Fraud Preven+on in Mul+channel Offer. ABI - Banche e Sicurezza Versione: 1. Tutela Aziendale

Transcript

1 Fraud Preven+on in Mul+channel Offer ABI - Banche e Sicurezza 2015 Versione: 1. Tutela Aziendale

2 Agenda 2 L Azienda L offerta mul2canale L evoluzione degli scenari fraudolen2 Online banking - Strong Authen2ca2on Mobile payments - Strong Authen2ca2on E- Commerce - Adap2ve authen2ca2on L organizzazione per la prevenzione delle frodi I sistemi an2frode I risulta2 delle advità an2frode Versione:1 Tutela Aziendale

3 L Azienda 3 Il Gruppo Poste Italiane SpA, oltre a garanere il servizio universale postale, è in grado di offrire, in un unico gruppo, prodop e servizi integrae di comunicazione, logiseci e finanziari su turo il territorio nazionale. " Dipenden+ " Uffici Postali " ATM " POS " 32 MLN Clien+ " 7,5 MLN Con+ Corren+ BancoPosta 1,8 MLN Con+ Online (BPOL e BPClick) " 22 MLN Carte di pagamento emesse 15 MLN Carte Postepay " 90 MLD di euro in contan+ movimentae ogni anno " 25 MLN di transazioni online per anno 13 MLD di transato online per anno " 3 MLN SIM PosteMobile Versione:1 Tutela Aziendale

4 L offerta mul+canale 4 Nell era della mulecanalità Poste Italiane mere a disposizione dei propri cliene una vasta offerta di prodop finanziari. A fronte di ogni strumento di pagamento sono stae studiae e fornie ai cliene specifici mezzi di difesa. LeRore BancoPosta BPOL Key BPIOL Sicurezza Web Postepay Online banking Mobile payments PosteID SuperSIM MobilePay Sistemi di monitoraggio Versione:1 Tutela Aziendale E- Commerce 3D Secure PiaRaforme di monitoraggio AdapEve authenecaeon

5 L evoluzione degli scenari fraudolen+ 5 Le apvità fraudolente sono in conenua evoluzione, a fronte di un progresso tecnologico corrisponde una nuova Epologia di frode. Di seguito si rappresentano le frode maggiormente riscontrate negli ulemi anni: Phishing tramite invio di mail massive Inserimento di codici malevoli nei browser ARacchi man in the middle Scommesse online e partecipazione a tavoli di gioco Spese efferuate su merchant terzi Per la repressione dei fenomeni fraudolene diviene necessario studiare di volta in volta nuove regole di deteceon e nuove logiche di contrasto. Versione:1 Tutela Aziendale

6 Online banking - Strong Authen+ca+on L introduzione di nuovi sistemi per l autorizzazione delle operazioni online sui sie di Poste Italiane ha notevolmente ridoro il numero degli evene illecie a danno dei cliene. LeOore BancoPosta - BPOL Inserendo la Postamat nel lefore viene visualizzato l'id operazione che, in combinazione con il PIN della carta, genera un codice di risposta usa e gera necessario per disporre le operazioni. Sicurezza Web Postepay Il sistema di securizzazione online per le Postepay prevede l'associazione della carta al numero di telefono cellulare, sul quale viene inviata via SMS una OTP, appositamente generata per ogni operazione disposieva efferuata sui sie di Poste. BPIOL Key Il disposi2vo di autorizzazione con firma digitale per l esecuzione delle operazioni disposieve prevede l uso di un cereficato di firma digitale associato al cliente che firmando in tal modo la transazione la efferua in sicurezza, garantendo al sistema la certezza della sua idenetà.

7 Mobile payments - Strong Authen+ca+on L assunzione di efficaci sistemi di autenecazione, adarabili ai diversi canali offere, ha permesso all azienda di far fronte a ture le potenziali Epologie di frode. PosteID Il servizio, riservato ai Etolari di Postepay, BancopostaOnline e BancopostaClick, permere di eseguire operazioni ed acquise sul web autorizzandole tramite una APP installata sul device solo previa cer2ficazione del numero di cellulare. Super SIM La Super SIM NFC di PosteMobile permere di associare alla SIM tute le carte BancoPosta intestate al cliente, orenendo l effero di averle direramente nello Smartphone potendo pagare, nei limie previse, anche solo avvicinando il cellulare al POS. Mobile Pay La piaraforma di pagamento fornisce ai cliene la possibilità di acquistare contenue e servizi digitali di piccolo importo uelizzando il credito telefonico. Gli acquise sono garanee dai più avanzae standard di sicurezza che gesescono i dae in modo criptato.

