Oggi è andato in onda il servizio di Max Laudadio per Striscia La Notizia dal titolo “Il raggiro del finto call center Banca Intesa” dove il conduttore intervista diverse vittime di una truffa ben nota al termine della quale i conti correnti vengono svuotati tramite bonifici fraudolenti immessi da criminali che hanno avuto accesso al conto bancario tramite App o web banking.
Questo tipo di truffe è ormai nota alle Forze dell’Ordine ma purtroppo ancora sconosciuta a molti correntisti che, fidandosi delle telefonate o degli SMS apparentemente provenienti dai numeri della banca, comunicano credenziali o accettano d’installare software non verificato sul proprio smartphone, con il risultato che i delinquenti hanno la possibilità, a un certo punto, di disporre bonifici o persino fare ricariche di carte di credito o prelievi di contanti al bancomat.
Durante il servizio per Striscia La Notizia ho dato il mio piccolo contributo con alcune considerazioni tecniche sulle modalità con le quali i truffatori riescono a telefonare alle vittime o inviare SMS fingendosi la loro banca, facendo comparire come mittente il numero di telefono o il nome esatto dell’istituto bancario e traendo così in inganno i correntisti.
Esistono infatti diverse App e servizi online – così come conferma anche Banca Intesa San Paolo in un comunicato ufficiale a Striscia La Notizia – che permettono di fare telefonate o inviare messaggi di testo SMS mascherando il mittente con numeri di telefono o nomi a scelta, agevolando così purtroppo le truffe definite “vishing” (voice phishing) e “smishing” (SMS phishing) basate proprio sul mascheramento del numero o dell’identità del chiamante.
La truffa delle telefonate e degli SMS provenienti da finti call center colpisce non soltanto Banca Intesa San Paolo e i suoi correntisti, ma anche clienti di altre banche, proprio perché purtroppo chi riceve una telefonata non ha modo di verificare se il numero del chiamante è autentico oppure mascherato tramite uno dei servizi di caller id spoofing.
Per questo motivo, i consigli che vengono proposti da Banca Intesa San Paolo e riportati a Striscia La Notizia sono da seguire alla lettera:
mai fornire codici ricevuti via SMS o telefonata a presunti operatori che chiamano o inviano SMS, con la minaccia di “chiudere il conto” in caso di mancata comunicazione;
mai fornire credenziali del proprio profilo online via telefono o messaggio;
mai inserire nome utente e password in siti ove si è arrivati cliccando su link ricevuti via email, sms o indicati tramite call center;
mai installare App su richiesta di operatori della banca, soprattutto App non presenti all’interno dello store ufficiale.
A questi consigli forniti da Banca Intesa San Paolo per rendere consapevoli i propri clienti dei rischi delle telefonate e degli SMS fraudolenti, possiamo aggiungere anche l’indicazione di non cliccare mai su link ricevuti via email o telefono, di chiamare sempre la banca digitando il numero ufficiale (non richiamando il numero da cui si è ricevuta una chiamata o un messaggio di testo), di non fidarsi di chi contatta insistendo sulla comunicazione di dati, codici, cifre, nominativi o altro che possa permettere ai delinquenti di accedere al proprio conto bancario e disporre bonifici, fare versamenti tramite carte di credito o prelevare contanti al posto.nostro.
È uscito ieri un mio pezzo, pubblicato sul blog del team OsintOps, che tratta delle attività di OSINT su ClubHouse e di come sia possibile ricavare informazioni interessanti a partire dai dati divulgati in modo più o meno trasparente dal social network ClubHouse, che sta raggiungendo proprio in questi giorni un picco di utilizzatori in Italia, dopo aver spopolato all’estero già da aprile 2020. Poiché le attività di ricerca online tramite OSINT sono spesso legate alla digital forensics e investigazioni digitali, ho fatto alcuni esperimenti con un’utenza Club House per verificare quali informazioni fosse possibile ricavare tramite tecniche e metodologie di OSINT sulle fonti aperte.
