Innanzitutto, cos’è una compromissione dell’account, o ATO? Un’appropriazione indebita di un account è una forma di frode che si verifica quando un malintenzionato ottiene l’accesso non autorizzato all’account di un negozio online.

Quando i truffatori ottengono l’accesso agli account online di clienti legittimi, ottengono una grande quantità di informazioni di alto valore. Le transazioni fraudolente che riescono a commettere con queste informazioni sono più difficili da individuare e fermare perché sembrano effettuate da clienti noti. Gli ATO sono anche più dannosi di altre forme di frode con carta non presente (CNP): oltre alla perdita di fatturato derivante dal furto di punti fedeltà e ai costi associati agli addebiti e alla reazione agli incidenti di frode, questi attacchi hanno un impatto devastante sulla reputazione del marchio e sul valore del ciclo di vita di un cliente.

L’archiviazione dei dati è diventata un grande vantaggio per i consumatori digitali, rendendo lo shopping online più fluido, ma significa anche che gli account dei negozi sono più redditizi e più vulnerabili ai truffatori. Tutto ciò di cui un truffatore ha bisogno per impossessarsi di un account è il punto di accesso più semplice: nome completo, indirizzo email, data di nascita, qualsiasi cosa, e da lì lavora per impossessarsi dell’account.

Gli ATO sono diversi dalla frode CNP più comune. In una tipica frode CNP, un truffatore acquista i dati di una carta di credito rubata, solitamente sul dark web, e li utilizza per effettuare acquisti. Gli attacchi di furto di account aggiungono un ulteriore passaggio: prima di commettere la frode, un malintenzionato ottiene l’accesso all’account del negozio eCommerce di un cliente legittimo.

Da lì, ci sono numerose opportunità di frode che possono tentare, dall’utilizzo di metodi di pagamento memorizzati per effettuare acquisti, all’utilizzo di dati di carte di credito rubate non correlate, al trasferimento o all’utilizzo di preziosi punti fedeltà, come miglia aeree.

Poiché le transazioni effettuate da clienti abituali sono ampiamente riconosciute come “sicure”, è meno probabile che i commercianti le contestino, il che consente a un maggior numero di ATO di passare inosservati.

Come avviene l’acquisizione di un account?

Uno degli effetti collaterali indesiderati dell’incoraggiare i clienti ad aprire conti correnti è quanto questi conti siano un bersaglio allettante per i truffatori. Gli attacchi ATO sono diventati sempre più redditizi e facili. Oggigiorno, gli ATO sono così comuni che il processo di attacco è completamente semplificato. Anche un truffatore dilettante può entrare nell’account di un buon cliente in pochi minuti.

Spesso gli specialisti del phishing manipolano e ingannano i titolari di account (in alcuni casi persino i rappresentanti del servizio clienti) inducendoli a fornire le proprie credenziali. Altre volte, i truffatori creano un mockup di un sito popolare, come Amazon.com, e chiedono agli utenti di reimpostare le proprie password. I kit per creare tali mockup vengono venduti nel dark web.

I truffatori online si affidano a pochi approcci su larga scala per compromettere gli account. Alcuni dei percorsi più riconosciuti per ATO sono:

Attacchi di phishing: Un metodo comune utilizzato dai truffatori digitali per indurre gli individui a fornire loro informazioni personali e relative al proprio account. Questi attacchi si presentano sotto forma di telefonate, messaggi di testo e, più comunemente, e-mail.

Credential stuffing: quando i truffatori ottengono l’accesso ai dati compromessi durante una violazione, ottengono un elenco di combinazioni di nomi utente e password e possono quindi utilizzare dei bot per testare i set di credenziali in molti negozi online diversi. Il processo viene fatto in massa: centinaia e migliaia di potenziali accessi vengono testati.

Cosa succede dopo una compromissione dell’account?

