G Data Whitepaper 12/2009. Acquisti sicuri online: come acquistare nel modo giusto i regali di Natale sul Web. Go safe. Go safer. G Data.

Transcript

1 G Data Whitepaper 12/2009 Acquisti sicuri online: come acquistare nel modo giusto i regali di Natale sul Web. Sabrina Berkenkopf e Ralf Benzmüller G Data Security Labs Whitepaper_12_2009_IT Go safe. Go safer. G Data.

2 Contenuto Acquisti online in crescita da anni...2 Phishing: attacco ai dati degli acquirenti...2 Caratteristiche di sicurezza di siti Web e negozi online...4 Utilizzo corretto delle password...5 Un ambiente protetto è fondamentale!...6 Breve riepilogo...7 1

3 Acquisti online in crescita da anni Negli ultimi anni, nell'ue si registra un incremento costante del commercio online. Nel 2008 quasi un terzo (32%) dei cittadini europei nella fascia di età compresa tra 16 e 74 anni ha utilizzato Internet per effettuare acquisti di prodotti e servizi per uso personale. Questa cifra denota un incremento del 12% in quattro anni. In Germania oltre la metà delle persone intervistate (53%) dichiara di acquistare online, in Francia il 40%, in Spagna il 20% e in Polonia il 18% (fonte: Eurostat). Nel 2008 i mesi di novembre e dicembre dedicati agli acquisti di Natale hanno fruttato al commercio online circa 2,7 miliardi di euro di fatturato, ossia un aumento del 23%, secondo quanto dichiarato dall'associazione Federale Tedesca della vendita per corrispondenza (fonte: Associazione Federale Tedesca della vendita per corrispondenza). L'associazione di settore Bitkom prevedere per l'anno ,3 milioni di acquirenti online, con una crescita di un terzo rispetto al Inoltre, 8,6 milioni di consumatori si dichiarano ancora indecisi (fonte: Bitkom). Gli esperti prevedono per il futuro un'ulteriore crescita del numero di consumatori e del fatturato per il commercio online. Phishing: attacco ai dati degli acquirenti Il furto e l'abuso dei dati personali sono aumentati notevolmente negli ultimi anni. Particolarmente remunerativo per i criminali online è la vendita di informazioni su carte di credito, account di servizi di Online Banking e dati di accesso ai servizi di amministrazione fiduciaria, come PayPal. Il phishing descrive lo spionaggio e lo sfruttamento dei dati personali di qualsiasi tipo da un computer. Obiettivo dei cybercriminali sono soprattutto le password e i dati di accesso agli account utente, ad esempio per servizi di Online Banking, servizi di pagamento, piattaforme commerciali nonché social network e giochi online. Bitkom, insieme all'ufficio Federale Anticrimine, ha pubblicato un dato secondo il quale il 5% degli utenti Internet a partire dai 14 anni è stato vittima di attività di phishing. Bitkom prevede per la Germania nell'anno 2009 un danno di 10,9 milioni di euro provocato da flussi di denaro illegali ottenuti con il phishing, che significherebbe un aumento del 56% rispetto al La tattica usata più di frequente per impossessarsi dei dati degli utenti è l'invio di di phishing, copiando in parte o completamente la grafica e il layout di aziende serie e importanti. Se in passato spesso era facile smascherare subito le di phishing, che contenevano eclatanti errori ortografici, errori di grammatica, accenti e caratteri speciali mancanti, oggi questi messaggi sono spesso impeccabili nella forma e nei contenuti e pertanto non riconoscibili a prima vista. I modelli più copiati in queste e- mail sono aziende note, come istituti bancari, servizi di spedizione con service point e produttori di giochi per computer. Fig. 1: Schermata di una di phishing che imita PayPal 2

4 Fig. 2: Grafico di un attacco di phishing Al destinatario del messaggio di phishing viene chiesto di seguire un link e di inserire i propri dati in questa pagina Web. Una delle truffe preferite per attirare il destinatario utilizza una in cui si avvisa che un sito Web di sua fiducia, ad esempio ebay, PayPal o altri, ha modificato le regole per la sicurezza e pertanto l'utente deve accedervi o registrarsi per accettare le nuove regole. In altri casi il destinatario della viene pregato di aggiornare i propri dati personali e tramite il link incorporato nel messaggio viene dirottato a una pagina fraudolenta. Un'altra truffa, particolarmente critica proprio durante il periodo Natalizio a causa del numero elevato di pacchetti spediti, fa credere all'utente che deve registrarsi in un determinato sito per controllare lo stato di spedizione delle merci ordinate per gli acquisti (di Natale). Spesso le pagine Web fraudolente a cui si accede tramite il link sono faticosamente distinguibili dalle quelle originali. Se l'utente risponde alla richiesta e vi immette i propri dati, come nome utente, password, numero di conto, PIN, TAN o altro, potrà essere spiato e danneggiato anche finanziariamente. Se i furfanti riescono anche ad ottenere i dati di accesso all'account di posta elettronica della vittima, possono perfino, tramite la funzione "Invio nuova password", farsi inviare le nuove password per i vari canali. Sfruttando l'account appena carpito, si possono quindi creare nuovi account per 3