Tramite semplici ricerche online è possibile eseguire attività di OSINT su App e Social Network ClubHouse, a partire dall’interessante proprietà degli inviti, che su ClubHouse non possono essere nascosti e che quindi mostrano in modo perenne i collegamenti tra soggetti basati proprio sulla catena d’inviti. Chi si occupa di ricerche online, informatica forense e giornalismo investigativo può beneficiare di questa rete di contatti che gli utenti disegnano inconsapevolmente nel momento in cui invitano qualcuno su ClubHouse o accettano un invito.
Altra proprietà particolarmente rilevante del social network ClubHouse, che ne permette un’analisi OSINT di buon livello, è il fatto che di ogni utenza telefonica è possibile visionare (fino a quando non si registra sulla piattaforma) il numero di utenti di ClubHouse che la possiedono in rubrica fra i propri contatti.
Nell’articolo pubblicato su OsintOps ho riportato alcune perplessità sull’impossibilità di cancellare manualmente il proprio account e sulla necessità, invece, di dover contattare l’assistenza Clubhouse per la rimozione. Allo stesso modo, alcune questioni sulle modalità con le quali ClubHouse gestisce la rubrica telefonica e i contatti dello smartphone hanno sollevato alcune questioni sulla sua conformità o meno al GDPR, data protection e privacy.
Giovedì 28 gennaio 2021 si è tenuta l’ultima giornata del Forensic Virtual Summit organizzato da ForensicNews e StopSecret, durante la quale ho tenuto un’ora e mezza di seminario su OSINT e ricerche online a fini investigativi e forensi. Per quanto il seminario sia stato poco più che una introduzione a un tradizionale corso su OSINT, la lezione è stata una bella occasione per parlare di alcune metodologie di ricerca online e raccontare alcuni aneddoti su alcune situazioni nelle quali mi sono imbattuto negli anni.
L’OSINT – acronimo di “Open Source Intelligence” – è una disciplina che negli ultimi anni sta assumendo sempre più importanza per le implicazioni che riveste in diversi campi, dall’informatica forense alla network security, dalla due diligence alla giornalismo investigativo.
Durante il breve corso su OSINT tenuto per StopSecret e ForensicNews durante Forensic Virtual Summit sono stati presentati alcuni esempi di utilizzo dell’Intelligence sulle Fonti Aperte e descritti in maniera introduttiva alcuni strumenti utili per realizzare ricerche online su siti web, indirizzi di posta elettronica, numeri di cellulare, profili social network.
Attraverso semplici strumenti e servizi è stato mostrato come, utilizzando alcune nozioni di base, è possibile in diverse situazioni ricavare tramite OSINT informazioni di rilievo, verificarle, classificarle e ottenere un risultato utilizzabile per fini privati, aziendali, giudiziari o investigativi. Nel corso della redazione di perizie informatiche si rende spesso necessario validare le risultanze ottenute tramite ricerche OSINT e analisi delle fonti aperte, per questo motivo si ritiene che una base di conoscenza su OSINT, anche costruita partendo da corsi, seminari, incontri o lezioni su OSINT, possa essere un elemento strategico per il digital forenser.
Giovedì 24 settembre si terrà, in aula virtuale, l’evento in aula virtuale dal titolo “I controlli a distanza sull’attività dei lavoratori tra privacy, tutele lavoristiche ed evoluzione tecnologica“, organizzato dalla società Paradigma Srl di Torino.
Durante l’evento, che si terrà totalmente da remoto, si parlerà di evoluzione giurisprudenziale, orientamenti privacy e INL, protezione dei dati e del know how aziendale, implementazione delle policy e dei regolamenti aziendali, smart working e lavoro flessibile, raccolta delle prove e strumenti di forensic investigation, corretta impostazione dei procedimenti disciplinari.
