Informatica forense · Privati

Come posso verificare se, a seguito di un attacco di phishing, le mie credenziali di accesso sono state effettivamente utilizzate?

La divulgazione di una password e il suo effettivo utilizzo sono due fatti tecnici distinti.

Perché questa domanda è importante per i privati

A seguito di una frode digitale, si combinano danni finanziari, pressioni temporali e incertezze tecniche. Un'indagine ben strutturata può aiutare a mettere ordine tra le prove disponibili e a distinguere le supposizioni dagli eventi effettivamente dimostrabili.

Approccio tecnico di analisi

Verifichiamo i dati disponibili relativi all'accesso, alla sessione, al dispositivo e alla sicurezza degli account interessati e li mettiamo in relazione con il momento in cui si è verificato l'episodio di phishing.

Dove si trova il limite della dichiarazione

Sulla base di un accesso effettuato da un utente sconosciuto non è possibile stabilire con certezza l'identità della persona che agisce senza ulteriori prove.

Perché LanCologne?

Nel caso delle frodi digitali, non conta solo il fatto che manchino dei soldi. Per un’accertamento oggettivo, occorre chiarire quale sequenza tecnica sia effettivamente dimostrabile: è stata aperta una pagina di phishing? Sono state inserite le credenziali di accesso? C’è stato successivamente un accesso riuscito? Un dispositivo è stato compromesso? In che modo è stato autorizzato un pagamento? A quali di queste domande è possibile rispondere con i dati disponibili?

LanCologne tratta questi passaggi separatamente. Un pagamento fraudolento non viene automaticamente considerato una prova della presenza di malware sullo smartphone. Il fatto che una password sia stata resa nota non dimostra ancora che sia stato effettuato un accesso con esito positivo. A sua volta, un accesso effettuato da terzi non identifica automaticamente la persona che lo ha effettuato.

Soprattutto in caso di danni finanziari, è importante disporre di una cronologia chiara. Per questo motivo mettiamo in correlazione notizie, dati del browser e del dispositivo, attività dell’account, avvisi di sicurezza e informazioni sui pagamenti, nella misura in cui siano legittimamente a disposizione del cliente.

Gli scanner automatici, gli screenshot e le schermate visibili delle app possono fornire indizi importanti, ma non vengono considerati prove senza essere prima verificati. Se sono disponibili messaggi originali, file originali o reperti primari, questi hanno solitamente un valore maggiore ai fini della verifica tecnica.

Un risultato attendibile può anche consistere nel constatare che una determinata sequenza di eventi descritta non può essere dimostrata dal punto di vista tecnico. Questa apertura riguardo al risultato è particolarmente importante se il rapporto dovrà essere successivamente presentato a una banca, a una compagnia assicurativa, alla polizia, a un avvocato o a un tribunale.

Il nostro modo di lavorare

1Registrare cronologicamente i danni finanziari e le transazioni controverse.

2Garantire immediatamente la copertura dei conti in sospeso e delle modalità di pagamento.

3Ricevi notizie rilevanti, e-mail, link e file originali.

4Proteggere i dati dei dispositivi e degli account da modifiche evitabili.

5Verificare separatamente il phishing, l'uso improprio delle credenziali, l'uso improprio delle sessioni e la compromissione dei dispositivi.

6Normalizzare i timestamp e i fusi orari in base alla fonte.

7Privilegiare le comunicazioni originali rispetto ai semplici screenshot.

8Non confondere l'assegnazione dell'accesso con quella dei dispositivi e delle persone.

9Valutare separatamente l'autorizzazione al pagamento e l'attività tecnica del dispositivo.

10Verificare le controipotesi e le spiegazioni tecniche più comuni.

11Indicare le lacune nei dati e le informazioni sui fornitori non disponibili.

12Documentare in modo chiaro il risultato principale e illustrare in modo comprensibile il ragionamento tecnico alla base.

Non tutti i pagamenti fraudolenti significano che il dispositivo sia stato hackerato

Il phishing, il social engineering, i dati di accesso rubati, le sessioni compromesse e un’effettiva infezione del dispositivo sono scenari tecnicamente distinti. Esaminiamo queste possibilità separatamente e illustriamo solo lo svolgimento dei fatti che risulta dagli dati disponibili.

La priorità è limitare rapidamente i danni

Se sono ancora in corso movimenti di denaro o abusi sui conti, è necessario mettere immediatamente in sicurezza la banca, il servizio di pagamento, la carta e i conti interessati. L’indagine forense va pianificata tenendo conto di ciò; non deve prolungare artificialmente ulteriori danni che potrebbero essere evitati.

Perché LanCologne dopo una truffa digitale?

LanCologne non cerca di trasformare un danno finanziario in una storia di aggressione il più drammatica possibile. Ricostruiamo le fasi tecnicamente dimostrabili, documentiamo le fonti originali e i limiti delle testimonianze e elaboriamo il risultato in modo che sia comprensibile per il cliente e tecnicamente verificabile per l’avvocato, la banca, l’assicurazione o le autorità investigative.

