Attacco ai conti bancari tedeschi: sette arresti tra Germania, Brasile ed Europa

Sette arresti per una frode da 30 milioni di euro

Le autorità tedesche e brasiliane hanno annunciato di recente sette arresti collegati a un attacco che, nel tardo 2023, avrebbe sottratto circa 30 milioni di euro dai conti bancari di utenti tedeschi.

La polizia federale tedesca, la BKA, ha comunicato il fermo di tre sospetti in Europa. Le accuse riguardano una frode ai danni di clienti di servizi bancari online. I procedimenti giudiziari a loro carico saranno avviati in Spagna e Bulgaria, con il coinvolgimento delle autorità locali e della procura di Francoforte.

In Brasile, la polizia federale ha arrestato altre quattro persone nell’ambito di Operação Klonen, chiamata anche Operation Clone. L’operazione ha portato all’esecuzione di 21 mandati di perquisizione e sequestro distribuiti in varie località del Paese.

Il bottino stimato ammonta a circa 30 milioni di euro, equivalenti a 34,7 milioni di dollari. La somma indica la dimensione finanziaria dell’attacco, ma non è stato reso noto quanto denaro sia stato recuperato.

L’attacco si è concentrato sulla catena dei pagamenti

Secondo la ricostruzione della BKA, gli aggressori hanno operato nell’arco di quattro giorni nel novembre 2023. In quel periodo avrebbero eseguito numerosi prelievi non autorizzati dai conti di utenti tedeschi di servizi bancari online.

Il punto sfruttato sarebbe stata una vulnerabilità presente in un provider di pagamenti. Non è noto quale azienda fornisse il servizio, né quale componente tecnica fosse vulnerabile. Le autorità non hanno pubblicato informazioni su codice, modalità di autenticazione aggirata, sistemi compromessi o eventuali strumenti utilizzati dagli attaccanti.

Questa distinzione è rilevante. L’episodio non viene descritto come una semplice sottrazione di credenziali tramite phishing, ma come un attacco a un elemento della catena che gestisce i pagamenti. Una debolezza in quel livello può consentire di colpire più clienti attraverso un singolo punto d’accesso, anche quando i sistemi della banca non sono direttamente compromessi.

Le autorità brasiliane hanno aggiunto un elemento operativo: l’uso di carte di pagamento clonate. Non è stato chiarito se le carte siano state impiegate per prelevare direttamente il denaro, per spostarlo tra conti o per effettuare acquisti successivamente convertiti in disponibilità liquide.

La banca non è stata identificata ufficialmente

Nessuna delle forze dell’ordine ha indicato pubblicamente il nome della banca colpita. Media tedeschi e brasiliani hanno però associato l’indagine a Commerzbank.

La banca aveva confermato nel tardo 2023 un attacco dal valore di 30 milioni di euro e aveva dichiarato che i clienti non avrebbero subito perdite. Non sono stati forniti immediatamente ulteriori commenti sulla nuova fase dell’inchiesta.

L’assenza di un’identificazione ufficiale lascia aperti diversi aspetti: non è noto quale specifico provider di pagamenti sia stato coinvolto, quali sistemi siano stati utilizzati per autorizzare i prelievi e se l’incidente abbia interessato una singola infrastruttura o più intermediari.

Non sono state inoltre rese pubbliche le versioni dei software coinvolti. Di conseguenza, non è possibile associare l’episodio a una specifica release, a un bollettino di sicurezza o a un identificativo CVE.

Il denaro sarebbe passato attraverso più Paesi

Dopo i prelievi, il denaro sarebbe stato trasferito e riciclato tramite reti attive in Brasile e in quattro Paesi europei. La distribuzione geografica delle attività ha richiesto il coordinamento tra polizie e procure di più Stati.

I tre sospetti fermati in Europa saranno perseguiti in Spagna e Bulgaria. All’indagine hanno collaborato anche le autorità spagnole e bulgare, oltre alla procura di Francoforte. In Brasile, l’operazione ha puntato sia alle persone coinvolte sia ai beni che potrebbero essere stati acquistati con i proventi della frode.

I tribunali brasiliani hanno disposto il sequestro di attività finanziarie, veicoli e immobili per un valore superiore a 20 milioni di dollari. Il sequestro non equivale a un recupero definitivo delle somme: i beni dovranno essere valutati nell’ambito dei procedimenti giudiziari e delle eventuali decisioni sulla confisca.

L’indagine ha inoltre portato alla luce possibili collegamenti con la politica locale. Un soggetto identificato dagli investigatori era candidato a una carica elettiva nel 2024 e avrebbe utilizzato parte dei proventi illeciti per finanziare la campagna. Media locali lo hanno descritto come candidato al consiglio comunale di Rio de Janeiro, senza divulgarne il nome.

Durante le perquisizioni è stata sequestrata anche una stampante 3D che sarebbe stata utilizzata per fabbricare armi. Il ritrovamento amplia il quadro investigativo oltre la frode bancaria e il riciclaggio, ma non dimostra da solo un collegamento operativo tra la produzione delle armi e l’attacco ai conti.

Che cosa possono fare banche e clienti

Le informazioni disponibili non indicano patch, aggiornamenti o workaround pubblici per la vulnerabilità del provider di pagamenti. Non è quindi possibile suggerire agli utenti una versione specifica da installare o una configurazione da modificare.

Per i clienti di servizi bancari online, le misure più concrete restano il controllo degli estratti conto e delle notifiche di pagamento, soprattutto per il periodo in cui si sono verificati i prelievi. Movimenti non riconosciuti, nuove carte emesse senza richiesta o accessi anomali devono essere segnalati immediatamente alla banca.

Le organizzazioni finanziarie dovrebbero invece verificare i controlli applicati ai provider esterni che partecipano all’autorizzazione e all’esecuzione dei pagamenti. In un attacco di filiera, la protezione della banca non basta se un componente intermedio può generare o validare operazioni fraudolente.

Tra le verifiche prioritarie rientrano la separazione dei privilegi, il monitoraggio dei prelievi anomali, i limiti dinamici sulle transazioni e la correlazione tra accessi, dispositivi, carte e coordinate dei beneficiari. Il brief pubblico non consente però di stabilire quali di questi controlli siano mancati nell’incidente.

Un’indagine ancora priva di dettagli tecnici

Gli arresti e i sequestri mostrano che l’inchiesta ha identificato una rete transnazionale, ma non chiariscono ancora la dinamica completa dell’intrusione. Restano non noti il nome del provider di pagamenti, la vulnerabilità sfruttata, il metodo con cui sarebbero state clonate le carte e l’ammontare recuperato.

Non risulta inoltre che questa vulnerabilità sia stata inserita nel catalogo Known Exploited Vulnerabilities (KEV) della CISA. Non sono quindi disponibili, per questo caso, una data di inserimento o una scadenza di remediation associata al catalogo.

Per ora il caso viene trattato soprattutto come un’indagine giudiziaria su frode, riciclaggio e trasferimenti internazionali di denaro. La ricostruzione tecnica dell’attacco dipenderà dalle prossime comunicazioni delle autorità, dalla documentazione processuale e dalle eventuali informazioni pubblicate dalla banca o dal provider coinvolto.