Banconote segnate, rubate o false, riconoscerle è difficile se non impossibile nel caso di banconote rubate o segnate. Impossibile si per una persona non per un computer.

come al solito le informazioni sono registrate da qualche parte: sul sito del ministero dell'interno http://coordinamento.mininterno.it/servpub/ver2/Banconote/cerca_banco.htm e quindi in un database presso il ministero.

Proviamo a usare la grande rete Internet e l'interconnessione di cui si sente tanto parlare ma che ancora si vede poco: mettiamo i self service dei distributori di benzina, dei biglietti dell'autobus, dei parchimetri, in rete collegati con un site del ministero per la verifica delle banconote.

Questi strumenti sono già in grado di riconoscere le banconote vere da quelle false ma collegati alla grande rete potrebbero non accettare banconote con numeri di serie corrispondenti a banconote rubate o segnate.

Proviamo ora a mettere questo tipo di controllo alla cassa di uno sportello bancario.

Diciamo che l'interazine sarebbe altissima è vero  ma sarebbe enorme il guadagno che aziende e la società ne farebbero.


Al prossimo post

Carte prepagate con IBAN questa è l'ultima moda delle banche italian.Sono comode perchè hanno un associato un codice IBAN quindi possono essere usate alla stregua di un conto corrente per  versare lo stipendio, per fare e ricevere bonifici italiani o esteri,  ma sopratutto presentano limiti di ricarica e di prelevo normalmente superiori alle altre carte prepagate.

 Un'ottima opportunità per i crimine organizzato che può fare bonifici sull'iban di una carta ricaricabile e svuotarla appena arriva. Magari la carta è emessa a San Marino e quindi può ricevere bonifici senza passare dai controlli e dai limiti dei bonifici esteri, ma legalmente è in un'altro stato che non fa parte della comunità europea.

Come al solito il business traina le scelte delle aziende, e il crimine temo non tarderà a cavalcare questa opportunità come fece già con le postepay.

L'idea mi era venuta in mente anche a me ma guardate questo video degli states:

http://video.google.it/videoplay?docid=3949432719687535288&ei=NTe-SLqyJYr42gK4pqWTCQ&q=skimmer+credit+card&vt=lf&hl=it


incredibile, uno skimmer inserito nel tacco dello stivale della bella cameriera! l'idea è geniale, le raccomandazioni sono banali ma sempre utili da ricordare:

1. occhi sempre aperti e  non solo sulle gambe della cameriera
2. mai lasciare la carta abbandonata a se stessa, seguite sempre la vostra carta
3. Se il ristorante/negozio usa il pos fate attenzione che non ci sia scotch che lo chiude correttamente o che l'etichetta di sicurezza non sia stata compromessa, e che comunque non ci siano segni di apertura.
4. attivare SEMPRE la segnalazione dei movimenti via SMS, e tenete il cellulare acceso
5. utilizzare una carta prepagata come portafogli elettronico mettendoci quello che serve
6. Non fidatevi delle carte a Chip, sono più sicure ma tutti gli esercenti fanno ancora la strisciata prima del chip e quindi sono in grado di rubare le vostre credenziali visa.

Per quelli più IT:

• Verificare se ci sono connessioni wi-fi in giro, magari con segnale forte vicino al pos
• Verificare se ci sono connessioni bluethoot
• Non fidarsi dei pos wireless...
• Mantenere gli scontrini dei pos, non si sa mai

DataBase Forensics Oracle, Db2, MS SQL, MySql, Postfix 

I servizi di Database Forensics prevedono l'esame dei database della vostra azienda.

Siamo in grado di operare sui  più diffusi database commerciali e open source con particolare competenze su  Oracle, DB2 e MS SQL per i database commerciali,  e  MySQL per i sistemi open source

L'analisi tecnica si prefigge di:

- Recuperare i dati cancellati o manomessi di tabelle o interi database

- Ricostruire gli eventi che hanno determinato il danno

- Rintracciare l'attività criminosa che ha avuto accesso al database

- Rintracciare gli eventi e le cause che hanno determinato un incidente informatico

Caccia al dipendente infedele

Lo scorso aprile, un'e-mail falsa che si presume provenisse dall'amministratore delegato del Credit Suisse Group AG, Thomas Gottstein, contenente dati personali su ex dipendenti, è stata inviata alle forze dell'ordine, alle autorità di regolamentazione e alla stampa in più paesi.

