Bezpieczeństwo w instytucji finansowej: Wyłudzenie tożsamości

Bohdan Szafrański

Masowe korzystanie z bankowości elektronicznej powoduje, że banki starają się ułatwiać i upraszczać korzystanie z serwisów. Uważają, że wprowadzenie dodatkowego zabezpieczenia to kłopot dla klienta i ryzyko, że przejdzie do konkurencji. Podstawowym zabezpieczeniem przy korzystaniu z wielu różnych usług, serwisów, kart kredytowych i kont bankowych jest kod PIN. Choć instytucje finansowe zwracają uwagę klientom, by nie używali zbyt łatwych haseł do odgadnięcia, np. kolejno następujących po sobie cyfr, daty urodzenia, imienia itp., nie zapisywali ich w dostępnych dla innych miejscach, nie stosowali zawsze takich samych w różnych serwisach, to wciąż znaczna liczba osób nie przestrzega tych podstawowych zasad bezpieczeństwa. To zaś ułatwia działanie przestępcom. Coraz większym zagrożeniem jest dziś kradzież tożsamości. Oczywiście pełna i pewna identyfikacja osoby jest możliwa, jednak kosztowna. O dowodach biometrycznych mówi się w Polsce już od ponad 10 lat, niestety głównie o kolejnych możliwych terminach ich wprowadzenia. Nowe dowody osobiste mają zawierać nie tylko dane personalne, ale także odciski linii papilarnych i skany tęczówek. Mają zostać wprowadzone po pełnym opracowaniu systemu PESEL2. Kiedy to się stanie – nadal nie wiadomo.

Kradzież danych

Wiele osób nie zdaje sobie sprawy, jak niewiele potrzeba informacji o osobie, by w jej imieniu można było założyć konto, wziąć kredyt, zaciągnąć pożyczkę, podpisać umowę, kupić coś w sklepie internetowym. W wielu przypadkach wystarczy nazwa użytkownika, hasło, numer PESEL, numer konta bankowego, kod PIN, pełny numer karty kredytowej, nazwisko panieńskie matki, data urodzenia, numer telefonu komórkowego. Przy zdalnej weryfikacji tożsamości rozmówcy często pada prośba o podanie adresu, numeru PESEL i ewentualnie jakiejś inne dodatkowej informacji. Dlatego wystarczy, gdy przestępca zdobędzie tylko część danych.

Kradzież tożsamości nie jest nowym przestępstwem, ale sposoby pozyskiwania danych są coraz bardziej wymyślne. Hakerzy, wykorzystując metody socjotechniczne, nakierowują działania na konkretne grupy osób. Jeszcze jakiś czas temu masowo rozsyłano na adresy e-mail informacje – sugerujące, że wysłał je np. bank – z prośbą o zalogowanie się do serwisu bankowości elektronicznej. Do wiadomości dołączano link do strony udającej bankową, proszono o aktualizację danych logowania do serwisu, weryfikację danych osobowych itp. Dziś już takich prób praktycznie nie ma. Obecnie listy są przygotowane profesjonalnie. Informują np. o przeprowadzonej transakcji w sklepie internetowym i „ostrzegają” odbiorcę, że mógł paść ofiarą oszustwa. Proponuje się mu wejście na stronę ...