Truffa Crédit Agricole: come hanno fatto a colpire le vittime, come evitarla e la gara tra i truffatori a chi spillava di più

In meno di una settimana, 912 persone sono state convinte da dei truffatori che si fingevano impiegati di Crédit Agricole, a rivelare i loro dati bancari. A ingannarle è stata una campagna di phishing che ha usato credenziali rubate per far apparire come legittime le email truffa. La ricostruzione degli investigatori ha trovato nel dark web anche un sistema di incentivi legato a una classifica: più denaro il malintenzionato riusciva a sottrarre, più in alto si posizionava in classifica con premi in denaro in palio per i più efficienti. Il livello di coordinazione dimostrato dai criminali indica che l’operazione è stata pianificata a lungo ed eseguita meticolosamente, ma anche un gruppo di hacker e truffatori di questo livello lascia delle tracce.

Cosa ha reso possibile la truffa di Crédit Agricole

Crédit Agricole è una delle organizzazioni finanziarie più grandi d’Europa e conta su un organico di oltre 160.000 dipendenti. Per impersonare i suoi funzionari nel modo più realistico possibile, e individuare i bersagli giusti da colpire, i criminali informatici hanno ottenuto accesso a uno dei sistemi con cui la banca manda grossi volumi di email come gli estratti conti o i link per resettare le password. Questa mossa è indispensabile per ingannare la vittima visto che uno dei principali indicatori di una truffa in corso è un indirizzo email sospetto che si appoggia a server in territori lontani. Le email aziendali e private hanno meccanismi di protezioni e filtri, come quelli per lo spam, quindi mettersi in contatto da un indirizzo e un server fidati fa abbassare la guardia alle vittime. Le credenziali, probabilmente acquistate sul dark web e frutto di attacchi precedenti di altri criminali, hanno permesso agli hacker di poter mandare una media di 7000 email truffa al giorno, tutte dall’apparenza e dalla firma informatica credibile.

Selezionare l’obiettivo è la chiave

Le campagne di phishing hanno poco tempo per raggiungere i loro obiettivi, soprattutto se mandano grossi volumi di email. Bastano qualche decina di segnalazioni tra utenti finali e fornitori di servizi informatici per mettere in moto il dipartimento informatico interno che, soprattutto in aziende così grandi, è in grado di individuare in poche ore il punto di ingresso dei truffatori e chiuderli fuori. Per questo motivo, selezionare accuratamente i bersagli della truffa è un passo fondamentale. Non solo, bisogna anche essere pronti a convincere chi ci casca di essere un dipendente o un operatore legittimo dell’azienda di cui si stanno vestendo i panni. I registri analizzati dagli investigatori spiegano come i criminali, una volta ottenuto un grosso file contenente molte mail dei clienti della banca francese, non abbiano mandato mail alla cieca, ma abbiano selezionato con cura i loro bersagli. Una volta convinta la vittima a inserire i suoi dati per “mantenere un dispositivo connesso al servizio di online banking”, infatti, i criminali non sono corsi a prelevare quanti più soldi possibile. Prima hanno estratto i dati personali della vittima, poi hanno rintracciato i suoi impiegati in filiale di riferimento: l’obiettivo era poter chiamare il malcapitato e convincerlo ad abbonarsi a servizi inesistenti intascando i soldi della truffa senza far scattare quegli allarmi che avrebbero chiuso i rubinetti.

La gara a chi spilla di più

Uno degli indizi che ha maggiormente rivelato la portata massiccia della campagna di phishing con al centro Crédit Agricole è stata la presenza di un sistema di classifica per premiare chi sarebbe riuscito a guadagnare di più. Gli hacker hanno unito in un’unica operazione la ricerca di account compromessi, il furto di strumenti legittimi per l’invio di email, il targeting di dipendenti e clienti e l’ingegneria sociale per convincere le vittime a spendere, ma è stata la classifica a far sospettare che dietro l’attacco ci fosse un’organizzazione più capillare. Il motivo è che un gruppo di hacker dividerebbe i “proventi” equamente o secondo gerarchie interne. Un gruppo di truffatori al servizio di un sindacato criminale, invece, non si tiene ciò che estorce, ma viene pagato quasi come un lavoratore dipendente (quando va bene) o più probabbilmente è costretto in situazioni di semi-schiavitù. Un bonus economico da 3000 dollari (quindi non cifre da capogiro) è il segnale che quei soldi siano andati al truffatore che ha fatto guadagnare di più all’organizzazione, e che chi ha gestito e portato a termine l’attacco non godrà dei frutti della sua impresa criminale.

Foto di erwin bosman da Pixabay