5 fare acquisti e il danno può aumentare ulteriormente. Nel tipo di phishing appena descritto, l'utente è l'anello debole della catena nelle misure di sicurezza. Solo quando egli inserisce "spontaneamente" i propri dati, questi finiscono nelle mani dei criminali informatici. Perciò si dovrebbe adottare una particolare cautela con le provenienti da mittenti sconosciuti. Non si deve fare clic sui link che indirizzano a pagine di accesso o registrazione, ad esempio a presunti portali di istituti bancari, ebay, uffici postali o simili siti. Le aziende serie non chiedono mai i dati del cliente o i dati di accesso per ! Caratteristiche di sicurezza di siti Web e negozi online Quando si riceve una , il destinatario non deve sentirsi minacciato o costretto a richiamare immediatamente (!) la pagina Web inclusa nel link per evitare le tragiche conseguenze enunciate nella . Dovrebbe semplicemente ignorare il link incluso nel messaggio. È sempre consigliabile digitare manualmente gli indirizzi Web direttamente nella riga degli indirizzi del browser oppure richiamare i siti tramite i segnalibri personali. Se il cliente ha visitato una pagina in cui i dati personali devono essere elaborati con particolare riservatezza, è opportuno prestare attenzione alle seguenti misure di sicurezza: il simbolo di un lucchetto visualizzato nel browser e l'indicazione aggiuntiva "http" all'inizio dell'indirizzo Web. Recentemente, in molti browser una pagina crittografata viene indicata anche tramite una riga dell'indirizzo di colore verde. Fig. 3: Schermata di una pagina protetta in Mozilla Firefox 3.5 Queste misure di sicurezza si osservano non soltanto nelle pagine degli istituti bancari, ma proteggono anche i pagamenti per gli acquisti nei negozi online tramite carta di credito o con procedura di addebito e l'accesso a servizi di pagamento seri, come PayPal. Se un negozio online richiede prima all'acquirente di registrarsi, anche questi dati personali di registrazione dovrebbero essere inviati al rivenditore tramite una connessione protetta, come quella descritta in precedenza. Nella versione recente di Internet Explorer 8, inoltre, il livello superiore di dominio dell'attuale pagina Web viene indicato con lettere di colore nero, mentre il restante indirizzo appare in grigio. 4

6 Fig. 4: Schermata di una pagina protetta in Internet Explorer 8 In questo modo è possibile controllare di essere realmente nella pagina ufficiale, ad esempio di ebay, e non in un indirizzo falsificato che include il nome ebay solo per ingannare gli utenti. Si dovrebbe inoltre controllare che i negozi online cercati siano anche affidabili. Fornitori importanti e noti in tutto il mondo, come ad esempio amazon.com, godono di ottima reputazione e sono ormai consolidati nel commercio online. Per chi tuttavia cerca un fornitore meno conosciuto, vi sono alcuni elementi che possono aiutare a verificare l'autenticità del sito: Il prezzo del prodotto è "nella norma" o è stranamente basso? Le descrizioni e le foto del prodotto corrispondono? I costi di spedizione sono adeguati e indicati chiaramente? Nel negozio online sono chiaramente riportate le Condizioni generali di vendita? Si è d'accordo con le indicazioni e le condizioni enunciate nelle Condizioni generali di vendita? Il sito Web include le informazioni legali? Il negozio è reperibile nei motori di ricerca? È conosciuto? Utilizzo corretto delle password Per la registrazione è opportuno scegliere password complesse. Le password come "admin" o "password123" non appartengono a questa categoria! Una combinazione di almeno 8 lettere maiuscole e minuscole, numeri e caratteri speciali genera password complesse, come "Hb1&opGT58". Questa sequenza di caratteri rappresenta una password sicura, ma difficile da ricordare. Per creare una password con caratteristiche distintive personali si possono usare anche gli acronimi: The sound of silence di Simon & Garfunkel del 1966 = TsosdS&Gd1966 5

