Quanto costano i dati rubati del dark web. Alla domanda risponde il report L’economia sommersa dei dati (The Hidden Data Economy), elaborato dai McAfee Labs di Intel Security Group.
“Come ogni economia regolamentata ed efficiente, l’ecosistema del cybercrime si è rapidamente evoluto per offrire molti strumenti e servizi per chiunque aspiri a un comportamento criminale – dice Raj Samani, cto di Intel Security Emea – Il mercato del “cybercrime-as-a-service” è stato uno dei principali driver che hanno guidato la crescita esponenziale delle dimensioni, della frequenza e della gravità degli attacchi informatici. Lo stesso si può dire per la proliferazione di modelli di business consolidati per vendere i dati rubati e ottenere guadagni dal crimine informatico”.
“Dal report emerge come la criminalità informatica sia ormai arrivata alla portata di tutti, anche ai poco esperti di tecnologia” ha aggiunto Ferdinando Torazzi, Regional Director Italia e Grecia, Intel Security “per questo oggi la battaglia contro il cybercrime deve essere attuata su base continuativa, adottando interventi più mirati. La certezza è che il cybercrime esiste ed è in grado di proporsi come un business, e che è arrivato il momento di passare all’offensiva e non stare sulla difensiva. Noi collaboriamo con l‘European Cybercrime Centre (EC3) dell’Europol per contribuire con le nostre competenze ad affrontare in modo efficace il problema del crimine informatico.”
I dati relativi alle carte di pagamento sono forse il tipo di dati rubati e venduti più conosciuti. I ricercatori di McAfee Labs hanno individuato una gerarchia di valore nel modo in cui a questi dati rubati vengono assegnati i prezzi, in cui vengono poi messi a catalogo e in cui, infine, vengono venduti sul mercato nero. Un’offerta di base comprende il numero di conto principale, (primary account number Pan), la data di scadenza e il codice CVV2. I venditori si riferiscono alla combinazione di numero valido con il termine “Random”. Generatori d numeri di carte di credito valide possono essere acquistati o reperiti gratuitamente in rete.
I prezzi aumentano quando l’offerta comprende ulteriori informazioni permettendo ai criminali di realizzare più cose con i dati a disposizione. Per esempio, dati come il numero di conto bancario, la data di nascita della vittima e informazioni classificate come “Fullzinfo”, compresi l’indirizzo di fatturazione della vittima, il codice Pin, il numero di previdenza sociale, la data di nascita, il nome da nubile della madre e anche il nome utente e la password utilizzati per accedere, gestire e modificare l’account online del titolare della carta.
La tabella illustra i prezzi medi delle informazioni relative a carte di credito e di debito in tutte le regioni, in base alla combinazione dei dati disponibili:
Numero della carta di pagamento con codice CVV2 | Stati Uniti | Regno Unito | Canada | Australia | Unione Europea |
Generato da software | $5-$8 | $20-$25 | $20-$25 | $21-$25 | $25-$30 |
Con identificativo bancario | $15 | $25 | $25 | $25 | $30 |
Con data di nascita | $15 | $30 | $30 | $30 | $35 |
Con Fullzinfo | $30 | $35 | $40 | $40 | $45 |
Stima dei prezzi, in dollari americani, per i dati di ogni carta di pagamento rubata
“Un criminale in possesso dell’equivalente digitale della carta fisica può effettuare acquisti o prelievi fino a quando la vittima non contatta l’esercente per bloccare gli acquisti – sottolinea Samani – Se pensiamo che i criminali possono utilizzare una serie così estesa di informazioni personali per ‘verificare’ l’identità del titolare della carta, o peggio ancora per consentire accedere al conto e modificare le informazioni, il rischio di gravi danni finanziari cresce in modo preoccupante”.
Il prezzo per gli account dei servizi di pagamento online sembra essere dettato unicamente dal saldo del conto. Ciò è probabilmente dovuto alle limitate possibilità di utilizzarli. Le credenziali di accesso degli account che contengono tra i 400 e i 1.000 dollari sono stati stimati intorno ai 20 e 50 dollari, mentre le credenziali di accesso per gli account che contengono da 5.000 a 8.000 dollari vanno da 200 a 300 dollari.
I criminali informatici possono acquistare le credenziali di accesso ai servizi bancari che consentono loro di trasferire di nascosto fondi rubati attraverso i confini internazionali. McAfee Labs ha rilevato che un conto bancario con saldo sui 2.200 dollari può valere fino a 190 dollari. Il costo delle credenziali di accesso al conto in banca unito alla possibilità di trasferire di nascosto denaro verso banche negli Stati Uniti si aggira tra i 500 dollai per un conto con saldo 6.000 dollari, a 1.200 dollari per un conto con saldo di 20.000 dollari. La possibilità di trasferire denaro nel Regno Unito varia da 700 dollari per un saldo del conto di 10.000 dollari, a 900 dollari per un saldo del conto di 16.000 dollari.
Il report ha anche preso in esame i prezzi al mercato nero delle credenziali degli account di accesso ai servizi di contenuti online come il video streaming online (da 0,55 a 1 dollaro), servizi di streaming premium via cavo (7,50 dollari), servizi di fumetti premium (0,55 dollari) e lo sport in streaming professionale (15 dollari). Questi prezzi relativamente bassi indicano che i criminali informatici hanno portato avanti operazioni di furto automatizzate per rendere redditizzi i loro modelli di business.
Alcuni servizi online, come le credenziali di login di conti fedeltà degli alberghi e gli account delle aste online, sembrano essere obiettivi a basso valore, ma i ricercatori hanno scoperto che anche queste credenziali vengono vendute dai criminali informatici. A quanto pare, questi consentono ai criminali di effettuare acquisti online fingendosi le loro vittime. I ricercatori di McAfee Labs hanno rilevato che un conto fedeltà di un grande albergo con 100.000 punti costa 20 dollari, mentre un account di una community di aste online con una buona reputazione si vende a un prezzo di 1.400 dollari.
