Ladri di identità

[Attenzione: articolo del 2004]

In Rete si sta diffondendo un nuovo tipo di crimine informatico: l’“identity theft”…

In passato era difficile assumere l’identità di qualcun altro: accadeva solo nei romanzi di spionaggio e di fantascienza. Da quando il denaro è diventato di plastica, sotto forma di carta di credito, il furto di identità è invece decisamente più facile e, soprattutto, più “fruttuoso”.

Del resto, Internet costituisce uno strumento molto efficace per lo scambio di informazioni ma, come rovescio della medaglia, rappresenta anche una succelenta opportunità per i furfanti che vogliono impossessarsi dei vostri dati, per prendere il vostro posto. Se non avete ben compreso di cosa stiamo parlando, provate a rivedere il film “The Net”. In una scena, Sandra Bullock va alla reception di un albergo, vuole ritirare le chiavi della sua stanza, ma il terminale dice che è già uscita. Questa è finzione cinematografica, certo, ma in fondo quello che accade con l’“identity theft” (furto d’identità) è proprio questo: visto che ormai siamo tutti dei “netizen” (cittadini della Rete), basta appropriarsi di una serie di dati per prendere il posto di un’altra persona (tecnica definita “spoofing”), clonandone l’identità. Si arriva al paradosso di dover dimostrare di essere se stessi!

I nuovi criminali non si limitano a rubare il vostro nome: secondo i dati della “Federal Trade Commission” (www.ftc.gov), grazie queste nuove tecniche, sono stati rubati 200 miliardi di dollari. Il fenomeno, purtroppo, è in crescita anche in Europa. In Italia, per quanto il problema non abbia ancora raggiunto una dimensione rilevante come negli USA, il furto d’identità è una minaccia in pericoloso aumento, e sempre più spesso viene perpetrato nel mondo “reale”.

Non lasciatevi prendere dal panico, però: esistono modi per proteggere la propria identità, dentro e fuori la Rete. Questo articolo vi spiegherà come i criminali rubano l’identità delle persone, le misure che si possono prendere per combattere il problema, e i modi per individuare e mettersi al riparo da qualsiasi danno compiuto contro la vostra reputazione o il vostro portafoglio.

Il crimine invisibile

Il furto di identità avviene quando qualcuno assume la vostra identità per acquistare un bene. È diventato un problema serio poiché, dal punto di vista del venditore, l’acquisto appare legittimo. Il non onorare gli accordi stretti in vostro nome potrebbe influenzare la vostra possibilità di ottenere credito in futuro, anche se non avete avuto nulla a che vedere con l’affare. Per il criminale, il furto di identità è una questione di puro guadagno. Per la vittima, il furto della valigia, del portafogli o del denaro è già un’esperienza abbastanza traumatica, cui si aggiunge la ripercussione di dover convincere i negozianti, l’emittente della carta di credito e la polizia che gli autori del crimine sono altri.

Le truffe non sono certamente una novità, e i problemi più gravi il più delle volte hanno come causa un incauto utilizzo della Rete. La forma più comune di truffa sulla carta di credito, che causa circa il 35% delle perdite totali per truffa, è la “clonazione”, in cui i dati registrati sulla banda magnetica sul retro della carta di credito vengono copiati su una carta falsa o venduti ad acquirenti in giro per il mondo. Questo avviene il più delle volte nei bar e ristoranti, quando la carta viene sottratta al vostro sguardo durante il pagamento del conto. A un giornalista inglese un’uscita al ristorante è costata più di un migliaio di euro, quando il “gentile” cameriere di un ristorante gli ha clonato la carta di credito e si è poi recato a Istanbul a fare spese pazze. Fortunatamente la banca aveva notato alcune discrepanze, come il fatto che in quel momento il giornalista si trovava a Londra, e lo rimborsò. Rimase famoso il caso di Derek Bond, un pensionato inglese che non fu altrettanto fortunato, e passò tre settimane in una cella sudafricana prima che l’FBI si rendesse conto che era la vittima di un furto di identità.

In realtà non è nemmeno necessario che la vostra carta venga rubata. Sugli estratti conto bancari sono presenti dati sufficienti da permettere ai criminali di costruirsi un quadro finanziario delle proprie vittime solo frugando tra la spazzatura. Secondo l’agenzia di vigilanza sul credito Experian (www.experian.it), 53 autorità locali sulle 71 da loro contattate ha riferito di razzie tra la spazzatura nella propria area. Le informazioni possono essere passate anche da impiegati corrotti nelle banche o nei grandi magazzini, dove i dati personali e finanziari dei clienti vengono archiviati.

