Nell’ambito delle priorità EMPACT (European Multidisciplinary Platform Against Criminal Threats) la piattaforma Europea contro le minacce criminali di frode online, Europol ha notificato a oltre 400 siti web che le loro piattaforme di e-commerce sono state violate con script dannosi che rubano i dati delle carte di credito dei loro clienti durante gli acquisti.
“Con il supporto delle squadre nazionali di risposta agli incidenti di sicurezza informatica (CSIRT), l’azione di due mesi ha consentito a Europol e ai suoi partner di notificare a 443 commercianti online che i dati delle carte di credito o di pagamento dei loro clienti erano stati compromessi“, si legge nel comunicato stampa.
Coordinata da Europol e guidata dalla Grecia, l’operazione internazionale durata due mesi ha coinvolto le forze dell’ordine di 17 paesi ed enti privati come Group-IB e Sansec, portando alla luce ben 23 famiglie distinte di sniffer JavaScript, tra cui ATMZOW, Health_check, FirstKiss, FakeGA, AngryBeaver, Inter e R3nin.
Il digital skimming
Il digital skimming è l’azione di furto delle informazioni delle carte di credito dei clienti di store online durante la transazione di pagamento. Gli attacchi di skimming digitale sono noti anche come web skimming, e-skimming, formjacking e Magecart.
Un attacco tipico di skimming digitale può essere suddiviso in tre fasi: violazione, iniezione e raccolta dati. I criminali ottengono l’accesso al server di un negozio online o di uno strumento di terze parti, sfruttando vulnerabilità e errori di configurazione. Il codice skimmer viene iniettato nel flusso di pagamento, per carpire i dati delle carte di credito che vengono raccolti in un server presidiato dai criminali.
Come proteggersi
Per mitigare il rischio che un sito web possa veicolare del codice malevolo, è consigliabile per gli utenti:
- avere sistemi antivirus per impedire l’esecuzione arbitraria di codice sospetto;
- provvedere periodicamente all’aggiornamento dei sistemi operativi e dei browser;
- nel caso di acquisti online, affidarsi sempre a store e circuiti di pagamento noti e sicuri. Si consiglia inoltre di controllare gli estratti conto delle carte di credito per eventuali addebiti non autorizzati.
In caso di truffa, non resta altro che denunciare al più presto l’attacco alla Polizia Postale e al proprio istituto bancario per bloccare la carta e sperare di riuscire a recuperare le somme carpite illecitamente. Quando viene scoperta una violazione, ciò causa danni anche alla reputazione del negozio online colpito, perché gli utenti metteranno in dubbio la sicurezza del servizio.
