Sportelli bancomat, operazioni illecite e briganti cibernetici. Cresce l’allarme sicurezza, ma le cattive abitudini restano le stesse
Una vecchia pubblicità di un liquore prodotto a Trieste da una storica azienda chiudeva con l’immortale frase: «Il signore, sì, che se ne intende».
E stavolta il commento all’allarme appena ricevuto non può discostarsi dall’espressione del memorabile Carosello. A richiamare l’attenzione, infatti, è chi conosce meglio di tanti altri il contesto e i rischi correlati. Parliamo di sportelli bancomat e dell’ennesima minaccia che ha rannuvolato il cielo. E non lo facciamo noi direttamente, ma riprendiamo un comunicato che arriva da uno dei colossi dell’industria di settore.
A fine giugno, la NCR Corporation ha confermato la persistenza di una micidiale insidia che – manifestatasi in un primo momento nell’area degli Emirati Arabi – si è rapidamente diffusa prima in Europa e poi negli Stati Uniti. In pratica, si tratta dell’ultimo ritrovato criminale per acquisire indebitamente ogni informazione utile per dar luogo a operazioni illecite di prelievo.
Nella fattispecie, l’azione delittuosa prende avvio da un accesso indisturbato a uno sportello ATM, dalla successiva apertura della custodia dell’apparato e dall’intervento “tecnico” proprio dove è alloggiato il lettore di schede. L’indesiderata e pericolosa “miglioria” consiste nell’inserimento – all’interno dei circuiti vitali dell’apparecchiatura – di un dispositivo che ha modo e capacità di intercettare il traffico di dati che viene stabilito tra il lettore di schede e il sistema centrale della rete bancaria.
Un tempo, e non dobbiamo fare voli estremi di tanti anni addietro, la tecnica consolidata prevedeva operazioni meccaniche che potevano essere eseguite solo dopo aver praticato fori o buchi nel rivestimento dello sportello. Roba del passato. Secondo alcuni, cose di medievale retaggio.
I banditi più moderni ed evoluti non hanno bisogno di grimaldelli, trapani o altri strumenti “rustici”, perché la loro condotta approfitta di comode opportunità che non impongono sforzi fisici o abilità manuali.
Infatti, gli apparati bancomat sono accessibili – per la manutenzione – senza imporre cacciaviti e senza richiedere sofisticate chiavi per aprire ancor più eccentriche serrature: come Alì Babà pronunciava il fatidico “Apriti Sesamo”, i tecnici incaricati di intervenire per riparazioni o altre esigenze si avvalgono di un codice segreto in grado di assicurare il totale accesso a ciò che si prospetta inaccessibile.
I vecchi informatici forse hanno già capito dove ci sta portando la nostra chiacchierata. Chi è del mestiere non fatica a immaginare le tanto tradizionali quanto nefaste password di default e sa perfettamente come certe combinazioni (numeriche, alfabetiche e di rado alfanumeriche) non vengano modificate dopo l’installazione, il collaudo e la messa in esercizio di un qualunque marchingegno elettronico. La drammatica sequenza “1234” si profila dinanzi agli occhi atterriti di chi non riesce a darsi ragione di quel che è accaduto e (ci auguriamo non) sta accadendo.
Tralasciamo i dettagli dell’apertura del forziere e guardiamo con un briciolo di attenzione la vera novità. L’aspetto rivoluzionario del modus operandi è la scelta di una fase diversa da quella finora utilizzata con lo skimming. I briganti cibernetici non si inseriscono tra utente e sportello (leggendo quel che l’imperitura banda magnetica riporta) perché conoscono bene gli accorgimenti che produttori e banche hanno progressivamente implementato per impedire quel tipo di “scippo”. Hanno quindi perfezionato la metodologia di acquisizione delle informazioni di interesse, spostandosi allo step successivo che contempla il dialogo tra ATM e circuito bancario…
Inutile quindi coprire la tastiera (magari a rischio di sbagliare il PIN) o controllare l’eventuale “aggiunta” di componenti fraudolenti pronti a carpire quel che serve al momento dell’inserimento della carta bancomat a disposizione. Un suggerimento? Forse incrociare le dita auspicando che tutti abbiano letto le raccomandazioni tecniche di NCR e provveduto di conseguenza.
