इंटरनेट पर अवैध रूप से डेटा चुराने वाले गिरोह सक्रिय हैं। वे कृत्रिम बुद्धिमत्ता का उपयोग करके ओटीपी कोड भी चुरा रहे हैं।

Angelo tuttofare o subdolo demone? La दोहरी आत्मा dell’Intelligenza Artificiale non vive un momento felice. Mentre le sue insidie fanno tremare persino qualche suo autorevole manovratore ecco l’ennesima prova del disastro. Le abilità della AI al servizio degli hacker o addirittura ai ladroni delle nostre identità nel Web e dei nostri denari? Proprio così. Perché c’è anche l’Intelligenza Artificiale dietro l’आपराधिक संगठन battezzata DoppelCart, che segna un dannato salto di qualità nelle truffe digitali: continua infatti a colpirci anche in questi giorni nonostante le sue tecniche siano state in larga parte ricostruite e interpretate.

La batosta informatica di DoppelCart si sa come funziona, ma sopravvive. Ci cattura con le classiche tecniche di फ़िशिंग, simulando una moltitudine di siti di commercio elettronico नक़ली, ci ruba le credenziali bancarie e riesce perfino a scavalcare più sofisticati accorgimenti di sicurezza, quelli che dovrebbero proteggere le singole transazioni grazie ai codici OTP che ci arrivano sullo smartphone.

E che dire ultimo attacco automatico, appena documentato con un रिपोर्ट pubblicato l’8 settembre da Google Threat Intelligence Group, che sempre grazie all’Intelligenza Artificiale ha sottratto in meno di sei ore quasi 24.000 credenziali professionali che consentono ai responsabili sistemi informatici di accedere ai loro archivi e alle loro procedure di lavoro.

Attacchi sempre più sofisticati, difese sempre più difficili, specie per chi non è un professionista della materia. Vale allora la pena di capire un po’ meglio le caratteristiche almeno del primo dei due casi che abbiamo citato, quello che sta ancora colpendo duramente i normali cittadini consumatori. Un caso davvero emblematico del nuovo modo operativo dei criminali informatici che si appoggiano sull’intelligenza artificiale. E vale sicuramente la pena di aggiornare i अच्छी युक्तियाँ di difesa, sempre più indispensabili.

Il falso sito di e-commerce ci trasforma in complici

loro sono degli imbroglioni. Noi siamo loro inconsapevoli complici, per quanto possa sembrare असत्यवत. La truffa di DoppelCart funziona così, come si evince dalla dettagliata spiegazione tecnica fornita dagli analisti di सॉफ्टवेयर. Il primo passo avviene con la classica trappola del phishing: riceviamo un messaggio una mente con l’offerta di un fortissimo sconto, oltre il 50%, su un oggetto che può essere di nostro interesse attraverso un sito di commercio elettronico. Quale sito? Magari un sito a noi stranoto, o magari meno noto, o magari sconosciuto ma dall’दिखावट davvero professionale. Perché sarebbero addirittura 119.000 – a quanto riferiscono gli analisti di il software – i domini così creati limitando veri negozi on-line.

Siti diversi, multiformi, che abbraciano generi di prodotti anche molto diversi. Ma con una regia unica, affermano gli esperti che stano indagando. E una caratteristica comune: sono finti, contraffatti, copiano quelli veri. Distribuiscono truffe con l’invito a cliccare su un link fornito direttamente dai truffatori digitali.

Fin qui nulla di nuovo rispetto alle truffe a cui siamo tristemente abituati. La novità sta in due elementi. Il primo è nella tecnica di जालसाजी del sito, davvero sofisticata: i clic ci portano direttamente ai cataloghi del sito vero o una copia perfetta continuamente aggiornata e duplicata con l’aiuto degli algoritmi di intelligenza artificiale. I malfattori aggiungono, bontà loro, un “codice di sconto” che nella maggior parte dei casi arriva addirittura 65%.

Il trucco del doppio pin temporaneo di validazione

La pericolosissima novità sta però nel secondo elemento: se decidiamo di perfezionare l’acquisto gli imbroglioni non si limitano alla già conosciuta tecnica di farci pagare una somma mediante una transazione con carta di credito, senza naturalmente spedirci alcunché. L’inedita è micidiale trappola scatta in parallelo: mentre noi perfezioniamo la nostra transazione i malfattori hanno sottratto il numero della carta di credito e il suo codice di validazione. Quello, delicatissimo, riportato sul retro della carta. E già questo mi consente di commettere chissà quali e quanti illeciti. Ma il bello (o, per meglio dire, il brutto) arriva ora.

La nostra transazione è generalmente protetta un codice che ci arriva sul telefonino. E qui scatta la super-trappola: digitiamo il codice OTP che ci è appena arrivato e completiamo la transazione. E così regaliamo i relativi denari ai malfattori. Nel frattempo – ecco la novità – ci arriva ulteriore richiesta di validazione con un nuovo codice “di conferma”. È la nostra banca. Perché non fidarci? Lo digitiamo. Dovrebbe essere criptato, segreto, invisibile a chiunque: lo impongono le normative. E invece i malfattori lo vedono. E lo usano. Perché nel frattempo stanno utilizzando con istantanea precisione la nostra carta di credito relativo codice di controllo per comprare a loro volta qualche cosa sicuramente molto più costosa da un sito “vero” di commercio elettronico.
Il nostro secondo codice tipi serve proprio per validare questa loro transazione. Il gioco, micidiale, è fatto. Con una doppia fregatura. L’acquisto finto fatto con loro, a nostre spese. E l’acquisto vero, molto più generoso, fatto la loro con i nostri soldi.

Cautele e contromosse. Ora sono una necessità assoluta

Difenderci e prevenire è un obbligo a questo punto inderogabile. Seguendo fedelmente tutti, nessuno escluso, di accorgimenti che in maniera magari frammentaria sono progressivamente entrati nel nostro सामग्री per combattere le trappole digitali.
Primo accorgimento: diffidare di ogni offerta commerciale che non provenga dalla nostra stazione diretta dei siti di commercio elettronico che siamo abituati ad usare.

Secondo accorgimento: mai cliccare su un link che ci viene proposto. Perché dietro una dizione apparentemente innocua che riproduce fedelmente un sito di commercio elettronico noto e certificato può essere mascherato un sito di tutt’altra natura, magari mascherato con l’apparenza di quello autentico. E non dobbiamo fidarci neanche della dicitura HTTPS che precede il nome del dominio che appare: nel Web sono perfino servizi di hosting gratuiti che consentono ai malfattori di creare siti magari temporanei con certificati di sicurezza HTTPS pienamente validi. Che fare? Proviamo a digitare noi, da capo, in nome del sito senza cliccare su alcunché.

Terzo accorgimento: annotiamo con precisione l’abituale procedura di validazione usata dalla nostra banca per gli acquisti via Internet. Ogni differenza, ogni deroga a questa procedura, ha il forte sapore di un tranello.