Due settimane dopo, il prestatore con sede a Zurigo ha intentato una causa negli Stati Uniti cercando di smascherare la fonte del messaggio, che si sospetta possa essere stato un lavoro interno. Utilizzando un falso account Gmail che porta il nome di Gottstein, il messaggio del 20 marzo ha allegato file proprietari in un "apparente sforzo per infliggere il massimo danno possibile a Credit Suisse", secondo la denuncia presentata alla corte federale di San Francisco.

In che modo le indagini #forensi digitali possono essere d'aiuto?

Quando si verifica un furto di dati da parte dei dipendenti, un'azienda deve agire rapidamente per proteggere i propri interessi chiedendo aiuto all'esterno, affidarsi a un reparto #IT interno non è un'opzione praticabile.
Innanzitutto perchè tutti devono essere oggetto di indagine e poi non sono dotati degli strumenti, delle qualifiche o delle competenze per eseguire un esame forense del #computer/smartphone ( es: recupero dei dati cancellati, utilizzo di piattaforme di archiviazione basata sul #Web, come Dropbox, #OneDrive, WeTransfer )

Acquisizione e analisi forense sistemi Embedded 

I servizi di Electronic Embedded Forensics si occupano dell'esame di quei dispositivi elettronici speciali.

I dispositivi che possono essere oggetto di questo tipo di esame  sono:

- Rilevatori di presenza

- Sistemi controllo accessi di sicurezza o HR

- Sistemi rfid

- Webcam e sistemi di videosorveglianza

- Console

- Scatola Nera

- Apparecchiature embedded

L'analisi tecnica rileva e  recupera, ove tecnicamente possibile, i dati trattati, elaborati e conservati da questi dispositivi.

Cyber Security & Forensics Readiness per gestire rischi e incidenti

Verrebbe da dire "Chi è senza bug scagli la prima pietra"  vedendo questa slide di vulnerabilità per vendor.

Il time to market, la disponibilità di tool per il pentet e una community moldo ampia fa si che il numero di vulnerabilità scoperte sia in continua crescita, non c'è prodotto, non c'è brand che non abbia avuto problemi di sicurezza. 

Con questa crescita non si può pensare di affrontare questo problema con gli strumenti tradizionali, che certo non devono essere rimossi,.Il patching di sistemi e applicazioni è importantissimo e determinante dovrebbe essere  più tempestivo di quanto non lo sia già ma non è sufficiente a stare sicuri, orma non c'àè azienda che cosciente o meno, non abbia subito un data breach, allora come fare?

la risposta è in una parola "readiness", readiness in cyber security e readiness in incident response & digital forensics. 

Readiness significa farsi trovare pronti, ovvero adottare tutte quelle soluzioni tecnologiche, organizzative e umane che permettano di ridurre il rischio in ambito cyber e in ambito incident response permettano di ricostrure con assoluta certezza, forensically sound,  modalità, responsabilità e tempistiche di un incidente informatico che si tratti di un sabotaggio, di un acesso abusivo o un di data breach.

Spesso le aziende che non si occupano di informatica non hanno a disposizione il personale per gesetire questa complessità, in questi casi è importante non trascurare qeuesto aspetto e magari trasferirne la gestione e complessità ad un outsourcer dotato di strumenti e competenze per garantire servizi di alto livello. 

Readiness, ovvero facciamoci trovare pronti! 

Molti di noi utilizzano il token otp per generare il codice di accesso per il proprio homebanking, pochi immaginano la presenza di menù e infomazioni varie. Proviamo a dare uno sguardo più approfondito al nostro token, per praticità utilizzerò quello che mi fornisce la mia banca, un modello Vasco Digipass and Go, brandizzato dalla banca.
Premendo il pulsante presente sul token si genera il codice di accesso per l'homebanking, se teniamo premuto il pulsante dopo qualche secondo compare un menù con 3 voci
SECONDS
BATTERY
ID

In corrispondenza di ognuna di queste  si pussono vedere i seguenti dati:

SECONDS->SEC FT xxxxxxxxxx (numero di 10 cifre che cambia nella sola parte finale)

BATTERY-> xx (numero di due cifre; fra una prova e l’altra rimane costante)
ID ->dp xxxxxxxxxx (numero di 10 cifre che rimane costante)

Presumibilmente i dati sono riconducibili ai seguenti

SECONDS->SEC FT xxxxxxxxxx Potrebbe trattarsi del clock del dispositivo , la sigla fa pensare a Seconds Floating Time
BATTERY-> xx  questa è certamente il livello di carica della batteria incorporata
ID ->dp xxxxxxxxxx questa è l’ID della chiave di tratta di un modello nel caso in esame, digipass, identificato dalla sigla dp, e il numero di 10 cifre è il seriale.