Quando i truffatori riescono ad accedere agli account dei clienti legittimi, ottengono una grande quantità di informazioni di valore elevato. Le transazioni fraudolente che seguono sono più difficili da individuare e fermare perché sembrano effettuate da clienti noti. Una volta ottenuto l’account di un cliente affidabile, i truffatori possono tentare una serie di truffe.

Possono effettuare acquisti con metodi di pagamento memorizzati, utilizzare punti fedeltà (come le miglia dei viaggiatori frequenti) e rubare preziose informazioni personali per utilizzarle e venderle altrove. I tipi di dati personali che gli acquirenti memorizzano regolarmente nel loro account online includono indirizzo, e-mail, numero di telefono, metodi di pagamento e numeri di documenti d’identità, compresi i numeri di passaporto.

Anche gli ATO sono più costosi: oltre alla perdita di fatturato e ai costi associati ai chargeback, questi attacchi hanno un impatto devastante sulla reputazione del marchio e sul valore del ciclo di vita di un cliente.

Il costo degli attacchi bot ATO

Costi diretti delle frodi: gli ATO comportano addebiti non rimborsabili e, sebbene oggi i commercianti abbiano difficoltà a individuare quali addebiti non rimborsabili e quali transazioni con punti fedeltà siano il risultato degli ATO, le perdite nascoste e palesi sono significative.

Costi del servizio clienti: Quando i clienti subiscono il furto dei loro account e nessuno interviene in modo proattivo, è probabile che chiamino o inviino un’e-mail al commerciante per lamentarsi. Poiché sono in gioco informazioni personali sensibili, gli agenti devono verificare di stare effettivamente parlando con il titolare dell’account e non con un truffatore che cerca di entrare in un account. La quantità di ore di lavoro necessaria per risolvere uno di questi ticket si accumula rapidamente.

Perdita del valore del ciclo di vita del cliente (CLV): quasi la metà dei clienti (43,2%) afferma che non farebbe più acquisti in un negozio online se il proprio account fosse compromesso, secondo un sondaggio di Riskified.

Danni al marchio e perdite conseguenti: gli attacchi ATO hanno un impatto devastante sulla reputazione del marchio. Nei casi estremi, gli attacchi possono finire sui media e persino causare crolli dei prezzi delle azioni. Il danno può essere difficile da quantificare, ma la reputazione del marchio può rappresentare il problema aziendale più serio in gioco quando viene violato un account cliente.

Mitigazione degli attacchi bot di acquisizione di account

Esistono diverse misure di sicurezza che i commercianti online possono adottare per prevenire attacchi bot indesiderati e furti di account, ma prima di tutto è importante che i commercianti comprendano quanto sia vulnerabile la loro azienda o il loro negozio di e-commerce.

Dopo aver stabilito il rischio e le conseguenze, dovrebbero decidere quanto prudente debba essere il loro negozio: i commercianti devono stabilire una soglia di rischio considerando le loro potenziali vulnerabilità alle frodi. Altrettanto importante è che i commercianti considerino anche come i loro clienti reagirebbero all’adozione di ulteriori misure di sicurezza.

Il passo successivo sarebbe stabilire quando e come bloccare gli utenti malintenzionati, avvisare i clienti dei tentativi di accesso sospetti o richiedere la verifica dell’identità. Considerando la scarsità di dati a disposizione sull’utente quando tenta di effettuare l’accesso, prendere queste decisioni non è un compito facile. Un programma di condivisione dei dati con altri commercianti può aiutare a reperire informazioni critiche.

Una soluzione di apprendimento automatico che include il collegamento delle identità e una solida rete di commercianti è uno degli strumenti più potenti che un commerciante può avere per difendersi dagli attacchi di bot che prendono il controllo dell’account.

Scopri di più su Account Secure

Con la nostra soluzione di sicurezza dell’account completamente automatizzata, puoi bilanciare un’esperienza cliente fluida con la prevenzione degli ATO.

Scopri di più

Frodi con le carte regalo: metti fine a queste 8 truffe