L’agenzia delle entrate britannica HMRC (Her Majesty’s Revenue and Customs) ha reso noto che i criminali informatici hanno sottratto circa 47 milioni di sterline tramite conti fiscali aperti in modo fraudolento. Sono oltre 100.000 le persone coinvolte, spesso all’insaputa delle stesse. Non si è trattato di un classico attacco hacker, bensì di una PhishingCampagna di ingegneria sociale basata su [...]. Gli autori dell'attacco hanno sfruttato credenziali di accesso legittime per spacciarsi per contribuenti e richiedere rimborsi.
Phishing anziché compromissione tecnica
L'attacco all'HMRC non è stato un classico incidente di sicurezza informatica, in cui un sistema è stato compromesso da malware o è stato utilizzato un exploit tecnico. Si è trattato piuttosto di un sofisticato Phishing-Campagna.
I criminali hanno inviato e-mail fraudolente con l’obiettivo di sottrarre informazioni personali sensibili, quali nomi, date di nascita e numeri di previdenza sociale dei cittadini. Utilizzando tali informazioni, gli autori dell’attacco hanno creato in modo fraudolento nuovi account fiscali presso l’HMRC, tramite i quali i contribuenti possono normalmente richiedere i propri rimborsi o gestire i propri dati fiscali.
Creando questi account falsi a nome di persone reali, gli autori dell’attacco hanno cercato di richiedere indebitamente rimborsi fiscali e di incassarli. L’aspetto più subdolo è che molte delle persone coinvolte non avevano mai aperto prima un account online presso l’HMRC e non potevano quindi nemmeno immaginare che a loro nome fossero in corso attività fraudolente.
La procedura mostra chiaramente quanto sia efficiente Ingegneria sociale in combinazione con una verifica dell’identità inadeguata. Non è stato necessario alcun attacco tecnico ai sistemi, poiché la vulnerabilità risiedeva nella logica di autenticazione e nel presupposto che i dati di accesso di un’identità autentica garantissero automaticamente anche un accesso legittimo. È proprio su questo punto che gli aggressori hanno agito, riuscendo così a creare un gran numero di account falsi senza che ciò venisse inizialmente notato.
Reazione e valutazione dei rischi da parte dell’HMRC
L'agenzia delle entrate britannica HMRC ha sottolineato espressamente in un comunicato che non sono stati sottratti fondi direttamente ai cittadini coinvolti. Anzi, è stata proprio l'HMRC stessa l'obiettivo degli attacchi. I truffatori hanno utilizzato dati di identità rubati per richiedere, a scopo fraudolento, rimborsi fiscali e sottrarre milioni all’autorità.
Di conseguenza, sono stati individuati e bloccati migliaia di account compromessi. L’HMRC ha avviato una serie di misure volte a ripristinare la legittimità degli account esistenti e a prevenire nuovi abusi. Secondo quanto dichiarato dall’ente stesso, è stato particolarmente difficile distinguere a posteriori tra clienti autentici e malintenzionati, poiché molte delle persone coinvolte non avevano mai avuto un account online presso l’HMRC.
Sono state inoltre sollevate critiche riguardo alla comunicazione interna ed esterna dell’HMRC. I membri della Commissione speciale del Tesoro hanno appreso dell’accaduto solo dalla stampa. Ciò è stato oggetto di una mozione di censura in sede parlamentare. Queste critiche evidenziano quanto siano essenziali, in casi del genere, canali di segnalazione chiaramente definiti e una comunicazione trasparente per la gestione delle crisi.
Suggerimento di lettura: Attenzione alle truffe legate all’ESMA: ecco come proteggersi dalle identità false
Classificazione per consulenti in materia di conformità e IT
Rischio di abuso di identità su piattaforme di tipo self-service
Questo episodio sottolinea la necessità, nel caso di piattaforme altamente automatizzate (ad esempio portali fiscali online, app bancarie, servizi self-service per i clienti), di guardare oltre il semplice hacking tecnico. Ingegneria sociale L'uso improprio delle identità non rappresenta solo un rischio informatico, ma anche un problema di governance.
Il KYC e la verifica dell'identità sono fondamentali anche per gli enti pubblici
Il fatto che l’HMRC accetti così facilmente nuovi conti sulla base di dati sottratti evidenzia delle lacune nella verifica dell’identità (Know Your Customer). Anche gli enti pubblici devono implementare meccanismi quali l’autenticazione a due fattori, la biometria o la procedura di identificazione video per evitare tali abusi.
Trasparenza e comunicazione come parte della strategia di compliance
La mozione di censura parlamentare nei confronti dell’HMRC, motivata dal fatto che il Parlamento sia venuto a conoscenza dell’incidente solo dai media, costituisce un chiaro monito per tutte le organizzazioni: in caso di incidenti informatici, anche la comunicazione interna ed esterna deve seguire un protocollo prestabilito. La risposta agli incidenti e la segnalazione dovrebbero essere parte integrante di una strategia di sicurezza informatica e Conformità-del piano.
Lezioni strategiche apprese dall'incidente HMRC
Il caso HMRC dimostra in modo impressionante che Phishing rimane uno dei vettori di attacco più efficaci per i criminali informatici. Vale la pena di notare che non si è trattato di un classico attacco tecnico, ma che gli aggressori hanno raggiunto i loro obiettivi grazie ad un'abile Ingegneria sociale e a sfruttare i dati di identità rubati. L'incidente evidenzia che i punti deboli più gravi non risiedono necessariamente nell'infrastruttura IT stessa, ma spesso in processi organizzativi carenti, controlli di identità insufficienti e mancanza di sensibilizzazione.
Non è sufficiente ricorrere a soluzioni tecniche di sicurezza come i firewall, Crittografia o implementare sistemi di rilevamento delle intrusioni. È invece necessario adottare un approccio olistico alla sicurezza, che tenga conto anche dei fattori organizzativi e umani. Ciò comprende solide procedure di verifica dell’identità, chiari canali di comunicazione e segnalazione interni, nonché una continua Consapevolezza-Programmi per tutti i partecipanti.
Solo attraverso questa prospettiva globale è possibile sviluppare una vera resilienza contro le moderne minacce informatiche. L'obiettivo deve essere non solo quello di prevenire gli attacchi, ma anche di mantenere la capacità di agire in caso di emergenza, al fine di individuare, contenere e gestire rapidamente i rischi.
Fonte: Comunicazione dell'HMRC sull'incidente di phishing
Fonte: I truffatori hanno sottratto 47 milioni di sterline all’HMRC con un attacco di phishing (BBC)
German 
English 
Italian 
French