Furto d'identità digitale: meccanismi e prevenzione

Cos'è il furto d'identità digitale

Il furto d'identità digitale si verifica quando un attore non autorizzato ottiene e utilizza informazioni personali di un'altra persona per impersonarla online, accedere ai suoi account, effettuare transazioni a suo nome o aprire nuovi servizi in suo nome.

Nel contesto finanziario, le conseguenze possono includere l'accesso non autorizzato a conti correnti, l'apertura di linee di credito fraudolente, l'utilizzo abusivo di carte di pagamento e la compromissione di credenziali di home banking. A differenza di un furto fisico, l'utente vittima può non accorgersene per settimane o mesi.

Come si acquisiscono le identità

I dati necessari a impersonare un utente online provengono da fonti diverse, spesso combinate tra loro.

Violazioni di dati (data breach)

Quando una piattaforma online subisce una violazione dei sistemi, i dati degli utenti — compresi indirizzi email, password (spesso in forma hash), numeri di telefono e talvolta dati finanziari — possono essere resi disponibili su forum del dark web o venduti a terzi. Questi database vengono poi utilizzati in attacchi automatizzati che tentano le stesse credenziali su diverse piattaforme finanziarie.

Credential stuffing

Il credential stuffing sfrutta il riutilizzo delle password: se un utente utilizza la stessa coppia email/password su più piattaforme, la compromissione di una piattaforma espone potenzialmente tutte le altre. Strumenti automatizzati testano migliaia di combinazioni di credenziali al secondo su siti bancari e servizi di pagamento.

Malware e keylogger

Software malevoli installati sul dispositivo dell'utente possono registrare le sequenze di tasti (keylogger), acquisire screenshot, o intercettare dati inseriti nei form di accesso bancari prima che vengano inviati cifrati al server. Questi software possono essere distribuiti tramite allegati email, software scaricati da fonti non ufficiali o exploit di vulnerabilità nei sistemi operativi non aggiornati.

SIM swapping

Il SIM swapping è una tecnica in cui il truffatore convince il gestore telefonico a trasferire il numero di telefono della vittima su una SIM in suo possesso. Una volta ottenuto il controllo del numero, può ricevere i codici OTP inviati per l'autenticazione a due fattori e completare l'accesso agli account bancari anche in presenza di credenziali già cambiate.

Raccolta da fonti aperte

Informazioni pubblicamente disponibili sui profili social, nei registri pubblici e nelle piattaforme professionali possono fornire dati sufficienti a rispondere alle domande di sicurezza, costruire messaggi di spear phishing personalizzati o impersonare l'utente in comunicazioni con il supporto clienti bancario.

Account takeover bancario

L'account takeover (ATO) bancario è la fase in cui l'attaccante, avendo ottenuto le credenziali necessarie, assume il controllo dell'account di home banking di un utente reale.

Fasi tipiche di un account takeover

Nella prima fase, l'attaccante accede con le credenziali compromesse, spesso fuori dai normali orari di utilizzo dell'utente. In una seconda fase, se l'autenticazione a due fattori è attiva, tenta di aggirala tramite phishing OTP in tempo reale, SIM swapping o sfruttando vulnerabilità nelle impostazioni dell'account.

Una volta all'interno, le operazioni tipiche includono la modifica dei dati di contatto (email di recupero, numero di telefono), l'aggiunta di beneficiari per bonifici, la riduzione dei limiti di transazione (per non innescare alert), seguita da una o più operazioni di trasferimento fondi verso conti terzi difficilmente tracciabili.

Social engineering verso il supporto clienti

In alcuni casi, l'attaccante contatta direttamente il servizio clienti bancario fingendo di essere il titolare del conto e richiedendo modifiche all'account — come il reset della password o la sostituzione del numero di telefono — sfruttando dati personali raccolti in precedenza per superare le verifiche di identità.

Segnali di compromissione

Riconoscere tempestivamente un furto d'identità o un account takeover limita i danni potenziali. I segnali da monitorare includono:

• Email o SMS di notifica per accessi effettuati in momenti in cui non si stava utilizzando il servizio
• Transazioni non riconosciute nell'estratto conto, anche di importi ridotti (test delle carte)
• Notifiche di modifica delle credenziali o dei dati di contatto non richieste
• Impossibilità di accedere all'account con le credenziali abituali
• Comunicazioni da istituti di credito relativi a richieste di apertura conto o finanziamenti non effettuate
• Mancata ricezione di estratti conto o comunicazioni bancarie abituali
• Attività anomale sulla propria centrale rischi o sul proprio rating creditizio

Misure preventive

La prevenzione del furto d'identità digitale si articola su diversi livelli, che si rafforzano reciprocamente.

Gestione delle credenziali

Utilizzare una password unica e complessa per ogni servizio finanziario riduce drasticamente l'efficacia del credential stuffing. Un gestore di password consente di mantenere credenziali forti senza doverle memorizzare. Le password più robuste combinano caratteri alfanumerici, simboli e hanno una lunghezza di almeno 16 caratteri.

Autenticazione a due fattori robusta

Quando disponibile, preferire l'autenticazione tramite app authenticator (TOTP) rispetto agli SMS, poiché la seconda è vulnerabile al SIM swapping. Alcune banche offrono anche hardware token come secondo fattore, che rappresenta la soluzione più resistente agli attacchi noti.

Monitoraggio proattivo

Controllare regolarmente i movimenti del conto, verificare periodicamente le proprie informazioni nei database di violazioni note (servizi di alert sulle email compromesse) e monitorare il proprio profilo creditizio consente di rilevare anomalie in tempi brevi.

Protezione del numero di telefono

Contattare il proprio operatore telefonico per attivare protezioni aggiuntive contro il SIM swapping — come la richiesta di un PIN o codice segreto per qualsiasi modifica all'account telefonico — riduce il rischio di questo specifico vettore di attacco.

Cosa fare se si sospetta un furto d'identità

Di fronte a segnali concreti di compromissione, è utile seguire una sequenza ordinata di azioni.

1. Contattare immediatamente la banca tramite i canali ufficiali per bloccare l'account e le carte associate
2. Cambiare le credenziali di tutti i servizi finanziari, partendo dal più critico
3. Contattare l'operatore telefonico per verificare eventuali modifiche recenti alla propria SIM
4. Verificare i propri dati nei database di violazioni note tramite servizi di monitoraggio
5. Presentare denuncia alla Polizia Postale, fornendo tutta la documentazione disponibile
6. Consultare la propria centrale rischi per verificare l'apertura di finanziamenti non autorizzati