ALLARMISMO e DISINFORMAZIONE Bancomat contactless, ecco come ti fregano i soldi sul treno – Bufale.net

Il 17 febbraio 2016 LiberoQuotidiano pubblica un’articolo dal titolo “Bancomat contactless, ecco come ti fregano i soldi sul treno“:

Un lampo da vero genio della truffa. Con la tecnologia contactless sempre più diffusa, era solo una questione di tempo.
Cosa succede – Un post su Facebook mostra chiaramente un uomo che si sposta su un treno con lo stesso dispositivo che solitamente si trova nei negozi e permette al cliente di pagare senza strisciare il bancomat. Per lui è sufficiente appoggiarsi alle vittime per sottrarre denaro dal conto bancario senza che questi abbiano la possibilità di accorgersene o reagire. Questo strumento si chiama POS (dall’inglese Point of Sale) e deve essere abilitato per pagamenti senza contatto che possono spingersi fino a 25€ senza bisogno dell’inserimento del PIN. Sembra tutto troppo facile.
La soluzione – Data il proliferare di questo genere di soluzioni, sono già in commercio portafogli in grado di schermare eventuali intrusioni e proteggere dati personali e sensibili, come può essere un bancomat contactless.

La foto, per prima cosa, non è stata scattata in Italia, ma addirittura in Russia secondo quanto riportato dai quotidiani inglesi, i quali avevano riportato per primi la presunta notizia. Ecco il post originale dell’utente Facebook Paul Jarvis:

So this guy was spotted wandering round with a Point of Sale (POS) device. All he has to do is key in a price less than £30 and then touch the device on the pocket that contains your wallet. Ching! You’ve just been charged automatically on your touch pay enabled credit/debit card…. We just tried this in my local pub with their POS device and it worked… (I’ve actually shown people this using the NFC function on my mobile to read their card data through their wallet to freak them out but this is the first time I’ve seen someone doing it for real). Time to invest in a screened wallet I guess…

Attualmente il post è stato rimosso, ma è possibile ancora accedervi tramite Google Cache e Archive.is. Anche l’account di Paul Jarvis è scomparso. A questo punto dubito che si tratti di un vero account Facebook, probabilmente creato apposta per diffondere la notizia.
Un sito russo, Tjournal.ru, pubblicò la foto in un articolo dell’8 febbraio 2016 citando un post Facebook (cancellato anch’esso) di un presunto dipendente della nota azienda di sicurezza “Kaspersky Lab” di nome Oleg Gorobets. Lo stesso sito Tjournal.ru contattò un dipendente di una banca russa, il quale riteneva impossibile tale sistema di truffa, anche perché il truffatore sarebbe estremamente tracciabile.

Truffa possibile?

Secondo quanto riportato dal blog di “Kaspersky Lab” ci sarebbero degli impedimenti, tra cui la necessità di una determinata vicinanza:

Il raggio della trasmissione NFC è breve, inferiore ai 3 cm, per cui per il furto c’è un primo impedimento fisico. Il lettore, in sostanza, dovrebbe essere collocato nelle immediatissime vicinanze della tessera, operazione che non passa certo inosservata.

Servirebbero strumenti particolari, lo stesso articolo cita l’esistenza di apparecchi capaci di un raggio di azione di 80 cm e di appositi trojan per il cellulare.
Tuttavia l’individuazione della carta è solo un primo passo per l’attività truffaldina. Il passo successivo è la crittografia:

“In teoria, è possibile creare un terminale in grado di leggere i dati NFC di una carta direttamente dal portafoglio. Tuttavia, questo terminale dovrebbe utilizzare chiavi crittografiche prese dalla banca che accetta la transazione e dal sistema di pagamento. Le chiavi crittografiche vengono emesse dalla banca il che vuol dire che sarebbe facile rintracciare la truffa o effettuare delle indagini”, ci ha spiegato Alexander Taratorin, di Raiffeisen Bank.

Certo è che l’unico modo possibile, a questo punto, sarebbe che i truffatori siano in combutta con la banca o con i dipendenti della stessa. Rimane comunque valida la tracciabilità.
A trattare il caso è stato anche il sito Cosmopolitan.co.uk che ha contattato l’UK Cards Association per verificare l’eventualità della truffa e se vi sono stati dei precedenti:

A spokesman for The UK Cards Association told Cosmopolitan: “We have not received any reports of this type of incident ever occurring in the UK. Cardholders are fully protect against fraud and would receive a full refund from their bank.”

Dal canto loro non hanno mai ricevuto alcuna segnalazione in merito e rassicurano gli utenti che sono protetti da eventuali truffe, tanto da essere completamente rimborsati.
Anche l’Express.co.uk riporta la questione della tracciabilità del truffatore:

Every card payment is fully traceable, right through to the recipient account, meaning if any fraud is reported the recipient is easily identifiable.

Insomma, il gioco non vale la candela, visto il limite di prelievo senza l’apposito PIN, e i clienti comunque vengono rimborsati.
Riporto gli utilissimi consigli del blog Kaspersky:

Assicuratevi che nessuna possa visualizzare il codice PIN o altre informazioni della carta, non mostrate questi dati importanti a nessuno, fate attenzione alle app che scaricate sullo smartphone, installate sempre un buon antivirus, attivate le notifiche via SMS per le transazioni bancarie e avvisate subito la banca in caso di attività sospette.