8 E- Commerce - 3DSecure 8 A seguito della securizzazione di tup i canali di pagamento sui sie di Poste, le apvità fraudolente si sono concentrate sui sie terzi; in parecolare sui sie di bepng parecolarmente appeebili per la facilità di moneezzazione dei dae carpie in rete. La soluzione adorata per il canale e- Commerce, conforme al protocollo 3DS, prevede l autenecazione di ture le transazioni tramite OTP inviata via SMS sul numero di telefono cereficato dall utente. e - commerce bepng Ø Richiesta di pagamento Ø Ricezione OTP via SMS Ø Autorizzazione della transazione Inoltre sono state implementate specifiche regole sui sistemi di monitoraggio e impostae limie di spesa.

9 L organizzazione per la prevenzione delle frodi 9 L organizzazione di Poste Italiane nel far fronte ai diversi scenari di frode emersi nel corso degli anni ha puntato principalmente all adozione di contromisure specifiche per ogni Epologia di offerta e all integrazione delle strurure. Segnalazione dei frodatori ed eventuale fermo degli stessi in fragranza di reato presso gli UU.PP. Uffici Postali Il passaggio presso l UP risulta essere il punto comune a ture le metodologie di sicurezza adorate dall azienda che, per il riconoscimento dell iden+tà fisica del cliente, può contare sulla capillare rete di Uffici Postali presene sul territorio nazionale. Collabo- razione con A.G. Cliente Security Room Presidio h 24 di monitoraggio, analisi e contrasto degli evene crieci, con il supporto di soluzioni tecnologiche d avanguardia. CERT Presidio di prevenzione e contrasto degli aracchi informaeci.

10 Il furto d iden+tà fisica e digitale 10 Le apvità di prevenzione sono rivolte a controllare costantemente i canali (Uffici Postali, ATM, internet, APP) fisici e digitali, presso i quali possono manifestarsi le minacce di phishing e furto di idenetà. Verifica e shut down siti clone Verifica identità fisica Verifica identità digitale L individuazione e la chiusura tempeseva dei sie clone di Poste Italiane, arraverso la Centrale di Allarmi An+phishing, consente di miegare il rischio di compromissione delle credenziali di accesso al sito e previene il furto dell idenetà digitale. Il controllo dei documene e Codici Fiscali presentae agli sportelli degli uffici postali, mediante il sistema Oracolo, interrogando in tempo reale archivi isetuzionali e la base dae anefrode interna consente di prevenire il furto di idenetà fisico. La raccolta e l analisi delle informazioni sul device uelizzato dal cliente per l accesso ai sie di Poste Italiane, mediante il sistema Fraud DNA, permere di individuare, già nella fase di autenecazione, eventuali anomalie. Il contrasto immediato avviene mediante il blocco prevenevo degli account dei cliene compromessi.

11 Le awvità e i sistemi an+frode 11 Le apvità di prevenzione, monitoraggio e contrasto delle operazioni fraudolente eseguite con le carte di pagamento vengono svolte sulla base dell implementazione di soluzioni tecnologiche d avanguardia, arraverso un controllo h24 delle transazioni online sui sie di Poste e sul canale e- commerce (prevalentemente sui sie di bepng), al fine di impedire trasferimene di denaro illecie e la moneezzazione dell importo fraudolentemente sorraro al cliente. Monitoraggio AWvità Postamat Login si+ Poste Postepay Con+ Online Verifica dei tentaevi di spendita eseguie prima e/o dopo la frode Operazioni Postamat/Ppay Operazioni e- commerce Blocco Carte e ConE Carte Blocco Con+ ID compromessi Accertamento dell eventuale compromissione degli account associae ai cliene Device Network Analysis Login sie poste Blocco ID compromessi

12 Centrale di allarme An+phishing 12 Le apvità di prevenzione sono rivolte a controllare costantemente i canali e gli asset presso i quali possono manifestarsi le minacce di phishing e furto di idenetà digitale. La centrale di allarme anephishing permere di individuare e chiudere tempesevamente i sie clone di Poste Italiane, consentendo di miegare il rischio di compromissione delle credenziali di accesso al sito e prevenendo il furto dell idenetà digitale.

13 13 La Device Network Analysis Prime 10 Country con maggior numero di accessi fraudolen+ La piattaforma di monitoraggio Fraud.DNA, grazie all acquisizione di informazioni relative agli accessi alla home banking dei siti di Poste, consente di acquisire tutte le informazioni disponibili al fine di impedire attività illecite condotte attraverso il «Furto dell identità digitale». Nel 2014 sono stati bloccati account compromessi e rilevati 713 indirizzi IP univoci, associati a sistemi fraudolenti presenti in rete internet. Le attività di prevenzione hanno permesso di sventare tentativi di frode per un importo complessivo pari a

14 Case study DNA 14 1 CASO cliente Retail ad una connessione genuina, con risk score molto basso in quanto rappresenta il comportamento Epico del cliente, seguono molteplici accessi a rischio di cui due segnalae come frode certa, con connessioni proveniene da Danimarca, Olanda e Regno Unito. 2 CASO cliente BPIOL il sistema ha rilevato un cambio dei parametri Epici delle connessioni, da una prima analisi l account sembrava compromesso ma con il successivo contaro al cliente è stata confermata la genuinità dei login, in quanto l amministratore si trovava in Giappone ma gli accessi venivano eseguie anche da un dipendente dello stesso.