Ora indipendentemente dal modello di otp time o event based  quello che desta la mia attenzione e, da esperto di sicurezza, la mia preoccupazione è il fatto che questi dati (sec ft xxxxxxxxxx e dp xxxxxxxxxx )a cui tutti possono avere accesso, siano utilizzati per la generazione della sequenza token. Se questi dati rappresentassero un input per la generazione della sequenza otp si potrebbe interpolando un gran numero di rilevazioni approssimare l’algoritmo di generazione dei token e "indovinare" le password generabili da un token.

Un'altro aspetto estremamente interessante è nascosto nella parte posteriore del token dove sotto l'etichetta sono presenti 6 fori di cui non comprendo l’utilità. Infatti se fossero per evitare l'accumuolo di umidità sul circuito non dovrebbero essere tappati dall'etichetta; mi viene quindi da pensare che  possano essere una porta di accesso al circuito stampato della chiave.
Non provate ad aprire il vostro token perchè si autodistruggerà e non potrete più usarlo per l'accesso all'homebanking tantomeno per fare le vostre indagini. Non so se i token sono protetti come le smartcard da scansioni a raggi x che ne rilevino la struttura; magari in una prossima puntata trovando un'apparecchiatura adeguata faccio questa verifica.

Sono tempi di grandi evoluzioni, la crisi aguzza l'ingegno e fa emergere le eccellenze. Per tutte le aziende e in particolare per le banche è importante innalzare la qualità del proprio business mantendo gli stessi costi e riducendo il livello di rischio, un esempio interessante è quello di IWBank e delle nuove carte con One Time Password Integrata
IWbank sembra ad oggi l'unica banca italiana che sta adottando le display card dopo avere iniziato con i token otp (http://forum.iwbank.it/showthread.php?p=113600#post113600); è giusto ricordare che questo percorso è iniziato qualche anno fa negli states e stato portato a livello mondiale da Visa nel corso di quest'anno (http://www.carte-di-credito-online.com/visa_pincard_sicurezza_internet.aspx).
Il token otp è stato ed è un grande passo avanti rispetto al vecchio meccanismo di username e password, uno strumento importante che ha permesso alle banche che lo hanno adottato di ridurre notevolmente le frodi sui sistemi di Internet Banking; certo il token è un po' ingombrante a meno che non lo si attacchi al portachiavi e spesso si rischia di appoggiarlo sulla scrivania o riporlo in un cassetto senza curarsi troppo della sua sicurezza.
Le nuove carte con display otp integrato presentano molti vantaggi per le aziende bancarie, il più immediato è che uniscono due strumenti in uno, riducendo i costi di gestione di carta e token. Per il cliente è sicuramente più agevole avere uno strumento con integrato anche l'altro, soprattutto uno strumento a cui in genere si pone molta attenzione e che sicuramente non si abbandona in un cassetto aperto
Dal punto di vista tecnico l'infrastruttura IT è inalterata, così come la durata delle display card è in rapida crescita verso quella assicurata dai token per i quali si intravedono modelli capaci di avere un ciclo di vita uguale a quello del bancomat alimentati da celle solari.

La soluzione merita di essere seguita per capire come il mercato italiano recepirà questa nuova iniziativa. Queste carte potrebbero diventare le killer application dei pagamenti riducendo il rischio per banche, esercenti e clienti, potremmo avere PIN OTP per le transazioni POS, basterà schiacciare il pulsate della carta e leggere sul display il One Time Pin. Sarà il futuro ?

Update del 3 novembre 2010:

Riporto un aggiornamento che avevo dimenticato in una mail di Walter Summonte.

Il panorama italiano si sta movimentando molto e ne è testimone il gruppo Banca Popolare che da Febbraio ha iniziato a distribuire  Displaycard  “TIME”  e non “Event”  based

Incredibile, sono a casa con l'influenza e seguendo il telegiornale regionale della toscana, sento un servizio su un nuovo progetto "alloggiati" che vede parti attive la questura di Firenze e gli alberghi. Progetto che permetterebbe alla questura di avere subito i dati dei clienti che si registrano presso gli alberghi... naturalmente il questore e il giornalista puntano sul risparmio di carta.....

Ma fatemi il piacere! Da quando una questura ha come obiettivo il risparmio di carta????