L’evento sui controlli a distanza sull’attività dei lavoratori, in periodo di Covid-19, smart working e telelavoro, è particolarmente in tema perché copre tematiche attuali che le aziende, in questi mesi, si sono poste, trovandosi in un contesto nuovo e prettamente digitale. Per questo motivo, questioni come i limiti ai controlli, le implicazioni sulla privacy, gli orientamenti giurisprudenziali, l’implementazione e l’aggiornamento delle policy e dei regolamenti aziendali, il procedimento disciplinare e il licenziamento e infine la raccolta delle prove digitali dei comportamenti illeciti dei lavoratori e gli strumenti d’informatica forense per la corretta acquisizione forense delle prove e analisi tecnica delle evidenze informatiche nei casi di controlli informatici sul dipendente infedele o reati commessi dai dipendenti.
Il programma della conferenza organizzato dalla società Paradigma di Torino sui controlli dei lavoratori è il seguente:
I limiti ai controlli a distanza sull’attività dei lavoratori, le modalità di effettuazione del monitoraggio “lecito” e i “controlli difensivi” I limiti del controllo “lecito” alla luce delle disposizioni dell’art. 4 Statuto Lavoratori e della più recente evoluzione giurisprudenziale Il quadro normativo di riferimento dopo l’entrata in vigore del Regolamento UE 2016/679 (GDPR) e della normativa nazionale di adeguamento del Codice Privacy Le implicazioni in materia di privacy derivanti dall’uso degli strumenti di lavoro: il concetto di “strumento di lavoro” nella norma e nella lettura del Garante Privacy La legittimità dei “controlli difensivi” alla luce del nuovo quadro normativo e giurisprudenziale Prof. Avv. Arturo Maresca Sapienza Università di Roma
Le implicazioni in materia di controlli e di privacy nel telelavoro, nel “remote working” e nello “smart working” Il progressivo superamento dei limiti del controllo derivanti dall’uso del badge e di altri strumenti di registrazione di presenze e accessi dei lavoratori Il progresso tecnologico e le nuove forme di rilevazione della “presenza” Il controllo a distanza e la tutela della privacy dei lavoratori nel telelavoro e nelle nuove forme di remote working/smart working Il controllo sulla produttività del lavoratore in smart working Le problematiche connesse agli strumenti utilizzati, alla sicurezza e alla protezione dei dati e del know how aziendale L’uso autorizzato dei propri dispositivi da parte del dipendente (BYOD) Gli adempimenti privacy: regolamento interno e informativa ai dipendenti La regolamentazione del “diritto alla disconnessione” Avv. Alessandro Paone LabLaw Studio Legale
Analisi dei recenti orientamenti giurisprudenziali e delle indicazioni del Garante privacy e dell’INL con riferimento alla principale casistica dei “controlli a distanza” L’utilizzo di internet, posta elettronica e social network per fini estranei all’attività lavorativa: le Linee Guida del Garante Privacy Il ricorso a videocamere e sistemi di videosorveglianza Il ricorso a strumenti di rilevazione delle attività (strumenti di geolocalizzazione GPS, App, ecc.) Il ricorso a strumenti di rilevazione delle presenze e dei movimenti all’interno dell’azienda (badge, impronta digitale e biometria facciale) Avv. Annalisa Reale Chiomenti
L’implementazione e l’aggiornamento delle policy e dei regolamenti aziendali sull’utilizzo degli “strumenti di lavoro” e sui social network La necessità della policy aziendale Il contenuto degli accordi finalizzati a consentire un utilizzo promiscuo, personale e professionale, delle dotazioni aziendali L’informativa ai dipendenti sul corretto utilizzo degli strumenti di lavoro La tensione tra rapporto di lavoro e vita privata: i limiti alla disciplina dell’utilizzo dei social network da parte dei dipendenti Il fil rouge tra l’art. 4 (divieto di controlli a distanza) e l’art. 8 dello Statuto dei Lavoratori (divieto di di indagine sulle opinioni): i dati raccolti occasionalmente sui social e il loro possibile utilizzo nei confronti dei lavoratori Schemi applicativi di policy e regolamenti aziendali Avv. Enrico Barraco Studio Legale Barraco
