Olimpo Informatico

[Zeus News]

Leggi l'articolo Tutti gli home banking sono a rischio, se usi Facebook
Cassandra Crossing/ Tutti gli italiani che possiedono account Facebook e conto corrente con home banking sono in pericolo: vi spiego perché.


 

 

Segnala un refuso

[pentolino]

Per fortuna il mio numero personale non è stato coinvolto, forse perché non lo ho mai messo su FB (per quanto il sito insista a farmelo mettere).

Ma mi è venuto lo scrupolo di verificare anche il numero di lavoro e quello c'è (per lavoro mi è capitato di dovere fare dei test su FB ed ho appunto usato quel numero). Boh penso che lo cambierò, tanto non è che mi contattino tanto spesso...

[{non duco ducor}]

"Di chi è la colpa? Sicuramente ci sono alcuni più responsabili di altri che dovranno rispondere di tutto ciò; ma ancora una volta, a dire la verità, se cercate il colpevole... non c'è che da guardarsi allo specchio."
Credo che questo non sia il caso.
Molti di noi usano o hanno usato FB per lavoro, perché i clienti non arrivano come dono dal cielo.
Credo che Facebook abbia la totale responsabilità di custodire i nostri dati, cosa che non ha fatto come doveva.
Un ritardo di anni, nel comunicare o, peggio del peggio, per accorgersi dell'avvenuto è poi ingiustifcabile per qualsiasi azienda; un'azienda informatica, poi....
Purtroppo ubi maior minor cessat, ed è questa l'unica legge che alla fine vale nelle nostre civilissime società.
Da alcune migliaia di anni.

[zero]

[SverX]

ha senso se hai necessità di confermare il sospetto che il dato (numero di telefono per esempio) faccia parte di quelli compromessi.

non ha senso (o ne ha molto meno comunque) se non avete mai usato facebook o whatsapp

per il resto HaveIBeenPwned ha una reputazione, e oltretutto del vostro numero di telefono senza nessun altro dato insieme non se ne farebbe niente

[m.lana]

stavo pensando 2 cose:

1) ok (argh!) mi hanno preso il numero del cellulare
ma l'autenticazione a 2 fattori non è compromessa finché ID e PW non sono pwned. o no?

2) perché le banche, tutte, ci hanno fatto abbandonare le chiavette che generavano l'OTP? che erano più sicure, mi sembrerebbe

maurizio

[ilmanowar]

@m.lana, purtroppo no, sto ricevendo molti messaggi SMS da banche e aziende di spedizioni con cui non ho recenti legami in cui mi invitano gentilmente a cliccare sul loro link per installare il loro troyan.

Quindi la ID e PW sarebbe facile da avere da persone meno attente che usano lo smartphone per queste cose.

Aggiungo che stiamo messi veramente male. I suggerimenti nell'articolo sono più che appropriati.

[m.lana]

capisco. io stavo pensando ...egoisticamente al mio caso.
se cambio ID e PW per l'accesso al conto online, chi ottenesse l'OTP che la banca mi manda per SMS non se ne farebeb nulla dal momento che non ha l'ID e la PW.
o c'è qualcosa che mi sfugge?
m

[ilmanowar]

@m.lana, senza offese, ma perché il tuo caso sarebbe diverso dal resto del mondo?

Come fai a sapere che non sapranno anche solo la tua ID? Potrebbero richiedere il reset della password avendo tutti i tuoi dati personali. Per questo alle domande per il reset si risponde con cose false quando si può, purtroppo le banche non sempre te lo lasciano fare.

I punto è che hanno vanificato, su larga scala, un metodo, che per quanto imperfetto, era efficace per aumentare la sicurezza. Si ritorna indietro di anni e non riconoscere il problema e' il modo migliore per diventare vittime.

Come fai ad essere sicuro che il tuo PC e smartphone non siano stati bucati? Hai Android? Hai Windows? Hai mai usato un PC non tuo per il banking per motivi di tempo? Hai mai salvato le credenziali sul tuo browser di fiducia? Hai mai installato un correttore remoto come Grammarly?

Oppure ha sempre usato una distribuzione live di Linux sicura per entrare in banca?

Cambiare la UN e PW non aiuta molto.

[ilmanowar]

Altra cosa da tenere in conto.

Non si salvano le banche che usano le app come secondo fattore di autenticazione.

Le app per il banking si possono reinstallare su nuovi telefoni se hai il telefono per ricevere gli sms. Ho provato recentemente, a seguito di un cambio di telefono, per due banche. Fila tutto liscio senza nemmeno una notifica sul vecchio telefono. Questo perché rendono facile la procedura in caso di furto del telefono.

[ilmanowar]

Altra domanda relativa al fatto che dovremmo usare solo una live Linux per essere sicuri:

Hai Javascript attivo?

JS è il male e delizia di internet. In pratica dai il permesso di eseguire programmi sul tuo PC con un linguaggio complesso e tendenzialmente vulnerabile.

Quindi in linea teorica entrare in un qualsiasi sito, governativo o non, conosciuto o non, non ti permette di essere certo che tu non abbia pre-installato un keylogger.

Non puoi fidarti nemmeno dei siti di cui ti fidi normalmente (banche incluse perché potrebbero essere bucati per altre vie e a proposito).

Stesso discorso vale per tutti i plugin che hai installati per il tuo browser.

Se hanno messo una cosa simile serviva e tanto (sui grandi numeri le banche sanno cosa significa).

[zero]

[zero]

Vorrei aggiungere una considerazione.
L'accesso al conto corrente online lo facciamo usando gli strumenti che la banca ha considerato sicuri e che ci ha fornito.

Se la banca, per il servizio "non ricordo la password" usa dei banali sms, e poi mi svuotano il conto, la responsabilita' DEVE ricadere sulla banca (che non ha scelto strumenti idonei) e non su di me (che li ho semplicemente usati).

In altre parole, se pistola alla mano rapinano la banca, chi ci rimette e' la banca. E lo stesso concetto deve valore per le rapine informatiche.

[R16]

zero ha scritto:

[SverX]

credo che il problema del token senza tastiera fosse che basta sottrarlo per poterlo utilizzare, senza la necessità di essere a conoscenza di un 'segreto' (il PIN)

quando ho aperto il conto corrente qui (UK) mi hanno chiesto se avevo uno smartphone Apple o Android - no, non ce l'ho - e quindi mi hanno dato un generatore di token con tastierino. In Italia in banca avevo invece l'autenticazione a due fattori, con telefonata e codice.

non credo però che tutte le banche (qui o in Italia) siano obbligate a fornirlo, in teoria potrebbero anche dirti "eh, niente smartphone - niente conto, rivolgiti ad altri!"

[eratostene]

[Maary79]

[Maary79]

[Maary79]

[Maary79]