È ancora possibile comprare un green pass che risulterà valido a un controllo con l’app Verifica C-19. Noi ci siamo riusciti, interagendo con un truffatore, e dal ministero della Salute confermano che sì, sono ancora sfruttate credenziali di medici per inserire nel sistema i dati necessari per l’ottenimento del green pass.
Il problema di ottobre (vedi articolo sotto) c’è ancora insomma, per quanto – spiegano dal ministero – ogni volta che si scoprono green pass fasulli e relative credenziali rubate, il sistema Digital green certificate si affretta a revocarli e, insomma, metterci una toppa.
Indice degli argomenti
La truffa del green pass: come funziona
In particolare, il truffatore che abbiamo contattato su canali chat ha creato un green pass a nome di una persona fittizia, di guarigione, perfettamente valido e in dodici ore.
Appositamente non diamo altre indicazioni, a riguardo.
Ciò che conta è che il green pass c’è, ed è funzionante, non è marchiato con chiavi estere, ma è italiano direttamente firmato dal nostro Ministero della Salute. L’abbiamo potuto ottenere tramite il normale sistema digital green certificate italiano, come un normale green pass.
La causa del problema
Lo stesso problema di ottobre, si diceva, ma un po’ diverso. Il commercio online dei green pass, nel black market, cambia strategia. Infatti seguire dosi di vaccino, super green pass e booster diventa laborioso. Si punta tutto sui guariti.
Ci sono credenziali di piattaforme sanitarie compromesse: account di medici sottratte, nei classici modi del cyber crime (phishing, probabilmente).
Il certificato verde di guarigione da COVID-19 lo emette il Ministero della Salute, ma la condizione che permette di ottenere il green pass può essere inserito da diversi attori che accedono alla piattaforma del sistema sanitario. Medici che certificano la guarigione, farmacie che fanno i tamponi…
Nessuno sa quante credenziali siano state rubate o sfruttate in modo truffaldino. Seguendo la vicenda da vicino e studiando l’evoluzione degli abusi sui green pass ormai da mesi, abbiamo modo di pensare che i numeri di persone immesse nel sistema in questa maniera non siano piccoli.
Le attività si svolgono su Telegram e dal monitoraggio dei canali possiamo testimoniare un’accesa attività in questo senso, un giro d’affari che può tranquillamente soddisfare le 250 richieste a settimana per gruppo.
Altra ipotesi tecnica, che porterebbe allo stesso risultato, sarebbe quella di sfruttare, sempre dalla medesima piattaforma appena descritta, l’inserimento di persone prive di codice fiscale italiano (come fossero estere), con documenti d’identità esteri non gestiti dal sistema documentale italiano, ma con tutti i dati anagrafici di un normale cittadino italiano. A quel punto, se questa fosse la tecnica utilizzata, ci sarebbe il vantaggio dell’assenza di collegamento tra tessera sanitaria e codice fiscale e documento d’identità, i campi sarebbero slegati da quelli anagrafici e le verifiche inesistenti perché di fatto verrebbero trattati come cittadini esteri.
I quali comunque però, in base alle date che vengono inserite (di positività e di negatività del tampone), avranno un AUTHCODE valido per poter scaricare il proprio green pass, appena illecitamente immesso dalla piattaforma compromessa.
Per intenderci potrebbe essere il risultato che esce da questa impostazione di recupero:
La compromissione di queste piattaforme, l’accesso non autorizzato di terze parti, la scarsa configurazione di filtri e protezioni sui sistemi che le ospitano, sono tutti problemi di estrema sensibilità di un nodo che, con una risposta alla pandemia in piena campagna vaccinale, diventa estremamente strategico per il Paese.
