Quanto sono sicure le app di pagamento?

Il contante regna sovrano, almeno per ora. L'utilizzo di applicazioni di pagamento elettronico è in costante crescita, ma secondo un recente sondaggio della Federal Reserve statunitense , nel 2020 i pagamenti in contanti rappresentavano solo il 26% di tutti i pagamenti. Le carte di pagamento (credito/debito) e le applicazioni di pagamento elettronico sono state utilizzate per il 65% dei pagamenti, lasciando il 9% ai bonifici bancari diretti. L'ondata di pagamenti senza contanti e di e-commerce ha portato alla creazione di numerose applicazioni di pagamento. Apple Pay, Google Pay, PayPal, Venmo e Trello Pay sono alcune delle app di pagamento mobile più diffuse. Tuttavia, queste applicazioni spesso comportano dei rischi, con i criminali informatici che escogitano nuove truffe per derubarci del nostro denaro, sia virtuale che reale.

Rischi delle applicazioni di pagamento mobile

Come qualsiasi altro dispositivo, anche gli smartphone possono essere vulnerabili ai malware . Un modo in cui i criminali informatici possono ottenere informazioni sensibili è tramite i keylogger . Questi malware registrano e inviano agli hacker ogni azione (tocco) sullo smartphone (o computer), consentendo loro di visualizzare le credenziali di accesso inserite in qualsiasi applicazione o sito web visitato. Gli hacker possono anche utilizzare app false che si spacciano per legittime e sfruttano le app di pagamento. Un esempio si trova alla fine di questo articolo, dove i ricercatori di ESET hanno scoperto un trojan camuffato da strumento di ottimizzazione della batteria , che prendeva di mira gli utenti dell'app ufficiale di PayPal, tentando di trasferire 1,000 euro (1,200 dollari) sul conto dell'hacker.

La maggior parte degli hacker sfrutta le vulnerabilità dei dispositivi e diffonde malware tramite email di phishing . In particolare, il ransomware può essere diffuso attraverso queste email, paralizzando la tua attività bloccando i tuoi dati sensibili e minacciando di divulgarli pubblicamente se non paghi il riscatto. Gli attacchi informatici possono essere devastanti non solo per la tua attività, ma anche per la tua vita personale.

Cosa fare?

Quando si utilizzano smartphone, ci sono alcune cose che si possono fare per proteggersi, soprattutto quando si effettuano pagamenti tramite dispositivi mobili. Seguite le best practice di CyberHoot per la sicurezza degli smartphone: 

• Non usare password deboli o, peggio ancora, nessuna password, sul tuo smartphone. Abilita qualsiasi combinazione di blocco biometrico (scansione del viso o dell'impronta digitale) o una sequenza di sblocco geometrica combinata con un codice di accesso complesso di almeno 8 caratteri. Questa è l'autenticazione a due fattori.
• Non perdere il telefono. Tienilo sotto controllo. L'accesso fisico consente agli hacker di accedere a qualsiasi dispositivo. 
• Abilita la funzione "Trova il mio telefono", disponibile sia su Android che su iPhone, che ti dà la possibilità di bloccare o cancellare il tuo dispositivo in pochi secondi se viene smarrito o rubato.
• Mantieni sempre aggiornato il tuo dispositivo mobile installando subito l'ultimo software del sistema operativo rilasciato dal tuo fornitore non appena viene rilasciato.
• Consentire a tutti Autenticazione a due fattori su tutti gli account critici, tra cui e-mail, servizi bancari e applicazioni di pagamento online.
• Alcune app di pagamento ti permettono di "condividere pubblicamente i tuoi pagamenti" con altri. Anche se può sembrare una cosa interessante, ti espone al rischio di essere vittima di ingegneria sociale da parte di hacker. Non condividere i pagamenti pubblicamente.
• Attiva le notifiche per le app di pagamento ogni volta che vengono effettuate transazioni. Riceverai un avviso in tempo reale, consentendoti di intervenire immediatamente in caso di attività fraudolente. 
• Evita di scaricare applicazioni dannose. Controlla cosa stai installando. Scopri dove si trovano gli sviluppatori. Leggi questo articolo di CyberHoot su come esaminare i plugin del browser per la privacy, per dettagli su come analizzare la sicurezza del software e applicarla al tuo smartphone.
• Installa le app solo dal Play Store di Google e dall'App Store di Apple. 
• Mai evasione oppure esegui il rooting dello smartphone se contiene dati sensibili.

È importante comprendere le applicazioni che utilizzi e come vengono autenticate, oltre a disabilitare la condivisione pubblica delle transazioni. Il grafico seguente mostra le app di pagamento più comuni e i vari modi in cui cercano di garantire la tua sicurezza:

Definizioni di sicurezza dei pagamenti: Bug Bounty | Autenticazione a due fattori | Blocco delle transazioni

Ulteriori raccomandazioni di sicurezza da CyberHoot

Sebbene tutte queste precauzioni siano fondamentali quando si utilizzano gli smartphone, è opportuno seguire anche queste ulteriori pratiche quando si utilizzano i computer, soprattutto al lavoro. CyberHoot consiglia le seguenti best practice per prepararsi, limitare i danni e, a volte, evitare gli attacchi informatici:

• Adotta un gestore di password per una migliore igiene delle password personali/di lavoro
• Richiedi password di 14+ caratteri nel tuo Politiche di governance
• Segui a Metodo di backup 3-2-1 per tutti i dati critici e sensibili
• Formare i dipendenti per individuare ed evitare email basate phishing attacchi
• Controllare che i dipendenti può individuare ed evitare le email di phishing testandole
• Eseguire un valutazione del rischio ogni due o tre anni

Inizia oggi stesso a costruire il tuo solido piano di sicurezza informatica multilivello con CyberHoot.

Trojan Android che ruba dagli account PayPal, anche con l'autenticazione a due fattori abilitata:

Fonti: 

WeLiveSecurity

TechCrunch

Nayax

NY Times – Ricerca sui pagamenti mobili

Letture aggiuntive: 

Gli hacker rilasciano false applicazioni di tracciamento dei contatti

Smartphone presi di mira dal malware drive-by

Jeff Bezos e la falla di sicurezza di WhatsApp