Ora la banda del buco colpisce via web Spiati 86 milioni di conti

Immaginate che qualcuno entri da un computer nel vostro conto bancario. Può leggere chi siete: l'indirizzo di residenza, quanti soldi avete, quando e come li avete spesi. Può vedere se avete investito in titoli, e quali, se avete acceso un mutuo; il vostro codice fiscale, magari la posizione Inps. Fantascienza? No. È successo, non a pochi. A 83 milioni di utenti, tra privati e piccole imprese. Clienti di JP Morgan, la più grande banca americana. La quale assicura che «non ci sono prove» che queste informazioni dettagliate «siano state rubate durante il cyber attacco». Non ci sono prove, ma nemmeno è ufficialmente escluso, e se voi foste uno di quegli 83 milioni probabilmente la domanda ve la fareste.

Anzi, la domanda che ora viene naturale è: siamo sicuri che il mio conto è al sicuro? I numeri dicono che nel mondo ci sono 117.300 cyber attacchi al giorno. I crimini connessi alla sicurezza informatica sono cresciuti del 48% in un anno. Mentre gli investimenti delle società per fronteggiare il problema sono diminuiti del 4%. E in Italia (da dove, secondo alcuni quotidiani Usa, sarebbe partito il cyberattacco)? L'Abi rassicura: nella clientela retail il furto di credenziali avviene su un accesso ogni 28mila. Come si verifica? «Per entrare nell'utenza del cliente gli hacker devono avere nome utente e password, che vengono raccolte attraverso malware sul pc della vittima: una volta che il pc ha preso il virus l'hacker controlla i movimenti del cliente, copia le password e le riusa», spiega Romano Stasi del Consorzio Abi Lab, il centro di Ricerca e Innovazione dell'Abi. Entrare nel conto non vuol dire però fare operazioni (infatti nel caso JP Morgan non ci sono state): per queste sono necessari altri passaggi, «ognuno dei quali è protetto», continua Stasi. Le banche richiedono la cosiddetta «strong identity», come la One Time Password , un codice nuovo che si genera a ogni operazione. E ci sono controlli sugli indirizzi IP dei computer: se un utente si connette in genere da Roma e all'improvviso prova a fare operazioni da Honolulu un sospetto viene. Le frodi vere e proprie in Italia vanno in porto in un caso ogni milione e mezzo di accessi. E se gli attacchi sono decisamente in aumento anche da noi, il numero delle frodi resta costante, «perché c'è più attenzione», continua Stasi. Insomma «il rischio c'è ma è gestito, sia dagli istituti di credito, sia dall'utilizzatore», che deve stare attento ai malware, conclude. Nel caso JP Morgan però le cose sono andate diversamente: «Escludo che gli hacker di turno abbiano tampinato una ad una 83 milioni di persone», spiega Corrado Giustozzi, divulgatore specializzato in sicurezza e criminalità informatica. Un attacco così massiccio può avvenire solo entrando direttamente nel sistema con cui la banca amministra i conti dei clienti. Una schermata, come un grande foglio excel, con dentro i dati di 76 milioni di famiglie e 7 milioni di imprese. Ma come? «Grazie a una vulnerabilità del sistema stesso, oppure entrando in possesso delle chiavi d'accesso di qualcuno che ci lavora». Magari con il sistema del malware.

Per quanti meccanismi di sicurezza si possano inventare, una falla c'è sempre. E quindi? Soldi sotto il materasso? «Sarebbe come rifiutarsi di volare perché sono caduti degli aerei», fa notare Giustozzi. Qualcuno lo fa, ma sono una minoranza.

Twitter @giulianadevivo