Ma la cosa più buffa è che quanto dicono io l'avevo già scritto in un mio post del 23 febbraio.... cavolo che rapidità... oltretutto ci sono due pagine datate 25 e 26 febbraio proprio su questo argomento (http://questure.poliziadistato.it/Firenze/articolo-6-181-1640-1.htm http://questure.poliziadistato.it/Firenze/articolo-6-181-375-1.htm

e il resto? cioè l'integrazione delle anagrafiche delle banche e degli operatori telefonici con il database del ministero dell'interno?

Dimenticavo è vero... non esiste una legge che obblighi le lobby a collaborare...

E' inutile l'IT da solo non può fare niente, è come avere una Formula1 e una strada sterrata di campagna...

Qualche mese fa linkedin con grande stupore dei più e anche un pizzico di fastido introdusse i controlli captcha dopo l'autenticazione degli utenti. La misura, credo presa per contrastare i bots che spazzolano i social network, non è però così affidabile. Un captcha, anche se breve, se sbagliato non dovrebbe darvi accesso a nessuna sezione;  a maggior ragione i captcha di linkedin, fra i più lunghi che io abbia trovato,  che sono costituiti da due parole.

Se provate a sbagliare l'inserimento del testo del captcha.... sorpresa: vi fa accedere!!!

Quindi dovremmo inserire il captcha "lined rerall" ma se inseriamo qualcosa di diverso:

otteniamo comunque l'accesso

E meno male che linkedin nella pagina del captcha riporta:  "Questi controlli di sicurezza aiutano a prevenire accessi non autorizzati al tuo account".

Se queste sono le misure di sicurezza messe in atto da linkedin è meglio non domandarsi dove vanno i nostri dati.

Dopo 7 anni, si sono proprio sette anni, l'italia lo scorso 27 febbraio ratifica e da esecuzione alla Convenzione del Consiglio d' Europa sulla criminalita' informatica, fatta a Budapest il 23 novembre 2001. http://www.ictlex.net/wp-content/pdl2807.pdf



Ci sono voluti tutti questi anni per allineare il diritto italiano alle nuove problematiche presentate dall'era dell'Information Technology. Infatti viene aggiornato il codice penale e parte del decreto legislativo 231/2001.

Cosa si introduce di nuovo: la firma elettronica, si amplia l'ambito di applicazione delle norme sui reati informatici e si parla finalmente di computer forensics



le modifiche più importanti in termini di computer forensics si riguardano il CPP Titolo III Capitolo III art. 244, 254, 259e 260

Con le modifiche introdotte l'ordinamento giuridico ricnonosce il valore di prova contenuto nei sistemi informatici e ne definisce le modalità di custodia e il sequestro.

Un passo avanti veramente importante per la computer forensics, una normazione significativa di un vuoto legislativo dove per dati si acquisisca il concetto informatico per cui una sequena di bit su in disco è un dato, una sequenza di bit su un cellulare è un dato, una sequenza di bit sulla rete o su una centrale telefonica è un dato



E' importante notare come si affronti il tema dell'acquisizione dei dati, si parla di acquisizione mediante copia su adeguato supporto con una procedura che assicuri la conformità dei dati acquisiti a quelli originali e la loro immodificabilità: magari questo articolo non è quello che il forenser si aspettava ma tuto si risolve e si chiarisce nell'art. 260.

Qui si parla anche di "dati, informazioni o di programmi informatici, la copia deve essere realizzata su adeguati supporti mediante procedure che assicuri la conformità della copia all'originale e la sua immodificabilità"

Finalmente abbiamo nero su bianco quello che il buon computer forenser fa da anni con tanto buonsenso e professionalità

A questo punto a voi i commenti di una norma che sembra, perlomeno ad una prima rapida lettura, rispondere a un vuoto legislativo

La Perizia Informatica è fondamentale quando un soggetto è accusato sulla base d'indizi informatici. La perizia informatica forense si costituisce a tutela dell'accusato,  spiegando, chiarendo i contesti tecnologici in cui gli eventi si sono sviluppati, le implicazioni o le esclusioni di certe azioni; ma anche escludendo dal processo le prove non pertinenti, artefatte o frutto di errori d'indagine o di acquisizione.

Quando il soggetto subisce  danno o una offesa non è sufficiente sporgere denuncia, ma effettuare una perizia informatica forense sugli elementi probanti prima che la controparte riesca a occultare le prove. Con la Perizia Informatica Forense si accelerano anche le indagini delle forze dell'ordine.