15 An+Malware Fraud Detec+on Da luglio 2013 è stato apvato il servizio di AnEMalware Fraud DetecEon, dedicato alla rilevazione delle compromissioni da virus delle postazioni uelizzate dai cliene dei servizi finanziari on line, con lo scopo di miegare gli aracchi di furto di idenetà collegae a tecniche Man- In- The- Middle e Man- In- The- Browser, non rilevabili con altri sistemi di monitoraggio. Nel corso del 2014, le apvità anemalware hanno permesso di rilevare e gesere segnalazioni di compromissione da codice malevolo, collegate a 135 specifici malware, con l individuazione di dis+n+ clien+ compromessi. 15

16 Oracolo 16 L applicaevo ORACOLO - Front End permere di eseguire il controllo dei documene di idenetà e dei codici fiscali presentae dai potenziali cliene presso gli UP. Ogni operatore di sportello ha accesso ad una apposita interfaccia utente in cui inserire i dae, al fine di interrogare le banche dae interne ed esterne, permerendo di controllare in tempo reale la veridicità delle idenetà. La parte Back End dell applicaevo invece permere di analizzare le apvazioni ritenute a rischio, arraverso un sistema di scoring, e di bloccare eventuali soroscrizioni sospere procedendo inoltre all inserimento del frodatore nell archivio anefrode interno (Black List).

17 Case study Oracolo Dall analisi delle soroscrizioni di librep è stata riscontrata l apertura di un rapporto anomalo nella zona di Roma, con furto di idenetà, a nome di un inconsapevole cliente. Il sospero è nato dal riscontro di altro librero intestato alla cliente, radicato in altra regione. A seguito dell allarme Oracolo è stato possibile eseguire il confronto dei documene d idenetà che ha permesso di smascherare la frodatrice, bloccare il librero e l assegno versato. Dall analisi è scaturito che la stessa frodatrice aveva efferuato altri tentaevi fraudolene presentandosi sempre con idenetà e documene falsi presso diversi uffici postali di Roma.

18 E- commerce 18 Le frodi sul canale e- commerce vengono eseguite a danno di cliene intestatari di carte Postepay e/o Bancoposta click e sono finalizzate all esecuzione di pagamene online su merchant terzi. Gli scenari fraudolene rilevae sono i seguene: carte Scenario 1 Scenario 2 Il cliente rilascia le proprie credenziali e gli estremi della carta sul sito di phishing di Poste. Il cliente rilascia gli estremi della carta durante una navigazione in rete non sicura. Il frodatore controlla il saldo della carta ed efferua una o più operazioni online, mirate a sorrarre l intero importo giacente sulla stessa. Il frodatore efferua uno o più tentaevi transazionali, poiché non è a conoscenza del saldo della carta. L incremento delle frodi a danno della clientela per spese efferuate su merchant terzi si è prevalentemente concentrato sui sie di bepng. Tali frodi vengono perpetrate tramite i seguene passaggi: 1. APvazione e ricarica conto di gioco 2. Partecipazione a specifici tavoli fra giocatori complici 3. Regolare incasso delle vincite.

19 Case study e- commerce 19 Le principali azioni adorate negli ulemi anni per contrastare il fenomeno delle frodi e- commerce sono state: ü sospensione, dall inizio dell anno 2014, dell operaevità delle carte Postamat Click sui sie di bepng; ü limitazione dell operaevità riguardo determinate merchant category; ü invio OTP via SMS per conferma operazione sui sie di bepng convenzionae con il VPos; ü messa in esercizio di specifiche regole per i sistemi di monitoraggio/deteceon delle transazioni. Di seguito si rappresenta un caso di frode sventata grazie all implementazione della regola temporale BePng 100 sul sistema PROF, che ha permesso di individuare la prima transazione eseguita sulla categoria merceologica BePng 7995, a danno di un cliente (non giocatore abituale) che nel range temporale di 2 sepmane precedene non aveva transato su sie di gioco. La rilevazione dell alert ha permesso di bloccare tempesevamente la carta. L applicazione di tali misure di contrasto ha conseneto di sventare un importo fraudolento pari a circa

20 20 Grazie per l attenzione