Certo anche Internet ha aperto nuove, ampie strade al crimine. Tuttavia Neil Barratt, professore di criminologia informatica e direttore dell’azienda di sicurezza informatica Information Risk Management, sottolinea che: “Sia un furto tecnologico di identità, o sia la falsificazione di una firma, restano pure e semplici truffe”. Amazon ed eBay sono state le vittime più recenti, e la seconda è incorsa in un’azione di mirroring. Questo significa che i truffatori hanno allestito dei siti dall’aspetto quasi identico a quello della popolare casa d’aste telematica. Poi hanno spedito ai clienti di eBay delle e-mail che chiedevano loro di inviare i propri dati e le proprie password al finto sito, con la scusa di un problema tecnico al loro sistema di pagamento.

Fortunatamente per i 55 milioni di clienti di eBay la truffa è stata rapidamente smascherata; tuttavia, è relativamente facile per i truffatori allestire un finto sito con un indirizzo Internet simile a quello della controparte reale, ed esistono numerosissime pagine Web e canali di chat dedicati alla vendita dei dati di carte di credito.

La dolce trappola

Il progetto Honeynet (http://project.honeynet.org) è costituito da un gruppo di tecnici esperti di sicurezza che si è dato lo scopo di monitorare le attività illegali su Internet. I ricercatori hanno costruito siti progettati per attirare i criminali, proprio come un’operazione di polizia “sotto copertura”. Le esche appaiono come comuni siti commerciali, insufficientemente protetti. Gli hacker utilizzano programmi che automaticamente individuano e riferiscono i buchi nella sicurezza dei siti. Così pensano di aver trovato una miniera d’oro, senza sapere che gli specialisti antifrode e la polizia li stanno osservando come topolini in laboratorio, studiando le loro abitudini e imparando come nascondono le proprie tracce.

Anche se le esche raramente permettono di scoprire l’identità dei criminali, rivelano in modo estremamente dettagliato i loro metodi, le tattiche e, spesso, anche le specifiche identità di cui si abusa. Queste informazioni sono molto utili per le vittime, poiché forniscono la prova che qualcun altro sta usando la loro identità per commettere un crimine. Ma cosa si può fare per impedire ai truffatori che accedano alle informazioni personali?

Una soluzione è quella delle “carte intelligenti”, e alcuni degli schemi adottati sembrano avere avuto successo. Alcune delle nuove carte emesse da BarclayCard, MasterCard, American Express, HSBC, Egg, Switch e Visa contengono chip “intelligenti”, molto più difficili da clonare delle attuali strisce magnetiche. Come ulteriore protezione, ai clienti viene richiesto di digitare un codice speciale, senza farsi vedere dal cassiere, quando effettuano un acquisto, invece che fare una firma che può essere facilmente copiata.

Anche se le nuove carte non sono infallibili, e non possono impedire le truffe via Internet o il furto di dati dalla spazzatura, la polizia ritiene che possano impedire fino al 50% dei furti di identità. Molti importanti rivenditori stanno già partecipando alla sperimentazione, e si ritiene che presto tutte le carte di credito adotteranno il nuovo sistema, già utilizzato in alcuni paesi europei, nel giro di pochi anni.

Altre possibili soluzioni sono proposte, per esempio, da Actalis (www.actalis.it), la società fondata da SIA (Società Interbancaria per l’Automazione) e SSB (Società per i Servizi Bancari), un punto di riferimento in tema di firma digitale e sicurezza. Tra le soluzione proposte, segnaliamo l’utilizzo delle cosiddette “one time password” (OTP): la password “usa e getta” è generata da un piccolo dispositivo hardware con display; una volta utilizzata per effettuare il login o trascorso un breve lasso di tempo, scade e non sarà più valida. Questo esclude la possibilità di utilizzo di password intercettate tramite tecniche di “sniffer” o altri metodi.
Riprendere possesso del proprio nome

Cosa succede alle vittime? Individuare la frode spesso richiede tempo, anche perché gli estratti conto della banca e della carta di credito pervengono mensilmente. Experian, che ha formato una squadra speciale per aiutare le vittime delle frodi, raccomanda ai consumatori non solo di esaminare attentamente gli estratti conto, ma anche di tenere nota di quando arrivano e di quando è atteso il prossimo. I truffatori a volte possono intercettare la posta, perciò è opportuno informarsi presso le poste nel caso in cui l’atteso estratto conto ritardi più di qualche giorno.

