Największe zagrożenie to błędy samych użytkowników e-bankowości
Systemy e-bankowości są w Polsce bezpieczne. Niebezpieczeństwo czyha w komputerach klientów banków.
Według przedstawicieli firm dostarczających narzędzia do zabezpieczania transakcji bankowych, poziom bezpieczeństwa polskiej bankowości elektronicznej jest powyżej średniej światowej. Głównie dlatego, że w krajach anglosaskich jest bardzo niski.
— Tyle że tam jest inne podejście. Banki przejmują ryzyko transakcji, wychodząc z założenia, że to się bardziej opłaca, niż inwestowanie w zabezpieczenia transakcji elektronicznych — mówi Tomasz Jarmuł, menedżer marki RSA w firmie EMC Computer Systems Poland.
— Specjaliści ds. bezpieczeństwa w polskich bankach są dość elastyczni, a dobre pomysły przebijają się do szczebla zarządów — dodaje Robert Kępczyński, konsultant ds. bezpieczeństwa i zarządzania ryzykiem w IBM Polska.
Uważa jednak, że bez dodatkowych nakładów mogłyby zrobić więcej w zwalczaniu ataków phishingowych (wyłudzanie informacji, niezbędnych do przeprowadzenia e-transakcji, przez fałszywe e-maile z wezwaniem do weryfikacji danych bankowych).
— Banki i współpracujące z nimi firmy wysyłają sporo e-maili marketingowych. Zawierają one odnośniki, po kliknięciu na które włącza się przeglądarka WWW z odpowiednią stroną. Zamiast tego powinna być adnotacja, że aby skorzystać z oferty, trzeba w tradycyjny sposób wywołać w przeglądarce stronę banku. W świadomości internautów utrwalałoby to przekaz, że na stronę banku nie wchodzi się przez odnośniki w e-mailach — tłumaczy Robert Kępczyński.
Trojany gorsze
Jednak to nie ataki phishingowe, zdaniem producentów zabezpieczeń, są najgroźniejsze.
— Firmy hostingowe natychmiast usuwają fałszywe strony ze swoich serwerów. Bank musi więc tylko zawiadomić taką firmę, że ktoś się pod niego podszywa. Sam szybko się dowiaduje o próbie wyłudzenia danych, bo wiąże się ona z masowym rozsyłaniem fałszywych e-maili — mówi Tomasz Jarmuł.
Groźniejsze są ataki za pomocą trojanów, czyli wirusów zbierających dane bezpośrednio na komputerach użytkowników. Uaktywniają się one w chwili wpisania w pasku adresu przeglądarki WWW jednej ze zdefiniowanych w nim przez przestępów stron internetowych.
— Jeszcze niedawno w typowej konfiguracji trojana nie było adresów polskich banków. Od dwóch lat zaczęły się pojawiać. W Polsce internetowy dostęp do rachunku bankowego jest powszechny. A gdy coś jest popularne, to zawsze się kogoś złapie na nieuwadze — uważa Tomasz Jarmuł.
Przed trojanem można się stosunkowo łatwo zabezpieczyć. Wystarczy zainstalować pakiet oprogramowania antywirusowego, antyspamowego i firewall, a także instalować aktualizacje systemu operacyjnego i innych programów. Najważniejsza jest jednak świadomość zagrożeń.
— Ludzie, którzy mają komputer z oprogramowaniem zabezpieczającym przed atakami, nie dbają o aktualizację sygnatur antywirusowych, a na swoje konto potrafią się logować z kawiarenek internetowych — wskazuje podstawowe błędy Jarosław Samonek, regionalny menedżer odpowiedzialny za sprzedaż rozwiązań korporacyjnych Trend Micro w Europie Środkowej i Wschodniej.
Nowe pomysły
Banki nie mogą nikogo zmusić do bezpiecznego korzystania z komputera i internetu, więc starają się wprowadzić możliwie wiele mechanizmów niezależnych od dobrej woli klientów. Przykładem są transakcje dwukanałowe, czyli realizowane np. przez internet z wykorzystaniem SMS. Jeden z banków przygotowuje się do wprowadzenia we współpracy z RSA nowego rodzaju tokenów. Wykorzystywane dotąd wyświetlają cyklicznie kilka cyfr, które mogą posłużyć do autoryzacji transakcji przez krótki czas. Nowe będą miały klawiaturę do wprowadzenia numeru konta beneficjenta przelewu. Generowany przez urządzenie kod będzie wynikiem algorytmu uwzględniającego ten numer, a system bankowy będzie odrzucał przelew na inne konto.
Temu samemu ma służyć Zone Trusted Information Chanel (ZTIC), przygotowywany przez IBM. To rodzaj pendrive’a z ekranem, który będzie wykorzystywał kryptografię i wyświetlał dane transakcji niezależnie od komputera.
— Aby to, co wpisaliśmy na klawiaturze i widzimy na ekranie, trafiło do banku, musimy wysłać specjalny plik. Wirusy potrafią podmienić zawarte w nim dane, np. numer rachunku, na który ma trafić przelew. W naszym rozwiązaniu plik z informacjami o przelewie jest formowany w chronionym kryptograficznie ZTIC-u, a nie w pececie. Poza tym dane o transakcji są na nim wyświetlane i trzeba je zatwierdzić, co zabezpiecza klienta przed wysłaniem przelewu na inne konto, niż zamierzał — wyjaśnia Robert Kępczyński.
Zaznacza, że główny front walki z kradzieżą pieniędzy w transakcjach internetowych wiąże się z obsługą płatności kartowych online, a przelewów. Wynika to z tego, że fałszywą stronę internetową zbierającą dane kart płatniczych można uruchomić na dowolnym serwerze, a pieniądze ze skopiowanej karty wykorzystać w dowolnym sklepie internetowym.
Kamil Kosiński