Ti rubano il cellulare, di preferenza l’iPhone, e poi posso rubarti tutto: contanti dalle app bancarie, accesso alle carte di credito tramite Apple; documenti con cui riescono a fare furti di identità e attivare carte o finanziamenti a tuo nome.
Basta che oltre al cellulare riescano a carpire anche il tuo passcode di accesso.
Un problema che è diventato molto grave negli Stati Uniti, come riporta il Wall Street Journal. Ed è probabile che arrivi presto anche in Italia, dove per ora si vedono alcune forme simili di quest’attacco, come ci spiega il noto informatico forense Paolo dal Checco.
“Nessuno immaginava che sarebbe stato così facile rubare tutte quelle cose tramite un cellulare”, dice.
Indice degli argomenti
Come avviene il super furto iPhone
Tutte le vittime intervistate dal Wall Street Journal hanno dichiarato che i loro iPhone sono stati rubati mentre erano fuori, in locali. Alcune hanno raccontato che i telefoni sono stati sottratti dalle loro mani da qualcuno che avevano appena conosciuto e che era riuscito a spiare l’inserimento del passcode. Altri hanno raccontato di essere stati aggrediti fisicamente e intimiditi per farsi consegnare i telefoni e i codici di accesso. Alcuni hanno detto di credere di essere stati drogati. La mattina dopo si sono svegliati senza i loro telefoni, senza ricordare nulla della notte precedente.
In tutti i casi, i proprietari di iPhone sono stati bloccati dai loro account Apple. Hanno poi scoperto migliaia di dollari di furti finanziari, tra cui una combinazione di addebiti Apple Pay, conti bancari prosciugati collegati alle app del telefono e denaro prelevato da Venmo di PayPal Holdings e da altre app per l’invio di denaro.
“Quest’attacco è possibile anche su Android, ma su Apple è più efficace perché solo Apple ha un ecosistema così centralizzato, su iCloud, a cui puoi accedere se hai in mano un cellulare sbloccato”, dice dal Checco. Gli iPhone sono mediamente più costosi, il che dà un doppio ulteriore incentivo ai ladri; mettono mani su un prodotto che possono rivendere a un prezzo più alto e possono desumere che i loro utenti abbiano conti correnti più importanti da prosciugare.
Anche un recente aggiornamento di Apple non risolve il problema. L’azienda ha introdotto la possibilità di utilizzare chiavi di sicurezza hardware, piccoli dongle USB, per proteggere l’ID Apple. Nei test condotti dal Journal, le chiavi di sicurezza non hanno impedito la modifica dell’account utilizzando solo il codice di accesso e il codice di accesso poteva persino essere utilizzato per rimuovere le chiavi di sicurezza dall’account.
Come proteggersi dal furto di passcode
Ecco alcuni consigli del Wall Street Journal e di Paolo dal Checco.
- Coprite lo schermo in pubblico. Secondo le forze dell’ordine, i ladri escogitano modi intelligenti per imparare i codici di accesso delle persone, tra cui filmarle da lontano.
- Quando siete in giro, affidatevi a Face ID o Touch ID ogni volta che è possibile per evitare che il codice di accesso venga spiato. Nel caso in cui dobbiate digitarlo, trattate il codice di accesso come il PIN di un bancomat. Non digitate il codice davanti a estranei.
- Rafforzate il codice di accesso. Utilizzate almeno sei cifre e rendetelo complesso. Mai più “1-2-3-4”.
- “Un codice a quattro cifre lo si può non solo spiare ma anche identificare con più facilità tramite strumenti forensi: basta un’ora. Per uno a sei cifre servono due giorni”, dice dal Checco.
- E ancora: nelle impostazioni di display e luminosità, impostare il blocco automatico su 30 secondi, il tempo più breve possibile. Nelle impostazioni di Display e luminosità, impostate il blocco automatico su 30 secondi, il tempo più breve possibile, in modo da non lasciare il telefono sbloccato per troppo tempo.