Quadro giuridico

A seconda dei fatti, possono essere coinvolte diverse norme penali. L’articolo 263 del Codice penale tedesco (StGB) riguarda la frode, mentre l’articolo 263a dello stesso codice riguarda la frode informatica. L’articolo 263a comprende, tra i suoi presupposti, in particolare i danni patrimoniali causati dall’influenza esercitata su un processo di elaborazione dei dati, ad esempio mediante l’uso non autorizzato di dati. Quale norma sia applicabile nel caso concreto è una questione giuridica che non spetta al perito informatico decidere.

Nel caso di account compromessi, possono inoltre trovare applicazione gli articoli 202a e seguenti del Codice penale tedesco (StGB). In caso di documenti digitali manomessi, alle condizioni previste dalla legge, può assumere particolare rilevanza l’articolo 269 del Codice penale tedesco (StGB) relativo alla falsificazione di dati probatori. Tuttavia, l’accertamento tecnico che un file o un messaggio sia stato modificato non fornisce automaticamente una risposta in merito a tutti gli elementi costitutivi del reato né all’identità dell’autore.

Per le persone coinvolte, dopo aver subito una frode in corso, è fondamentale innanzitutto limitare i danni. La polizia e il BSI raccomandano, in caso di account violati e phishing, di adottare rapidamente misure di protezione e, al contempo, di documentare le prove digitali rilevanti. Il backup forense non deve ritardare i necessari blocchi di conti, carte o canali di pagamento.

In caso di controversie relative ai pagamenti, possono inoltre entrare in gioco questioni di diritto civile e di diritto dei servizi di pagamento. Spetta all’autorità giudiziaria valutare se un pagamento fosse autorizzato, se siano stati violati gli obblighi di diligenza o se sussista un diritto al rimborso. LanCologne può esaminare a tal fine gli elementi tecnici e la cronologia dei fatti, ma non sostituisce la consulenza legale e non decide in merito all’obbligo di rimborso.

Una perizia informatica forense commissionata da privati può documentare in modo comprensibile gli aspetti tecnici per avvocati, banche, compagnie assicurative o autorità investigative. Essa non sostituisce né i poteri investigativi delle autorità né la valutazione delle prove da parte del giudice.

Domande frequenti

Come posso verificare se, a seguito di un attacco di phishing, le mie credenziali di accesso sono state effettivamente utilizzate?

Come si svolge in pratica un’indagine tecnica di questo tipo?

Una ricerca di questo tipo può sempre fornire un risultato inequivocabile?

Sulla base di un accesso effettuato da un utente sconosciuto non è possibile stabilire con certezza l'identità della persona che agisce senza ulteriori prove.

Esiste una base giuridica in merito?

A seconda dei fatti, possono essere coinvolte diverse disposizioni di diritto penale. L’art. 263 del Codice penale tedesco (StGB) riguarda la frode e l’art. 263a dello stesso codice la frode informatica. L’articolo 263a, nei casi in cui ne sussistano i presupposti, disciplina in particolare i danni patrimoniali causati dall’influenza esercitata su un processo di trattamento dei dati, ad esempio mediante l’uso non autorizzato di dati. Quale norma sia applicabile nel caso concreto è una questione giuridica che non spetta all’esperto di informatica forense decidere. In caso di account compromessi, possono inoltre essere rilevanti gli articoli 202a e seguenti del Codice penale tedesco (StGB). In caso di documenti digitali manipolati, alle condizioni previste dalla legge, può assumere particolare rilevanza l’articolo 269 del Codice penale tedesco (StGB) relativo alla falsificazione di dati rilevanti ai fini probatori. L’accertamento tecnico che un file o un messaggio sia stato modificato non risponde tuttavia automaticamente a tutti gli elementi costitutivi del reato né rivela l’identità dell’autore. Per le persone coinvolte, in caso di frode in corso, è innanzitutto fondamentale limitare il danno. La polizia e il BSI raccomandano, in caso di account hackerati e phishing, di adottare rapidamente misure di sicurezza e, al contempo, di documentare le prove digitali rilevanti. Un’operazione di salvataggio forense non deve ritardare i necessari blocchi di account, carte o canali di pagamento. In caso di pagamenti contestati, possono inoltre entrare in gioco questioni di diritto civile e relative ai servizi di pagamento. Spetta all’autorità giudiziaria valutare se un pagamento fosse autorizzato, se siano stati violati gli obblighi di diligenza o se sussista un diritto al rimborso. LanCologne può esaminare a tal fine i fatti tecnici e la cronologia degli eventi, ma non sostituisce la consulenza legale e non decide in merito all’obbligo di rimborso. Una perizia informatica forense commissionata a titolo privato può documentare in modo comprensibile i nessi tecnici per avvocati, banche, assicurazioni o autorità investigative. Essa non sostituisce né i poteri investigativi delle autorità né la valutazione delle prove da parte del giudice.