La raccolta delle prove dei comportamenti illeciti dei lavoratori e gli strumenti di forensic investigation Le attività illecite condotte dai lavoratori per mezzo di strumenti informatici Le tecniche investigative per l’accertamento di comportamenti illeciti L’perizia forense dei dispositivi informatici fissi, mobili e “in cloud” per la prova dei comportamenti illeciti dei lavoratori e/o per l’individuazione di eventuali soggetti terzi responsabili di tali comportamenti Le criticità delle “ispezioni forensi” e le buone prassi per la loro corretta gestione Le criticità dell’analisi forense e le buone prassi per la loro corretta gestione Il problema della “prova atipica” I limiti dell’utilizzabilità in giudizio di sms, mms e conversazioni Whatsapp Dott. Paolo Dal Checco Consulente Informatico Forense
Il procedimento disciplinare e il licenziamento: disciplina e contenuto delle lettere L’utilizzo degli strumenti di lavoro e le possibili implicazioni in materia disciplinare La rilevazione delle informazioni necessarie all’esercizio del potere disciplinare alla luce degli orientamenti del Garante Privacy e della giurisprudenza L’esercizio del potere disciplinare: modalità e limiti Tecniche di redazione delle lettere di contestazione e di licenziamento Il licenziamento in caso di utilizzo dei social network: implicazioni e limiti alla luce della più recente giurisprudenza Avv. Renato Scorcelli Scorcelli & Partners Studio Legale
Per scaricare la brochure pdf del corso sui controlli a distanza sull’attività dei lavoratori è disponibile al seguente link.
Nuova edizione per l’A.A. 2020/2021 del tradizionale Corso di Perfezionamento in Criminalità Informatica e Investigazioni Digitali presso l’Università degli Studi di Milano, Facoltà di Giurisprudenza Dipartimento di Scienze Giuridiche “Cesare Beccaria” con una novità: quest’anno sarà interamente online.
Da ottobre 2020, tramite un sito basato su piattaforma Moodle, si potranno seguire le lezioni in maniera asincrona, nell’orario preferito dal discente, senza doversi recare in aula, con un notevole risparmio di tempo, costi e meno problemi legati al distanziamento sociale dovuto all’emergenza Covid-19 ancora in corso.
Argomenti e presentazione del Corso di Perfezionamento dell’Università di Milano
L’argomento di questo corso sarà la digital forensics, con approfondimenti sulle infedeltà del partner, del dipendente, del professionista e sulle frodi nelle piattaforme digitali.
Anche questo Corso di Perfezionamento in “Criminalità Informatica e Investigazioni Digitali” dell’Università degli Studi di Milano sarà coordinato dal Prof. Giovanni Ziccardi e avrà come obiettivo quello di formare esperti in grado di comprendere a livello teorico le principali problematiche criminali legate al mondo digitale ma anche d’intervenire su dispositivi e sui dati quali fonti di prova digitali, con particolare attenzione alle evidenze ricavabili da chat come Whatsapp, Telegram, dai social network come Facebook, Linkedin, Twitter e reti il tutto con un corretto approccio investigativo e con modalità impeccabili da un punto di vista tecnico d’informatica forense.
Particolare attenzione sarà dedicata, quest’anno, alla formazione dei discenti sulla raccolta, acquisizione e copia forense di prove digitali circa le infedeltà del partner, del dipendente e del professionista. Sarà prevista, altresì, l’analisi dettagliata di truffe sentimentali online, revenge porn ed estorsioni sessuali, nonché di truffe su aste online, phishing e attacchi informatici di altro genere.
I docenti del Corso si dedicheranno allo studio delle modalità di investigazione su account segreti, profili falsi e siti fake, con particolare riferimento ai dispositivi informatici e/o telematici più utilizzati.
Sarà prestata particolare attenzione alla protezione dei segreti industriali e dei dati aziendali riservati, soffermandosi poi sugli aspetti relativi alla tutela della reputazione online dell’azienda e del professionista, oltre ai doveri di fedeltà del dipendente e ai reati contro la Pubblica Amministrazione.
L’ultima parte del Corso sarà destinata allo studio delle fonti di prova digitali e alle modalità di indagine sulle diverse piattaforme, sia dal punto di vista tecnico sia teorico, poiché ormai buona parte delle prove in Giudizio sono tratte evidenze digitali, siano esse dati provenienti da hard disk, email, chat, pagine web, social network.