- Attivate una protezione aggiuntiva su applicazioni di pagamento, con un codice diverso dal passcode dell’iPhone.
- Possibile impostare un codice di accesso a Screen Time per voi stessi, quindi attivare le restrizioni dell’account per evitare di cambiare la password dell’ID Apple, come fanno i genitori con i dispositivi dei figli. Scorrete verso il basso fino alla sezione Consenti modifiche e, alla voce Modifiche account, selezionate Non consentire. Ogni volta che avrete bisogno di accedere alle impostazioni dell’account iCloud, dovrete andare in Screen Time e riattivare questa opzione.
- Utilizzare un gestore di password di terze parti. Sebbene il gestore di password integrato nel Portachiavi iCloud di Apple sia comodo, è possibile accedere alle password salvate utilizzando il codice di accesso. Questo è un modo per i ladri di accedere ai conti bancari sugli iPhone delle loro vittime. È necessario eliminare tutte le password sensibili. Utilizzate invece un gestore di password di terze parti, come 1Password o Dashlane, che offrono l’autenticazione biometrica, ma richiedono una master password separata in caso di fallimento.
- Eliminate dal cellulare gli scan o foto di informazioni sensibili. I ladri hanno utilizzato le informazioni contenute nelle foto dell’iPhone, compresi i moduli con il numero di previdenza sociale, per aprire una carta di credito Apple. Cercate termini come “passaporto”, “patente” e “SSN” nell’app Foto di Apple per vedere se ne avete. Se avete bisogno di copie digitali di documenti sensibili, utilizzate l’archiviazione sicura dei file in un gestore di password di terze parti.
Che fare se rubano lo smartphone
Se vi rubano uno smartphone collegato a informazioni importanti, agite rapidamente.
- Accedete a iCloud.com su un altro dispositivo il prima possibile e fate clic su Trova dispositivi per cancellare il telefono da remoto.
- Chiamate il vostro operatore telefonico o recatevi in un negozio per disattivare la SIM del telefono rubato, in modo che il ladro non possa ricevere i codici di verifica.
- Accedere agli account sensibili, come Google, Venmo e Amazon, per cambiare le password e revocare l’accesso dal dispositivo rubato.
- Dal Checco in particolare consiglia di fare wipe da remoto del contenuto del cellulare, in poco tempo.
“Non basta metterlo in lost mode. Per di più, in questa modalità c’è ora un attacco phishing in corso in Italia. I ladri mandano al numero di cellulare – che appare su iPhone in lost mode – un messaggio con un link per ottenere i dati iCloud”, dice dal Checco.
E Apple che potrebbe fare?
Il WSJ dà alcuni consigli anche su cosa potrebbe fare Apple.
- Consentire alle persone di aggiungere un’ulteriore password di protezione per l’ID Apple. Il software dell’iPhone non richiede agli utenti di inserire una vecchia password per impostarne una nuova per l’ID Apple, il login che consente di accedere a tutti i servizi Apple.
- Richiedere un PIN aggiuntivo, una password precedente o una chiave di sicurezza per proteggere l’ID Apple potrebbe impedire l’acquisizione di account. Anche i telefoni Android, che allo stesso modo accettano codici per modificare le password degli account Google, dovrebbero offrire una protezione aggiuntiva.
- Proteggere con password il Portachiavi iCloud. Il codice di accesso dell’iPhone garantisce l’accesso a tutte le credenziali memorizzate nel gestore di password integrato. Se Face ID o Touch ID non funzionano o sono disattivati, il Portachiavi dovrebbe richiedere una password o un codice di accesso indipendente.
- Proteggere il recupero dell’account. Google consente alle persone i cui account sono stati rubati di fornire un’e-mail di recupero del backup precedente, il numero di telefono o la password dell’account per dimostrare la propria identità. Apple dovrebbe prendere in considerazione la possibilità di fare lo stesso, oltre ad accettare altri tipi di identificazione, compresi i documenti di identità.