7 È possibile utilizzare anche il cosiddetto "leet speak", in cui le lettere vengono sostituite da numeri o caratteri speciali somiglianti: The sound of silence = 7h3_50und_0f_51l3nc3 In generale non si dovrebbero memorizzare nel browser i nomi utente e le password, anche se ciò è decisamente comodo. I dati di accesso e altri dati personali memorizzati rendono l'utente vulnerabile per un altro tipo di phishing: l'attacco mediante cavalli di Troia. I cavalli di Troia introducono di nascosto un programma dannoso nel computer dell'utente e da qui eseguono processi indesiderati. Uno dei possibili processi utilizza i cosiddetti spyware per spiare i dati personali sul computer aggredito, quindi li trasmette a un indirizzo Internet impostato in precedenza dal programmatore del cavallo di Troia. In questo modo i cybercriminali riescono ad ottenere i dati anche senza la collaborazione attiva dell'utente. Un ambiente protetto è fondamentale! Non si dovrebbero mai effettuare acquisti online, operazioni di online banking e altre procedure riservate tramite una WLAN pubblica o la connessione di un Internet café. Nei punti di accesso WLAN non protetti, il pericolo di un furto di dati, ad esempio con un programma sniffer, è estremamente elevato. Negli Internet café i cookie e altri log con dati personali riconducibili all'utente restano nel computer pubblico dopo la navigazione e sono visibili e riutilizzabili dagli utenti successivi. Di solito gli utenti di un Internet café non hanno nessun controllo sulle impostazioni di protezione del PC e in merito alla sicurezza devono affidarsi alle conoscenze e alla consapevolezza del provider del locale. I pericoli descritti e la loro efficacia dipendono dal comune buon senso dell'utente. In ogni caso, non si deve dimenticare che anche il PC svolge un ruolo chiave negli acquisti online. Un PC deve essere dotato di una soluzione antivirus affidabile, di un firewall e anche di un filtro HTTP. In questo modo l'utente può proteggersi in tempo reale dai vari software nocivi (cavalli di Troia, virus, worm ecc.), scansionare le proprie per rilevare la presenza di phishing, spam (come inviti al casinò e proposte di vari prodotti medicinali) e codici dannosi e filtrare questi e altri contenuti indesiderati. Inoltre un filtro HTTP è in grado di scansionare in tempo reale l'intero traffico di posta in entrata e in uscita e bloccare direttamente le minacce, impedendo così ai siti Web dannosi di introdurre contenuti indesiderati, come nel caso del cavallo di Troia "Gumblar" che sta attualmente dilagando in Internet. Un firewall regola l'intero traffico di dati in base a regole predefinite ed eventualmente lo impedisce, di modo che un aggressore non possa utilizzare sul computer nessuna porta aperta. Gli aggressori sfruttano le falle di sicurezza presenti nei sistemi delle vittime, spesso a causa di una trascurata gestione degli aggiornamenti. Pertanto è fondamentale che la soluzione antivirus e i relativi componenti siano sempre aggiornati con la versione più recente. Generalmente i programmi sono dotati di proprie routine di aggiornamento che svolgono automaticamente questo task. Prima di cominciare il giro di acquisti nei negozi online, è opportuno aggiornare tutti i componenti ed eseguire una scansione completa del PC in modo che questo non sia vulnerabile a causa di programmi dannosi già presenti nel sistema. 6

8 È necessario aggiornare non soltanto il programma di protezione, ma anche il sistema operativo deve sempre essere della versione più recente. Anche questa funzione può essere utilizzata in automatico nella maggior parte dei sistemi operativi. Infine, è necessario aggiornare periodicamente anche il browser poiché è ovviamente particolarmente esposto agli attacchi provenienti da Internet e può offrire falle nella sicurezza se obsoleto. Lo stesso vale per i programmi di posta elettronica, i programmi di chat, i programmi FTP, i software video e per tutti i programmi installati sul computer. Breve riepilogo Per ridurre al minimo i rischi correlati agli acquisti online nel periodo natalizio, G Data Software AG consiglia di adottare le seguenti sei misure precauzionali: 1. Utilizzare la versione più recente del programma antivirus, un firewall e un filtro HTTP. 2. Tenere sempre aggiornati allo stato più recente il software di protezione, il sistema operativo e le altre applicazioni. 3. Diffidare sempre delle inviate da mittenti sconosciuti. Non fare mai clic sui link e non scaricare, né aprire i file allegati. 4. Digitare manualmente gli indirizzi di siti Web che richiedono la registrazione dell'utente o utilizzare la funzione dei segnalibri del browser. 5. Quando si effettuano acquisti online, prestare attenzione alla caratteristiche di protezione nella finestra del browser: il simbolo di lucchetto nel browser; l'abbreviazione "https" prima dell'indirizzo indicato; la riga dell'indirizzo di colore verde in molti browser moderni; l'indicazione di dominio di primo livello, specialmente in Internet Explorer Controllare se il negozio prescelto include le Condizioni generali di vendita, le informazioni legali e l'indicazione dei costi, ad esempio i costi di spedizione ed eventuali costi aggiuntivi. 7