Verranno infine trattati i principali rischi eresponsabilità penali dei professionisti e consulenti informatici forensi che si trovino ad operare in contesti investigativi, analizzando inoltre l’aspetto della presenza dei minori sulle piattaforme e le connesse responsabilità genitoriali.
In dettaglio, nella prima parte del corso si parlerà di prove digitali di infedeltà su WhatsApp e sui social, informazioni personali su fonti aperte (OSINT) e nei big data, investigazioni su account segreti, profili falsi e siti fake, Spionaggio, controllo degli adulti e dei bambini e captatori, truffe sentimentali, revenge porn ed estorsioni sessuali, pedinamenti elettronici, celle telefoniche e geo-localizzazione, analisi forense di smartphone e computer personali, come mantenere i dati segreti cifrando le informazioni e attaccandole, investigazioni digitali su iPhone e su iOS, investigazioni digitali su dispositivi Android, comportamenti insicuri e cybersecurity.
Nella seconda parte del corso, si parlerà di segreti industriali e protezione di dati aziendali riservati, reati informatici, Pubblica Amministrazione, Anticorruzione, intelligenza artificiale e algoritmi predittivi in ambito penalefiltri e l’utilizzo di strumenti quali VPN e Tor, reputazione aziendale e personale con strategie di creazione e di tutela, la natura del phishing, del ransomware e di altri attacchi, truffe sulle aste online e sui siti di vendita di prodotti, indagini difensive telematiche e OSINT, reati informatici e i reati contro la Pubblica Amministrazione, dovere di fedeltà del dipendente: casistica e tutele, anche nel lavoro agile.
Nella terza parte del corso, gli argomenti saranno i seguenti: acquisizione di fonti di prova digitali sulle piattaforme, indagini sulle piattaforme e sulle transazioni di criptovalute, whistleblowing e i suoi aspetti informatici e di sicurezza, diritto d’autore e la sua violazione sulle piattaforme, data breach: gestione emergenza e aspetti giuridici, diffusione di contenuti di revenge porn mediante falsi profili, minori sulle piattaforme e responsabilità genitoriali, intercettazioni telematiche e aspetti processualpenalistici, responsabilità penale dei professionisti e consulenti, Admin, DPO e CISO, criminalità finanziaria e riciclaggio.
Informazioni sul corso di perfezionamento in Criminalità Informatica e Investigazioni Digitali
Le 32 lezioni, di 2 ore ciascuna, saranno rese disponibili online dalla terza settimana del mese di ottobre sino alla terza settimana del mese di dicembre 2020 (19 ottobre – 18 dicembre). Le 64 ore di didattica che sono necessarie per completare il Corso saranno fruibili in modalità asincrona (negli orari preferiti dal discente) con modalità di verifica dell’apprendimento su una piattaforma Moodle dedicata.
Il corso si terrà sulla piattaforma Moodle dell’Ateneo di Milano utilizzata per la formazione post-laurea. Si noti che la fruizione in streaming di 64 ore di contenuti richiede una solida e stabile connessione alla rete, tariffe flat e un computer portatile o fisso di media potenza (la fruizione tramite smartphone o tablet può risultare ostica).
Il contributo d’iscrizione è di € 500,00 oltre alla quota assicurativa e imposta di bollo, pari a € 16,00, prevista dalla legge (Totale: 516,00 Euro).
Il Corso si rivolge ai possessori di laurea triennale o laurea magistrale. É possibile iscriversi secondo le modalità indicate nel bando di attivazione disponibile sul sito di Ateneo. Il sito dell’Università di Milano, nell’area dedicata al post-laurea, è al seguente indirizzo: https://www.unimi.it/it/corsi/corsi-post-laurea/master-e-perfezionamento/catalogo-corsi-di-perfezionamento.
