravendita credenziali Intermediario Phishing via mail Attacco Trojan Alterazione coordinate operazione Ricarica SIM Ricarica Carte prepagate Bonifici 6

7 I trend evolutivi L analisi degli attacchi e dello scenario tecnologico portano ad identificare alcune tendenze evolutive nella strategia di attacco Creazione di siti tramite strumenti automatici Attacchi evoluti tramite botnet e tecniche fastflux Evoluzione social engineering Clonazione SIM Software evoluti per l intercettazione delle comunicazione OOB (out of band) Trojan complessi da rilevare ed eliminare (rootkit) Funzionalità di Session Hijacking sempre più evolute Attacco ai sistemi di protezione a 2 fattori ed alla forma digitale 7

8 I trend evolutivi Phishing Il furto delle credenziali tramite phishing èormai gestito in maniera industriale Domini e siti sono creati tramite strumenti automatici (KIT) in grado di creare rapidamente copie dei siti clone Gli attacchi vengono realizzati tramite tecniche sofisticate quali le reti Fast Flux (single flux e doubleflux) al fine di incrementare la disponibilità dei siti e rendere più complesse le operazioni di shoutdown Esempio di attacco basato su rete Double Flux 8

9 I trend evolutivi Il malware Zeus Zeus è uno dei 5 trojan maggiormente diffusi alla data odierna con un rate di infezione di migliaia di computer al giorno. Si caratterizza per la facilità di utilizzo, l invisibilità (RootKIT) e la capacità di cifrare le comunicazioni Capacità di attacchi MITB Rootkit functionality Local HTML Injection Canali Capacità di intercettare tipi di dati diversi Polimorfismo Cifratura personalizzabile Funzionalità proxy like Trigger customizzabili 9

10 I trend evolutivi Nuove minacce: Il canale mobile Il canale mobile sta assumendo rilevanza come veicolo per condurre frodi I terminali (PDA, Smartphone) diventano sempre più evoluti e complessi e dunque soggetti a possibili attacchi informatici Tecniche di attacco tradizionali come il phishing potrebbero essere ancora più efficaci sul canale mobile (SMiShing) Fonte: Truffe telefoniche: Così ho comprato 500 sim. Sono vostre? Fonte: Panorama 17 Aprile

11 Il servizio antifrode sviluppato da UBI.S Il servizio di monitoraggio e contrasto alle frodi informatiche realizzato da UBI.S è basato su servizi, processi e attività che si integrano in maniera sinergica per coprire le diverse esigenze di rilevazione, indagine, intelligence e contrasto alle frodi Servizi Processi Segnalazione Cliente Richiesta A.I. Richiesta Interna Monitoraggio Strumenti 11

12 Servizio di monitoraggio frodi Servizio monitoraggio delle transazioni Il servizio di monitoraggio è andato via via evolvendo da attività tecnica a processo strutturato con processi e controlli definiti Le attività di verifica sono divenute sempre più efficienti e tempestive tramite l automazione dei controlli I controlli vengono adattati tempestivamente alle contromisure adottate ed alle minacce Autorità Inquirente Richiesta Informazioni Antiriciclaggio e Indagini A.I. Richiesta Analisi tecnica 4 Eventi e Controlli di Sicurezza Informatica Analisi tecnica Gli strumenti implementati consentono di automatizzare operazioni di verifica e di analisi (es. geolocation, identificazione operazioni anomale) Esempio: processo di indagine Compliance e Controlli Sono stati sviluppati strumenti di analisi multidimensionale per poter evidenziare i pattern fraudolenti Feedback segnalazione 5 Referenti audit per le Banche Sono stati implementati processi per gestire la segnalazione di anomalie e rispondere alle richieste di analisi Eventi e Controlli di Sicurezza Informatica 1 2 Segnalazioni Movimenti anomali 3 4 Controlli Approfondimento di indagine Conferma o meno frode Log Filiali Banche Rete Esempio: processo di segnalazione anomalie 12

