Australia: le agenzie governative mettono al bando la webmail

Ambito: amministrazione pubblica
Tipologia: analisi e prevenzione

In un report sulla sicurezza delle informazioni delle agenzie governative australiane, l'Auditor-General Ian McPhee ha raccomandato che le agenzie non debbano permettere al personale di ricevere e inviare email sui sistemi aziendali utilizzando servizi di webmail, citando esplicitamente Hotmail e Gmail come esempi di tali piattaforme.
Secondo McPhee, "il problema con tali sistemi è che essi offrono un punto d'ingresso facilmente accessibile  per attacchi esterni" e rendono soggetti i dipartimenti governativi a potenziali divulgazioni di informazioni intenzionali e non.
L'analisi condotta in diverse agenzie ha mostrato che gli account webmail sono utilizzati dallo staff regolarmente: dal solo dipartimento del Primo Ministro, gli hit ai siti delle webmail in due mesi sono stati più di un milione.
Laddove lo staff necessiti l'accesso alle webmail, viene suggerito l'utilizzo dell'approccio "internet cafe", dove delle postazioni stand-alone poste all'interno delle agenzie possono accedere a questi servizi online.
In risposta alle raccomandazioni dell'audit, il Gabinetto del Primo Ministro chiuderà l'accesso a ogni webmail entro il 1 luglio 2011, sebbene abbia affermato che gli opportuni controlli siano già stati da tempo implementati.


Fonte: zdnet.au via SANS Newsbytes

Francia: le assicurazione Verspieren corregono una falla

Ambito: assicurazioni
Tipologia: fuga di informazioni personali
Tipologia: violazione della sicurezza

Alcuni mesi fa è stata scoperta una vulnerabilità nel servizio online delle assicurazioni Verspieren: una volta che un utente si era collegato con i suoi dati di accesso, poteva visualizzare i dettagli di altri clienti della compagnia di assicurazione.
La potenziale fuga di dati, presente nello spazio Verspieren Benefits, permetteva a chiunque si fosse autenticato di modificare l'URL visualizzato per inserire un altro numero di polizza (ad es. siteweb.com/clients/123 par siteweb.com/clients/124), e visualizzare così i dati di altre persone.
L'accesso a tali dati non era comunque possibile senza prima essersi autenticati con il propcio Customer ID e la relativa password.
La vulnerabilità, scoperta da ZATAZ.COM è stata immeditamente segnalata alla società che però non vi ha posto rimedio. Dopo alcuni mesi e successivamente alla pubblicazione sui media, la Verspieren ha immediatamente corretto la falla affermando che il "problema non era stato risolto in precedenza poiché l'avviso di ZATAZ era stato considerato un messaggio spam per cui non era stato preso in esame."
Altre 12 assicurazioni francesi si sono rivolte al sito di segnalazioni di sicurezza per assicurarsi di non essere vittima del medesimo problema.

Fonte: ZATAZ

Regno Unito: dati confidenziali inviati per errore via email

La sede della Spectrum Housing
a Christchurch - Dorset

Ambito: industria
Tipologia: fuga di informazioni personali

I dettagli personali di 200 dipendenti del gruppo di edilizia abitativa Spectrum Housing sono stati erroneamente inviati per email al destinatario sbagliato.
I dati, contenuti in un foglio elettronico, comprendevano vari dettagli sulle identità dei dipendenti, ovvero nomi, date di nascita, numero della National Insurance e sono stati inviati da un dipendente che ha selezionato il destinatario sbagliato della email.
Fortunatamente il foglio elettronico non conteneva nessun dato sui salari o sui conti in banca.
Anne Wildeman, il direttore del personale della Spectrum, ha classificato l'incidente come un errore umano, che è stato immediatamente portato all'attenzione degli opportuni organismi aziendali: il destinatario errato è stato subito contattato e ha assicurato di non avere alcuna intenzione di inoltrare i dati ad altre entità, cancellando il file dal suo computer.
La Wildeman si è detta soddisfatta del trattamento dell'incidente, ma in ogni caso verrà rivisto il piano di formazione interna sulla sensibilizzazione alle tematiche di sicurezza e verrà effettuata un'analisi per considerare eventuali miglioramenti ali sistemi IT di controllo.

