La data di nascita può sembrare innocua quando viene richiesta durante la registrazione online, ma i professionisti della cybersicurezza avvertono che può diventare preziosa se combinata con altre informazioni personali. I criminali possono usarla per far apparire legittime chiamate, email o tentativi fraudolenti di recupero degli account.
Le date di nascita vengono spesso raccolte da rivenditori, programmi fedeltà, newsletter e concorsi online. Possono anche essere esposte in violazioni dei dati e successivamente vendute o combinate con informazioni provenienti da altre fonti. In una recente violazione che ha coinvolto il rivenditore online Asos, le date di nascita dei clienti erano tra le informazioni sottratte.
Jake Moore, consulente presso la società di cybersicurezza ESET, afferma che una data di nascita, da sola, non è particolarmente preziosa per i criminali. Tuttavia, combinata con nomi, numeri di telefono e altri dettagli, può aiutarli a impersonare le vittime o a commettere frodi d’identità.
Alexandre François, che indaga sulle truffe per la società di intelligence WhoisXML API, ha scoperto che otto dei 14 rivenditori da lui recentemente analizzati chiedevano ai clienti la data di nascita durante la registrazione. Secondo lui, i rivenditori possono conservare questo dato perché l’età del cliente può essere utile per il marketing e la profilazione del pubblico.
Le informazioni rubate possono essere utilizzate per rendere più credibili i messaggi di phishing o per convincere gli addetti all’assistenza di un’azienda che a parlare sia il vero titolare dell’account. Serpil Hall, esperta di sicurezza presso Datos Insights, afferma che una violazione ai danni di un rivenditore può fornire nome, data di nascita, indirizzo email e indirizzo fisico. Altri dati sottratti e informazioni disponibili pubblicamente, come numeri di telefono, profili social, dettagli sull’impiego e parenti, possono poi essere aggiunti per creare un profilo d’identità più completo.
Le persone dovrebbero prestare attenzione quando vengono contattate inaspettatamente, anche se il chiamante o il mittente conosce dettagli personali apparentemente convincenti. Moore afferma che usare una data di nascita diversa sui siti a basso rischio può limitare l’esposizione, mentre è preferibile lasciare vuoti i campi personali non necessari. Suggerisce inoltre di usare un indirizzo email separato per gli acquisti online, così da poterlo abbandonare se viene coinvolto in una violazione.
François afferma che in genere i rivenditori hanno bisogno delle informazioni della carta di pagamento e di un indirizzo per la consegna. La verifica dell’età può comunque essere necessaria per gli acquisti che riguardano prodotti soggetti a restrizioni, come i coltelli.
Consiglia di riservare la data di nascita e il nome reali alle organizzazioni che verificano l’identità attraverso registri ufficiali, tra cui banche, istituti di credito, autorità fiscali, agenzie che rilasciano patenti di guida e passaporti, controlli del diritto al lavoro e comunicazioni della polizia. Per i normali account dei rivenditori, afferma, lasciare vuoto il campo della data di nascita è l’opzione migliore. Se un sito lo rende impossibile, usare la stessa data alternativa presso diversi rivenditori può renderla più facile da ricordare senza divulgare quella reale.
Fonti: The Guardian Technology.