13 Il servizio di monitoraggio frodi Servizio Antiphishing UBI Sistemi e Servizi ha sviluppato servizi antiphishing in partnership con i principali operatori del mercato Le segnalazioni di attacco vengono notificate al servizio antiphishing interno che si preoccupa di effettuare le analisi specifiche In aggiunta ai tradizionali servizi di monitoraggio e chiusura siti, UBI.S ha sviluppato internamente competenze e metodologie di analisi degli attacchi di phishing al fine di Comprendere la fenomenologia di attacco Rilevare in anticipo l apertura di siti Minimizzare il tempo di vita del sito clone Per ogni attacco omogeneo viene sviluppata una analisi interna e formalizzato un report di indagine 13

14 Servizio di monitoraggio frodi Servizio antitrojan UBI.S dispone di un servizio antitrojan al fine di rilevare attacchi di malware diretti alla clientela e di contrastarne l efficacia Infezione Update Furto Utente finale Rilevazione dei canali di attacco utilizzati dai trojan Analisi del malware e recupero delle credenziali Identificazione dei muli Chiusura dei canali Reportistica e identificazione del fenomeno Comunicazione alle Banche Rete in merito alle informazioni carpite Comunicazione dei conti coinvolti in operazioni illecite 14

15 Servizio di monitoraggio frodi Servizio gestione frodi UBI.S dispone di un servizio finalizzato alla gestione delle frodi in conformità con i requisiti normativi e le best practice di settore Il servizio consente di Disporre di un supporto tecnico e legale per la gestione delle frodi informatiche Disporre di informativa aggiornata in merito alla evoluzione delle minacce e delle tecniche frodatorie Il servizio si affianca alla gestione operativa in maniera da identificare gli interventi strategici senza rallentare i processi di remediation tattici Identificazione Frode/attacco Report 15

16 Servizio di monitoraggio frodi Servizio monitoraggio eventi Il servizio di monitoraggio eventi di sicurezza informatica, sebbene rappresenti un processo a sé stante, contribuisce alla identificazione ed alla prevenzione delle frodi. L analisi comparata degli eventi di sicurezza informatica (virus, malware, utilizzo anomalo dei sistemi informativi, etc ) permette di identificare in anticipo possibili minacce o fenomeni frodatori L utilizzo sinergico degli strumenti (es. SOC, antivirus, IDS, access log analysis) permette di comprendere e di gestire meglio gli attacchi informatici. Antifrode 16

17 Servizio di monitoraggio frodi Servizio monitoraggio delle vulnerabilità UBI.S dispone di servizi di monitoraggio e verifica continuativa delle vulnerabilità dei servizi on line L avvio di nuovi servizi prevede inoltre una attività di vulnerability assessment finalizzata a verificare la sicurezza del servizio e l efficacia dei controlli di sicurezza previsti VA servizi e sistemi esposti VA nuove applicazioni/servizi 17

18 Conclusioni Non esiste la soluzione o il prodotto per contrastare le frodi informatiche. La sicurezza si può incrementare solamente tramite un insieme di iniziative sinergiche, in grado di evolvere e di adattarsi velocemente alle nuove minacce Lo scenario delle minacce èin costante evoluzione Gli strumenti da soli sono inutili. La chiave del successo risiede nella capacità organizzativa e nella competenza delle persone Gli attaccanti si configurano ormai come organizzazioni criminali dotate di elevatissime competenze tecniche ed organizzative E fondamentale poter contare sulla collaborazione delle diverse strutture aziendali sia nelle fasi di analisi che nella definizione delle strategie di contrasto Le metodologie di attacco si adattano rapidamente alle contromisure, sfruttando vulnerabilità e punti deboli, sia tecnologici sia umani Le evoluzioni del business possono comportare nuovi rischi e vulnerabilità (nuovi canali, nuovi servizi) e sono tanto semplici gli uomini e tanto obbediscono alle necessità presenti, che colui che inganna troverà sempre chi si lascerà ingannare. Machiavelli, Il Principe 18