Il passaggio di denaro da un luogo all’altro porta sempre con sé un margine di rischio. Quando tiriamo fuori il portafoglio per pagare il pane, quando ritiriamo i soldi dal bancomat, quando emettiamo un assegno o effettuiamo un bonifico, la possibilità di furti, scippi, truffe e rapine è una preoccupazione che quasi nessuno sottovaluta.

I rischi insiti nelle transazioni finanziarie non sono presenti solo nelle transazioni reali ma, ovviamente, anche in quelle virtuali con il vantaggio, rispetto ad altri tipi di scambi e negoziazioni, che nel caso delle transazioni finanziarie online gli intermediari attuano importanti (e costose) strategie tecnologiche e comportamentali per tutelare il cliente e se stessi.

Il trading online è una forma particolare di e-commerce che prevede la presenza di numerosi soggetti intermediari e una normativa estremamente complessa (anche relativa alla sicurezza), specifica per ogni categoria di enti che contribuiscono a far funzionare la “strada degli ordini”.

La normativa più importante è la direttiva 2007/64/CE sui servizi di pagamento, da cui sono derivate le indicazioni vincolanti dell’ABE-EBA (l’autorità bancaria europea) che obbliga gli intermediari ad adottare quella che viene definita l’autenticazione forte (strong authentication) o autenticazione a due fattori: devono essere messi a disposizione del cliente tre elementi e il cliente deve poter sceglierne due di essi; gli elementi devono essere una cosa che si conosce (es. pin o password), una cosa fisica che si possiede (carta, smartphone, token fisico/token app, etc.) e una cosa che si è (una caratteristica fisica, es. impronta digitale, vocale o ottica). L’uso di un solo elemento (es. la password) è considerata “autenticazione debole”.

I servizi predisposti dagli intermediari, inoltre, si evolvono progressivamente per evitare che comportamenti errati dei clienti o attività malevole di intrusione possano sfruttare eventuali debolezze del sistema.

Vi sono quindi molteplici livelli di sicurezza che contribuiscono a ridurre strutturalmente i rischi. Nel trading online convergono rischi tipici delle transazioni finanziarie (rischio di fallimento, rischio di insolvenza, rischio di controparte, etc.) e degli investimenti (rischio di mercato) con i rischi della tecnologia informatica (software e hardware), delle connessioni di rete (hacker, intrusioni, virus, trojan, etc.) e dei comportamenti umani disattenti o superficiali.

Per ogni tipologia di rischio vi sono comunque contromisure e accorgimenti in grado di ridurre i rischi (quasi) a zero. Ciò significa che il percorso dell’ordine dal nostro pc alla borsa e ritorno è, quindi, attentamente monitoratoattraverso strategie di sicurezza preventive e comportamentali, e in queste strategie il comportamento corretto del trader/utente non è soltanto auspicato o facoltativo ma obbligatorio, cioè previsto e regolato sia dalla normativa sia dai contratti.

Come ogni attività sul web, anche il trading online è minacciato da pericoli come ad esempio virus informatici o intrusioni di hacker e truffatori. Come difendersi? Scoprilo sul Magazine Banco BPMgrazie all’articolo di Andrea Fiorini dedicato alla sicurezza nel trading online.

Questo tipo di attività è prevalentemente basata su filtri all’ingresso dei sistemi, cioè antivirus, firewall, criptazione degli ordini e dei messaggi, e così via; per attivarla è per esempio necessario aver installato sul proprio computer un buon antivirus e tenerlo sempre aggiornato (è possibile impostarlo affinché si aggiorni automaticamente). Questo aiuta a prevenire l’intrusione attraverso Internet ma anche l’involontaria installazione sul proprio pc di virus, malware, trojan e altri tipi di programmi invasivi che possono creare molti problemi, fino a riuscire a prendere il controllo del pc o a rubare le password dei conti correnti.

I firewall, programmi di sbarramento all’accesso di un pc o di una rete, sono una versione più evoluta degli antivirus ma sono più complessi da installare e gestire. Tutti i server a cui noi accediamo, compresi quelli dei broker, ne hanno di estremamente avanzati e garantiscono una buona protezione a tutto il sistema.

In più le comunicazioni sensibili verso il broker e verso il mercato (ordini e dati personali) sono criptati, ovvero le piattaforme operative “incapsulano” il nostro messaggio in un sistema che lo modifica completamente in base a specifici algoritmi, e quando il messaggio o l’ordine arriva a destinazione un programma lo decodifica, lo legge e, se necessario, lo esegue.

Nell’ambito della sicurezza passiva delle transazioni, sia per quanto riguarda l’internet banking sia per il trading, rientrano gli strumenti fisici che aiutano a rendere più difficile che qualcuno sottragga i nostri dati e li utilizzi a nostra insaputa. Si tratta per esempio dei token fisici, strumenti simili a chiavette USB che generano codici utilizzabili soltanto una volta e necessari per l’accesso al conto o l’esecuzione di disposizioni, e vanno usati sempre insieme a codice identificativo e password.

Accanto ad essi vi sono altri strumenti simili, come le tessere con i codici prestampati o altri. Questi sistemi vengono però ora progressivamente messi da parte a favore di sistemi basati su smartphone e su app che generano codici utilizzabili una sola volta (codice OTP o one time password). E ancora, la maggior parte dei broker consente di identificare il proprio pc/tablet/smartphone come “postazione autorizzata”, quindi se l’accesso avviene da postazioni diverse il sistema si allarma e lo segnala.

Tutti gli accorgimenti hardware e software sono però inutili se ci colleghiamo al nostro conto corrente da un Internet cafè e per farlo segniamo password e codici su un “giallino” che poi ci dimentichiamo attaccato al monitor. Questo significa che il corretto comportamento del trader/utente è essenziale per evitare problemi ed è parte integrante del sistema di sicurezza che proteggono le transazioni con gli intermediari.

Esempi importanti sono la conservazione dei codici (è impossibile ricordarseli tutti a memoria, ma devono essere conservati in luoghi fisici o virtuali inaccessibili e utilizzando “un codice” personale che non sia noto a nessuno), come pure la cura degli strumenti d’accesso, ma anche l’attenzione alle comunicazioni.

Il phishing (cioè la “pesca”) consiste nel mandare email che sembrano arrivare dall’intermediario ma che portano su siti fasulli che richiedono informazioni sensibili con le più varie argomentazioni: di solito è facile comprenderne la natura osservando il loro indirizzo di posta, che non è mai (non può essere) uguale a quello dell’intermediario reale.

Sicurezza comportamentale vuol dire in questo caso abituarsi sempre a controllare il mittente se vi è una richiesta strana di codici, password, dati sensibili o rimborsi, fare attenzione ai siti su cui si naviga usando il pc con cui si accede ai conti, aggiornare sempre l’antivirus, aggiornare periodicamente le password, non accedere ai conti da pc pubblici o di altri, e non da rete wi-fi non sicure, ma soprattutto non fornire a nessuno, direttamente, via email o via telefono i propri dati sensibili.

di Andrea Fiorini

L’articolo è di carattere divulgativo aggiornato alla data di pubblicazione. Per conoscere l’offerta della Banca consulta l’area Prodotti.

Messaggio pubblicitario a finalità promozionale. Per le condizioni contrattuali si rinvia ai fogli informativi e/o alla documentazione contrattuale disponibili sul sito www.bancobpm.it e presso le filiali della Banca.