DPIA

L'attesa è finita
Ailance™ DPIA è qui!

Phishing presso l'autorità fiscale HMRC: danni per 47 milioni di sterline causati da falsi conti fiscali

I truffatori hanno rubato circa 47 milioni di sterline da conti fiscali aperti in modo fraudolento tramite l'Her Majesty's Revenue and Customs (HMRC).
Categorie:

L'Agenzia delle Entrate e delle Dogane di Sua Maestà (HMRC) ha annunciato che i criminali informatici hanno rubato circa 47 milioni di sterline attraverso conti fiscali aperti in modo fraudolento. Oltre 100.000 persone sono state colpite, spesso senza rendersene conto. Non si è trattato di un classico hack, ma di una campagna di social engineering basata sul phishing. Gli aggressori hanno utilizzato dati di accesso legittimi per impersonare i contribuenti e richiedere i rimborsi.

Phishing anziché compromissione tecnica

L'attacco all'HMRC non è stato un tradizionale incidente di sicurezza informatica in cui un sistema è stato compromesso da un malware o è stato utilizzato un exploit tecnico. Si è trattato piuttosto di una sofisticata campagna di phishing.

I criminali hanno inviato e-mail fraudolente per rubare informazioni personali sensibili come nomi, date di nascita e numeri di assicurazione nazionale. Utilizzando queste informazioni, gli aggressori hanno creato in modo fraudolento nuovi conti fiscali presso l'HMRC, normalmente utilizzati dai contribuenti per richiedere i rimborsi o gestire i propri dati fiscali.

Creando questi account falsi a nome di persone reali, gli aggressori hanno tentato di richiedere illegalmente i rimborsi fiscali e di ricevere i pagamenti. L'aspetto particolarmente insidioso è che molte delle persone colpite non avevano mai creato un conto online con l'HMRC e quindi non avevano modo di sapere che si stava svolgendo un'attività fraudolenta a loro nome.

La procedura mostra chiaramente quanto possa essere efficiente l'ingegneria sociale se combinata con una verifica dell'identità inadeguata. Non è stato necessario introdursi tecnicamente nei sistemi, poiché il punto debole risiedeva nella logica di autenticazione e nel presupposto che i dati di login di un'identità reale significassero automaticamente accesso legittimo. È proprio da qui che sono partiti gli aggressori, che sono riusciti a creare un gran numero di account falsi senza rendersene conto.

Risposta e valutazione del rischio da parte di HMRC

In una dichiarazione, l'autorità fiscale britannica HMRC ha espressamente sottolineato che non è stato rubato denaro direttamente ai cittadini interessati. Piuttosto, l'HMRC stesso è stato l'obiettivo degli attacchi. I truffatori hanno utilizzato dati d'identità rubati per richiedere in modo fraudolento rimborsi fiscali e frodare l'autorità per milioni di euro.

Di conseguenza, migliaia di conti compromessi sono stati identificati e bloccati. L'HMRC ha avviato misure per ripristinare la legittimità degli account esistenti e prevenire nuovi abusi. Secondo l'organizzazione, è stato particolarmente difficile distinguere successivamente tra i clienti autentici e gli aggressori, poiché molte delle persone colpite non avevano precedentemente un account online con l'HMRC.

Sono state criticate anche le comunicazioni interne ed esterne dell'HMRC. I membri del Treasury Select Committee hanno appreso dell'incidente solo dalla stampa. Ciò è stato criticato in Parlamento. Queste critiche sottolineano quanto siano essenziali canali di segnalazione chiaramente definiti e una comunicazione trasparente per la gestione delle crisi in questi casi.

Suggerimento di lettura: Attenzione alle frodi dell'ESMA: come proteggersi dalle false identità

Classificazione per consulenti di conformità e IT

Rischio di frode d'identità sulle piattaforme a carattere self-service

Questo incidente sottolinea la necessità di pensare al di là del puro hacking tecnico quando si tratta di piattaforme con un alto livello di automazione (ad esempio, portali fiscali online, app bancarie, self-service per i clienti). L'ingegneria sociale e l'abuso di identità non sono solo un rischio informatico, ma anche un problema di governance.

Il KYC e la verifica dell'identità sono fondamentali anche per le autorità pubbliche.

Il fatto che l'HMRC accetti così facilmente nuovi conti sulla base dei dati acquisiti dimostra le carenze nella verifica dell'identità (Know Your Customer). Gli enti pubblici devono implementare meccanismi come l'autenticazione a due fattori, la biometria o il processo di identificazione video per prevenire tali abusi.

Trasparenza e comunicazione come parte della strategia di compliance

La reprimenda parlamentare all'HMRC per aver scoperto l'incidente solo dai media è un chiaro promemoria per tutte le organizzazioni: anche le comunicazioni interne ed esterne devono seguire un protocollo quando si verificano incidenti informatici. La risposta e la segnalazione degli incidenti dovrebbero essere parte integrante di un piano di sicurezza informatica e di conformità.

Lezioni strategiche apprese dall'incidente HMRC

Il caso HMRC dimostra in modo impressionante che il phishing rimane uno dei vettori di attacco più efficaci utilizzati dai criminali informatici. L'aspetto notevole è che non si è trattato di un classico attacco tecnico, ma gli aggressori sono stati in grado di raggiungere i loro obiettivi attraverso un'abile ingegneria sociale e l'uso improprio di dati di identità rubati. L'incidente chiarisce che le maggiori vulnerabilità non risiedono necessariamente nell'infrastruttura IT in sé, ma spesso in processi organizzativi inadeguati, controlli insufficienti sull'identità e mancanza di consapevolezza.

Non è sufficiente implementare soluzioni tecniche di sicurezza come firewall, crittografia o sistemi di rilevamento delle intrusioni. Occorre piuttosto adottare un approccio olistico alla sicurezza che comprenda anche i fattori organizzativi e umani. Ciò comprende solide procedure di verifica dell'identità, chiari canali di comunicazione e segnalazione interna e programmi di sensibilizzazione continua per tutti i soggetti coinvolti.

Questa prospettiva globale è l'unico modo per costruire una vera resilienza contro le moderne minacce informatiche. L'obiettivo non deve essere solo quello di prevenire gli attacchi, ma anche di rimanere in grado di agire in caso di emergenza per riconoscere, limitare e gestire rapidamente i rischi.

Fonte: Comunicazione dell'HMRC sull'incidente di phishing
Fonte: I truffatori hanno sottratto 47 milioni di sterline all'HMRC con un attacco di phishing (BBC)

Tag:
Condividi questo post :
it_ITItalian