Il momento in cui la maggior parte delle vittime viene messa in allarme è qualche tempo dopo che il crimine è stato commesso. A quel punto, è affare della vittima dimostrare all’agenzia di credito, alla banca e talvolta alla polizia che è un truffatore il responsabile dei misfatti finanziari che hanno portato il conto in rosso.

In queste situazioni, è la vittima a portare il fardello, e può essere necessario un grande sforzo per ristabilire la propria reputazione: una media di 300 ore per risolvere il problema, che in qualche clamoroso caso si parla di tre anni. Tuttavia agire rapidamente può migliorare la situazione.

Se la vostra carta è stata rubata, o se notate voci insolite sull’estratto conto, il primo passo è sempre contattare il più rapidamente possibile l’organizzazione che ha emesso la carta e la polizia. È anche consigliabile richiedere un’informativa sul credito, che includa le vostre recenti richieste di carte di credito e gli estratti conto degli ultimi sei anni.

Prevenzione e attenzione sono la miglior misura contro il furto di identità. Anche se molti concordano sul fatto che la legge dovrebbe sforzarsi di costringere i truffatori a rimborsare le loro vittime, la protezione delle informazioni dipende in fondo dai singoli individui. Meno sono le fonti di informazioni personali lasciate a disposizione, meno sono le possibilità che vengano rubate. Qualunque cartaccia che potrebbe essere usata da un truffatore, come scontrini ed estratti conto, va sempre distrutta, e la posta non richiesta, elettronica e non, non deve mai ricevere risposta.

Non concedete mai le vostre informazioni personali finché non avrete avuto conferma dell’identità della ditta con cui state trattando. Su Internet, non trasmettete informazioni se non siete certi che la connessione sia sicura. Non siate vittime delle cosiddette tecniche di “social engineering”!

Anche se non esiste un metodo infallibile per evitare il furto di identità, tenete presente che i criminali possono lavorare solo con le informazioni che noi diamo loro. Naturalmente i truffatori cercheranno sempre di rimanere un passo più avanti delle loro vittime e della legge; tuttavia, seguendo i consigli qui presentati, farete un grosso passo avanti nel mantenere al sicuro la vostra reputazione e, soprattutto, il vostro denaro.

Proteggete la vostra identità

• Facendo acquisti on-line, accertatevi di navigare in una sezione sicura del sito (una finestra di  dialogo dovrebbe avvertirvi quando vi entrate o ne uscite. Inoltre l’immagine di un lucchetto dovrebbe apparire in basso nella finestra del vostro browser, e l’inizio dell’indirizzo Web dovrebbe essere “https” invece che “http”.
• Cambiate regolarmente le password del computer e dei siti che visitate, e usate password diverse per ogni sito.
• Non rispondete mai a e-mail che richiedono informazioni personali e finanziarie.
• Controllate gli estratti conto della banca e della carta di credito in cerca di discrepanze.
• Distruggete tutti gli estratti conto e gli scontrini, invece che buttarli semplicemente via.
• Se usate la “banca on-line”’, approfittatene per tenere sotto costante controllo i movimenti del vostro conto.
• Cancellate le e-mail di ricevuta di ogni singola transazione che avete compiuto. Spesso i ladri vendono le informazioni personali trovate nei computer rubati, oltre che i computer stessi.
• Cancellate (formattandolo) il vostro disco fisso nel caso in cui lo vendiate o lo cediate.

Proteggete il vostro nome

• Se qualcuno vi chiede informazioni personali o finanziare per telefono, chiedete un numero telefonico da richiamare più tardi e controllate a chi appartiene.
• Se una ditta vi chiede conto di un debito di cui non sapete nulla, mettetevi immediatamente in contatto con loro. Se scoprite che qualcuno ha usato il vostro nome per ottenere beni e servizi, anche usando un vostro precedente indirizzo, dovreste avvertire immediatamente la polizia, in quanto si tratta di un reato.
• Fate attenzione alla data in cui arrivano gli estratti conto, per vedere se hanno un ritardo insolito. Contattate le poste se ritenete ci siano problemi
• In caso di smarrimento contattate immediatamente l’emettitore della carta. Se è stata rubata, contattate anche la polizia.
• Se siete stati vittima di un furto di identità, contattate un’agenzia di vigilanza sul credito per ottenere un’informativa sul credito. Più rapidamente agirete e maggiore sarà il vostro sforzo iniziale, più rapidamente il caso sarà affrontato e il problema risolto.