Programma del Corso di Perfezionamento
Il programma del Corso di Perfezionamento in Criminalità Informatica e Investigazioni Digitali, edizione 2020/2021, che si terrà interamente online, è il seguente:
Ottobre 2020 – Infedeltà del Partner
Novembre 2020 – Lavoro e Professionista
Dicembre 2020 – Frodi e Piattaforme
Lezione #1 (2h): Prove digitali di infedeltà su WhatsApp e sui social, Paolo Dal Checco
Lezione #12 (2h): Segreti industriali e protezione di dati aziendali riservati, Donato Caccavella
Lezione #22 (2h): L’acquisizione di fonti di prova digitali sulle piattaforme, Francesco Cajani
Lezione #2 (2h): Informazioni personali su fonti aperte (OSINT) e nei big data, Pierluigi Perri
Lezione #16 (2h): Reputazione aziendale e personale: strategie di creazione e di tutela, Matteo Flora
Lezione #26 (2h): I data breach: gestione emergenza e aspetti giuridici, Giuseppe Vaciago
Lezione #6 (2h): Pedinamenti elettronici, celle telefoniche e geo-localizzazione, Litiano Piccin
Lezione #17 (2h): La natura del phishing, del ransomware e di altri attacchi, Andrea Lanzi
Lezione #27 (2h): La diffusione di contenuti di revenge porn mediante falsi profili, Giulia Escurolle
Lezione #7 (2h): Analisi forense di smartphone e computer personali, Ferdinando Ditaranto
Lezione #18 (2h): Le truffe sulle aste online e sui siti di vendita di prodotti, Davide D’Agostino
Lezione #28 (2h): Minori sulle piattaforme e responsabilità genitoriali, Silvia Scalzaretto
Lezione #8 (2h): Mantenere i dati segreti: cifrare le informazioni (e attaccarle), Mattia MongaLezione #9 (2h): Investigazioni digitali su iPhone e su iOS, Mattia EpifaniLezione #10 (2h): Investigazioni digitali su dispositivi Android, Andrea GhirardiniLezione #11 (2h): Comportamenti insicuri e cybersecurity, Danilo Bruschi
Lezione #19 (2h): Indagini difensive telematiche e OSINT, Giovanni Battista GallusLezione #20 (2h): I reati informatici e i reati contro la Pubblica Amministrazione, Barbara IndovinaLezione #21 (2h): Il dovere di fedeltà del dipendente: casistica e tutele, anche nel lavoro agile, Giuseppe Matarazzo
Lezione #29 (2h): Intercettazioni telematiche e aspetti processual-penalistici, Novella GalantiniLezione #30 (2h): Responsabilità penale dei professionisti e consulenti, Marco ScolettaLezione #31 (2h): Admin, DPO e CISO, Valerio VertuaLezione #32 (2h): Criminalità finanziaria e riciclaggio, Manfredi Bontempelli
Docenti del Corso di Perfezionamento
I docenti che parteciperanno con le loro lezioni al Corso di Perfezionamento in Criminalità Informatica e Investigazioni Digitali presso l’Università degli Studi di Milano, Facoltà di Giurisprudenza Dipartimento di Scienze Giuridiche “Cesare Beccaria” sono i seguenti:
Giovanni Ziccardi, Pierluigi Perri, Danilo Bruschi, Claudio A. Ardagna, Mattia Monga, Andrea Lanzi, Fabio Basile, Novella Galantini, Manfredi Bontempelli, Angela Della Bella, Marco Scoletta, Silverio Greco, Paolo Dal Checco, Donato Caccavella, Giovanni Battista Gallus, Giuseppe Vaciago, Mattia Epifani, Davide D’Agostino, Matteo Flora, Ferdinando Ditaranto, Litiano Piccin, Davide Gabrini, Andrea Ghirardini, Francesco Cajani, Barbara Indovina, Francesco Paolo Micozzi, Giulia Escurolle, Valerio Vertua, Federica Bertoni, Silvia Scalzaretto, Alessia Sorgato, Giuseppe Matarazzo, Nicola Bena.
Locandina del Corso su Investigazioni Digitali
La locandina in formato PDF del corso Corso di Perfezionamento in Criminalità Informatica e Investigazioni Digitali, organizzato dall’Università degli Studi di Milano, edizione 2020/2021 è disponibile al seguente link.
