Cyberprzestępca = cyberochrona

opublikowano: 13-03-2019, 10:26

Ataki na nasze pieniądze w sieci są niestety codziennością. Nie oznacza to jednak, że nie możemy się przed nimi bronić. Istnieją skuteczne metody ochrony i walki z cyberprzestępcami.

Z usług bankowych możemy korzystać bezpiecznie, wystarczy tylko zachować ostrożność i czujność, gdy otrzymamy niestandardowe maile. Same banki też coraz skuteczniej zabezpieczają siebie i nas przed cyberatakami.

Rośnie liczba ataków, wzrasta ochrona

- Od 10 lat obserwujemy stały wzrost ataków zarówno na same systemy bankowe jak i klientów  – wyjaśnia Jacek Skorupka, dyrektor Biura IT Security w Idea Banku. - Dziś znacząca liczba transakcji odbywa się przez kanał internetowy lub coraz częściej mobilny, a jednocześnie od kilkunastu lat borykamy się ze stałym rozwojem cyberprzestępczości ukierunkowanej finansowo. Efektem tego są wzmożone ataki cyberprzestępców na banki, które reagują na to poprzez stałe zwiększenie poziomu bezpieczeństwa - zapewnia.  

Jak to wygląda w praktyce? Każdy z nas na co dzień korzysta z aplikacji bankowych, które zapewniają poprawne mechanizmy logowania i autoryzacji transakcji - logowanie do aplikacji wymaga podania hasła, a tożsamość strony jest potwierdzana poprzez certyfikat SSL. Wszelkie transakcje wymagają zatwierdzenia hasłami jednorazowymi (jest to tzw. silne uwierzytelnienie), warto też zauważyć, że obecna regulacja PSD wymusza kolejne zwiększenie bezpieczeństwa aplikacji bankowych w kontekście silnego uwierzytelnienia. Będzie ono wymagane przy większej liczbie transakcji, ale przede wszystkim musi bazować na niezależnych czynnikach (czyli coś co użytkownik wie – np. hasło lub coś co posiada – może to być urządzenie lub cecha biometryczna użytkownika) 

Niezależnie od tego bankowe aplikacje internetowe i mobilne są poddawane regularnym testom bezpieczeństwa, których celem jest wychwycenie luk pozwalających na obejście przez cyberprzestępców. W przypadku zidentyfikowania luki w zabezpieczeniach aplikacja jest niezwłocznie poprawiana.

Banki na bieżąco monitorują też, za pośrednictwem wyspecjalizowanych podmiotów, działania cyberprzestępców (tzw. threat intelligence) i reagują na nowe zagrożenia. – Aby pokazać ich skalę dodam, że miesięcznie blokujemy kilka tysięcy podejrzanych adresów i domen sieciowych – wyjaśnia Skorupka. 

Obok zabezpieczeń samej bankowości banki wdrożyły szereg systemów chroniących sieć banków, ale z wiadomych względów informacje na ten temat są tajne. 

Klient najłatwiejszym celem?

- Cyberprzestępcy nie są już zwariowanymi geekami, dla których liczy się wyzwanie. Ataki są ukierunkowane na kradzież środków – liczy się szybki i łatwy zysk – wyjaśnia dyrektor. - Dziś nie warto atakować dobrze zabezpieczonego banku – łatwiej zaatakować nieświadomego klienta. 

Nic więc dziwnego, że cyberprzestępcy najczęściej atakują klientów banku poprzez najróżniejsze odmiany ataków phishingowych. Klient otrzymuje wiadomość – może to być email, SMS, wiadomość na Linkedin itp.  Wiadomość kieruje go na fałszywą stronę banku albo infekuje jego komputer złośliwym oprogramowaniem. Złośliwe oprogramowanie następnie „w locie” podmienia strony bankowe. Efektem jest kradzież haseł i następnie wyprowadzenie środków z konta. Najpopularniejszy schemat ataku rozpoczyna się od zainfekowania komputera lub smartfona. W przypadku komputera – najczęściej jest to email z załącznikiem lub linkiem, a w przypadku smartfona do zainfekowania dochodzi zazwyczaj po instalacji aplikacji. Najczęściej źródłem infekcji są aplikacje spoza oficjalnych sklepów aplikacji, może się jednak zdarzyć, że zainfekowane aplikacje będą dostępne w oficjalnym sklepie. Dlatego też najlepiej nie otwierać podejrzanych załączników i korzystać wyłącznie z zaufanych aplikacji. 

Bądź uważny w sieci

W kolejnych krokach ataku złodzieje przejmują poświadczenia i SMS-y autoryzujące. Po zainfekowaniu i odwiedzeniu strony banku złośliwe oprogramowanie modyfikuje treść wyświetlanej strony, a następnie prosi klienta o podanie haseł SMS pod dowolnym pretekstem. Wykorzystuje te wiadomości np. do założenia odbiorcy zaufanego, na którego konto przeleje środki lub do zmiany numeru telefonu, na który przychodzą potwierdzenia. Dlatego też należy bezwzględnie pamiętać, że np. Idea Bank nigdy nie prosi o podanie kodu SMS podczas logowania. Kod jednorazowy służy wyłącznie do zatwierdzania transakcji i potwierdzenia zmiany ustawień. Jeśli jakiś bank wymaga takiego SMS-a, to należy pamiętać, że każdy SMS zawiera opis czego dotyczy. Jeżeli pojawią się wątpliwości, należy zaniechać transakcji i zadzwonić na infolinię. Należy też zweryfikować opis w SMS-ie autoryzującym, aby się upewnić co tak naprawdę się akceptuje. Idea Bank poszedł krok dalej – w przypadku dodania odbiorcy zaufanego – tj. takiego, do którego przelewy nie wymagają akceptacji SMS – bank wysyła dodatkowe ostrzeżenie przez SMS.

Dodatkowo w Idea Bank można uruchomić pakiet powiadomień o zdarzeniach na koncie. Klient dostanie wtedy informacje o transakcjach lub logowaniu na konto. Jeśli działania na koncie są podejrzane, należy niezwłocznie skontaktować się z bankiem. Zawsze można też zweryfikować, czy strona wyświetla się poprawnie na innym urządzeniu. Jeśli tak, komputer klienta na pewno został zainfekowany.

Zdarzają się też innego rodzaju ataki. Złodzieje wysyłają fałszywe adresu internetowy banku np. w emailu lub SMS podszywającym się pod bank. Klient po otwarciu podrobionej strony wprowadza dane logowania, często jest też proszony o podanie kodu SMS i następnie jest przekierowany na prawdziwą stronę banku. Bywa też, że przestępcy zamawiają duplikat karty SIM, aby przechwycić SMS autoryzacyjny. Tu jednak napastnik też musi wcześniej poznać pełne dane osobowe klienta. A zdobywa je najczęściej poprzez ataki phishigowe.

Należy więc pamiętać - bank nie przesyła w swojej komunikacji żadnych odnośników prowadzących do stron logowania, ani nie prosi o podawanie dodatkowych danych. Trzeba być uważnym i zawsze weryfikować zabezpieczenie SSL, poprawność adresu i certyfikatu.

© ℗
Rozpowszechnianie niniejszego artykułu możliwe jest tylko i wyłącznie zgodnie z postanowieniami „Regulaminu korzystania z artykułów prasowych” i po wcześniejszym uiszczeniu należności, zgodnie z cennikiem.

Być może zainteresuje Cię też:

Polecane

Inspiracje Pulsu Biznesu