Il report “L’economia sommersa dei dati” rivela le fasce di prezzo dei dati rubati acquistati e venduti nei marketplace dei criminali informatici
Intel Security ha rilasciato il report L’economia sommersa dei dati (The Hidden Data Economy), che raccoglie numerosi esempi di come diversi tipi di dati rubati vengono venduti e indica i prezzi per ogni tipologia di dati. McAfee Labs di Intel Security Group ha esaminato i listini dei prezzi per i dati relativi a carte di credito e di debito rubate, credenziali di accesso ai conti bancari, ai servizi di bonifico bancario, di trasferimento di denaro, credenziali di accesso ai servizi di pagamento on-line, a servizi di contenuti premium, reti aziendali, conti fedeltà e servizi di aste online.
“Come ogni economia regolamentata ed efficiente, l’ecosistema del cybercrime si è rapidamente evoluto per offrire molti strumenti e servizi per chiunque aspiri a un comportamento criminale”, ha dichiarato Raj Samani, CTO di Intel Security EMEA. “Il mercato del “cybercrime-as-a-service” è stato uno dei principali driver che hanno guidato la crescita esponenziale delle dimensioni, della frequenza e della gravità degli attacchi informatici. Lo stesso si può dire per la proliferazione di modelli di business consolidati per vendere i dati rubati e ottenere guadagni dal crimine informatico”.
“Dal report emerge come la criminalità informatica sia ormai arrivata alla portata di tutti, anche ai poco esperti di tecnologia” ha aggiunto Ferdinando Torazzi, Regional Director Italia e Grecia, Intel Security “per questo oggi la battaglia contro il cybercrime deve essere attuata su base continuativa, adottando interventi più mirati. La certezza è che il cybercrime esiste ed è in grado di proporsi come un business, e che è arrivato il momento di passare all’offensiva e non stare sulla difensiva. Noi collaboriamo con l’European Cybercrime Centre (EC3) dell’Europol per contribuire con le nostre competenze ad affrontare in modo efficace il problema del crimine informatico.”
Nel corso degli anni, i ricercatori di McAfee Labs hanno collaborato con vendor di soluzioni per la sicurezza IT, forze dell’ordine e terze parti per identificare e valutare numerosi siti web, chat room e altre piattaforme online, community e marketplace in cui i dati rubati vengono acquistati e venduti. Sulla base di questa esperienza, gli studiosi hanno poi elaborato una valutazione globale sullo “stato dell’economia della criminalità informatica” includendo dettagli sui tipi di dati messi in vendita e sui prezzi.
Carte di pagamento
I dati relativi alle carte di pagamento sono forse il tipo di dati rubati e venduti più conosciuti. I ricercatori di McAfee Labs hanno individuato una gerarchia di valore nel modo in cui a questi dati rubati vengono assegnati i prezzi, in cui vengono poi messi a catalogo e in cui, infine, vengono venduti sul mercato nero. Un’offerta di base comprende il numero di conto principale, (primary account number PAN), la data di scadenza e il codice CVV2. I venditori si riferiscono alla combinazione di numero valido con il termine “Random”. Generatori d numeri di carte di credito valide possono essere acquistati o reperiti gratuitamente in rete.
I prezzi aumentano quando l’offerta comprende ulteriori informazioni permettendo ai criminali di realizzare più cose con i dati a disposizione. Per esempio, dati come il numero di conto bancario, la data di nascita della vittima e informazioni classificate come “Fullzinfo”, compresi l’indirizzo di fatturazione della vittima, il codice PIN, il numero di previdenza sociale, la data di nascita, il nome da nubile della madre e anche il nome utente e la password utilizzati per accedere, gestire e modificare l’account online del titolare della carta.
La tabella illustra i prezzi medi delle informazioni relative a carte di credito e di debito in tutte le regioni, in base alla combinazione dei dati disponibili:
| Numero della carta di
pagamento con codice CVV2 |
Stati Uniti | Regno Unito | Canada | Australia | Unione Europea |
| Generato da software | $5-$8 | $20-$25 | $20-$25 | $21-$25 | $25-$30 |
| Con identificativo bancario | $15 | $25 | $25 | $25 | $30 |
| Con data di nascita | $15 | $30 | $30 | $30 | $35 |
| Con Fullzinfo | $30 | $35 | $40 | $40 | $45 |
Stima dei prezzi, in dollari americani, per i dati di ogni carta di pagamento rubata
“Un criminale in possesso dell’equivalente digitale della carta fisica può effettuare acquisti o prelievi fino a quando la vittima non contatta l’esercente per bloccare gli acquisti”, ha concluso Samani. “Se pensiamo che i criminali possono utilizzare una serie così estesa di informazioni personali per ‘verificare’ l’identità del titolare della carta, o peggio ancora per consentire accedere al conto e modificare le informazioni, il rischio di gravi danni finanziari cresce in modo preoccupante”.
Account dei servizi di pagamento online
Il prezzo per gli account dei servizi di pagamento online sembra essere dettato unicamente dal saldo del conto. Ciò è probabilmente dovuto alle limitate possibilità di utilizzarli. Le credenziali di accesso degli account che contengono tra i 400 e i 1.000 dollari sono stati stimati intorno ai 20 e 50 dollari, mentre le credenziali di accesso per gli account che contengono da 5.000 a 8.000 dollari vanno da 200 a 300 dollari.
Credenziali di accesso ai conti correnti bancari
I criminali informatici possono acquistare le credenziali di accesso ai servizi bancari che consentono loro di trasferire di nascosto fondi rubati attraverso i confini internazionali. McAfee Labs ha rilevato che un un conto bancario con saldo sui 2.200 dollari può valere fino a 190 dollari. Il costo delle credenziali di accesso al conto in banca unito alla possibilità di trasferire di nascosto denaro verso banche negli Stati Uniti si aggira tra i 500 dollai per un conto con saldo 6.000 dollari, a 1.200 dollari per un conto con saldo di 20.000 dollari. La possibilità di trasferire denaro nel Regno Unito varia da 700 dollari per un saldo del conto di 10.000 dollari, a 900 dollari per un saldo del conto di 16.000 dollari.
Contenuti premium online
Il report ha anche preso in esame i prezzi al mercato nero delle credenziali degli account di accesso ai servizi di contenuti online come il video streaming online (da 0,55 a 1 dollaro), servizi di streaming premium via cavo (7,50 dollari), servizi di fumetti premium (0,55 dollari) e lo sport in streaming professionale (15 dollari). Questi prezzi relativamente bassi indicano che i criminali informatici hanno portato avanti operazioni di furto automatizzate per rendere redditizzi i loro modelli di business.
Conti fedeltà e aste online
Alcuni servizi online, come le credenziali di login di conti fedeltà degli alberghi e gli account delle aste online, sembrano essere obiettivi a basso valore, ma i ricercatori hanno scoperto che anche queste credenziali vengono vendute dai criminali informatici. A quanto pare, questi consentono ai criminali di effettuare acquisti online fingendosi le loro vittime. I ricercatori di McAfee Labs hanno rilevato che un conto fedeltà di un grande albergo con 100.000 punti costa 20 dollari, mentre un account di una community di aste online con una buona reputazione si vende a un prezzo di 1.400 dollari.