 Fonte: Bournemouth Echo via Office of Inadequate Security

Italia: bancario condannato per appropriazione indebita

Ambito: finanza
Tipologia: frode aziendale

Un bancario di Porto Empedocle,  Fabrizio Cimino di 32 anni, è stato condannato a 1 anno di reclusione per aver sottratto 38.000 euro all'agenzie di Banca Nuova di Canicattì, presso cui era impiegato nell'estate del 2008.

Fonte: Corriere di Sciacca

USA: dipendente di Wachovia Bank condannata per furto di identità

Ambito: finanza
Tipologia: fuga di informazioni personali

Marisol Morales, una ex-dipendente di Wachovia Bank, è stata condannata a due anni e un giorno di prigione per frode bancaria e furto di identità aggravato: la donna è stata riconosciuta colpevole di aver fatto parte di un piano per defraudare il suo datore di lavoro di 367.000 dollari.
Dal luglio 2006 al gennaio 2007, mentre era impiegata come addetta al servizio clienti della banca, la donna ha venduto informazioni confidenziali di conti correnti e specimen di firma a una persona esterna, permettendo che venissero emessi e ritirati assegni falsi.
L'ammontare totale degli assegni emessi era di $ 532.279,11, ma non tutti sono stati incassati, portando l'ammanco di Wachovia Bank a 367.003,43 dollari.

Fonte: Office of Inadequate Security

USA: fuga di informazioni coinvolge Bank of America

Ambito: finanza
Ambito: assicurazioni
Tipologia: fuga di informazioni confidenziali

Mentre è ancora viva la minaccia di WikiLeaks di divulgare informazioni su una non ancora ben identificata banca statunitense (che pare comunque trattarsi di Bank of America), un'altra fuga di dati confidenziali colpisce l'istituto finanziario di Charlotte, in North Carolina.
Il gruppo Anonymous ha infatti divulgato una serie di e-mail scambiate da dipendenti di Balboa Insurance, una divisione di BofA recentemente venduta al gruppo australiano QBE Insurance Group Ltd.

Le mail riguardano una procedura dell'azienda di assicurazioni relativa all'emissione di polizze aggiuntive richieste da aziende che erogano mutui.
I membri di Anonymous affermano che le email costituiscono prove della frode che la banca ha commesso nascondendo degli errori agli auditor federali: le email sottratte, datate novembre 2010, mostrano un errore riguardante alcune abitazioni che richiedevano un'assicurazione contro le inondazioni ma che si trovavano in una zona ad alto rischio di inondazioni.
La persona che ha consegnato le email ad Anonymous è Brian Penny, un ex-dipendente della Balboa.
Circa 80 documenti sull'assicurazione contro le inondazioni vennero contrassegnati oer essere rimossi da un sistema interno, a causa dell'errore. Penny afferma che la banca voleva rimuovere i files in modo che gli auditor non notassero l'errore.
La banca non ha negato l'esistenza delle email, ma non ritiene di aver commesso nessuna infrazione, accusando però l'ex-dipendente di aver trafugato documenti confidenziali.

Fonte: The Wall Street Journal / The Huffington Post

Francia: potenziale fuga di dati da assicurazione

Tipologia: fuga di informazioni sensibili
Ambito: assicurazioni

Un'importante società di assicurazioni francese sta permettendo da alcuni mesi di accedere liberamente a dati sensibili di alcuni suoi clienti.
L'esposizione dei dati, individuata e comunicata alla società da Zataz già nel dicembre dello scorso anno, permette di visualizzare le informazioni di 10.774 francesi espatriati che hanno sottoscritto una o più polizze con l'azienda di assicurazioni. Tra i dati disponibili: nomi, cognomi, date di nascita, numero di sicurezza sociale, numero di contratto, situazione famigliare, numero di figli, indirizzo all'estero e in Francia, coordinate bancarie.
La figura seguente mostra la situazione di un assicurato disponibile online:

 

Sembra che sia inoltre possibile apportare modifiche al conto corrente dei clienti e ai dettagli di come e dove effettuare i rimborsi.

Zataz, una volta individuata la falla di sicurezza, ha, come al solito, avvisato la società che però, a tutt'oggi, non ha implementato alcuna protezione ulteriore dei propri dati e delle proprie applicazioni.

E' scattata quindi la seconda fase, in cui viene divulgata la notizia della vulnerabilità, senza comunque comunicare il nome dell'azienda.

Fonte: Zataz