Chi subisce un'offesa o danno ha le prove, sul computer piuttosto che sul cellulare o in Internet,  delle azioni mese in atto contro di lui. La perizia informatica forense svolta prima della denuncia, da valore probatorio alla prova informatica mediante l'acquisizione, copia forense delle le evidenze del torto  subito. La perizia informatica può e deve essere allegata alla denuncia come prova del danno. Ancora migliore se si parla di Perizia informatica Asseverata o Perizia Giurata

	Perizie informatiche e accertamenti tecnici Tutta Italia e principalmente in toscana: Firenze, Prato, Pistoia, Pisa, Lucca, Livorno, Massa, Siena, Arezzo, Grosseto

La Perizia informatica forense rappresenta un passo fondamentale  nella fase di difesa per tutelare la propria posizione processuale.

Ma risultano altrettanto determinanti nel cristallizzare la lesione o violazione di un diritto al fine di collezionare un dossier probatorio da allegare a una denuncia.

In ogni caso, gli accertamenti tecnici devono essere eseguiti con la massima professionalità nel rispetto delle bestpractice internazionali per garantirne il non ripudio.

La  perizia informatica, che può essere anche asseverata e giurata, deve rispondere a principi deontologici di verità, chiarezza e ripetibilità, degli accertamenti eseguiti

Operiamo su un'ampia gamma di supporti digitali in linea con le nuove tecnologie.

• Hard disk
• Sistemi Raid
• Nastri LTO
• Usb key, Memory Card
• Cellulari, Palmari, Blackberry
• Tom Tom
• Playstation, Box
• Database MS, Oracle, opensource
• Sistemi di posta
• Sistemi virutalizzati
• Cellulari, palmari
• Tablet
• Bancomat
• Sistemi embedded

In particolare per le aziende la nostra attività è indirizzata verso:

• Indagini e analisi  di supporti digitali  aziendali
• Indagini e analisi  di supporti digitali  per reati contro l'azienda o condotti mediante strumenti aziendali
• Indagini online in  Internet per reati contro l'azienda
• Indagini aziendali violazione dl 231
• Indagini e analisi di supporti digitali e online su Internet per la difesa di reati contro la persona o contro il patrimonio
• Indagini e analisi di supporti digitali e online su Internet per violazione del diritto del lavoro
• Indagini e analisi di supporti digitali e online su Internet per la tutela del marchio, dei segni distintivi dell'azienda e della "reputazione" online
• Incident handling
• Trascrizioni foniche
• Consulenze tecniche di parte CTP
• Consulente tecniche di ufficio CTU

La nostra  attività si rivolge anche alle parti private in qualità di consulente tecnico di parte (CTP)  o in qualità di CTU per l'autorità giudiziaria.

Guerra ai dipendenti poco fedeli

Data pubblicazione: 31/03/2010

Testata: "Il Sole 24 ore/CentroNord"

Titolo:"Al contrattacco. Sale il ricorso delle Pmi ad esperti. I furti sono in gran parte di natura informatica"

Link articolo

Data pubblicazione: 24 Settembre 2007

Testata: Il corriere di Firenze

Titolo: Le informazioni in cassaforte

Link Articolo

Data pubblicazione: 15 Settembre 2007

Testata: Il corriere di Firenze

Titolo: Meeting sulla sicurezza aziendale

Link Articolo

Data pubblicazione: 11/18 settembre 2009

Testata: "Il Mondo", "ilcorrieredellasera.it"

Titolo: Se il lavoro è un delitto

Link articolo pubblicato su "Il Mondo"

Link articolo pubblicato su "ilcorrieredellasera.it"

Data pubblicazione: Marzo 2012

Testata: "Azienda Banca - Cardi Editore"

Titolo:"Come cambiano le minacce all'hardware. "

Link articolo

Qualche giorno fa, si è rotto il parte il mi bancomat e ho pensato di andare in filiale chiedere la sostituzione.

Del resto mi era già capitato qualche anno fa. Allora mi diedero una nuova tessera bancomat e un nuovo pin e mi ritirarono la vecchia tessera.

Questa volta la cosa è stata diversa: infatti in filiale non mi hanno dato un nuovo bancomat con un nuovo pin ma hanno fatto richiesta di un duplicato che è arrivato qualche giorno dopo. Un duplicato del bancomat originale con lo stesso pin; oserei dire che la banca ha clonato il mio bancomat...

Onestamente, anche se era più scomodo avere un nuovo bancomat e un nuovo pin; l'utente  aveva una maggiore sensazione di sicurezza quando si sentiva dire che "non era possibile avere un duplicato"....

E se un dipendente infedele della banca, di un service, o uno dei tanti consulenti di cui la banca si avvale, fosse in grado di ottenere un duplicato del bancomat di un facoltoso cliente.....

Io penso che era meglio quando di un bancomat ci poteva essere un solo ed unico esemplare....