Bezpieczne zakupy w sieci

Rosnące zagrożenia w e-commerce

Derek Manky: Z powodu pandemii użytkownicy w naturalny sposób zaczęli częściej korzystać z usług online, w tym zakupów. Od początku września, dzięki badaniom FortiGuard Labs, widzimy falę ataków na sektor e-commerce. W październiku zanotowaliśmy ponad miliard takich prób – niemal 140% więcej w porównaniu z poprzednim miesiącem.

Za cel obierani są kupujący, zaś jako narzędzie rozpoczęcia ataku służą phishing oraz fałszywe reklamy.

Aamir Lakhani: Można odnieść wrażenie, że cały rok 2020 był jednym, nieustannym sezonem wyprzedaży. Ludzie czekają w wirtualnych kolejkach, wiele produktów szybko staje się niedostępnych, a strony internetowe działają wolniej ze względu na zwiększony ruch.

Przestępcy wykorzystują ten stan rzeczy i nieustannie przeprowadzają próby ataków na kupujących online. Najpowszechniejsze metody to phishing, malware lub tzw. ataki „man-in-the-middle”, mające na celu przejęcie serwerów bezprzewodowych lub proxy.

Hakerzy próbują kierować ruch internetowy w określone miejsca i przechwytywać transakcje. Na kradzież danych narażone są również firmy.

Sezon świątecznych zakupów to zazwyczaj bardzo zyskowny okres dla sprzedawców detalicznych, ale cyberataki mogą to niestety zmienić.

Na co uważać w e-zakupach?

Derek Manky: Złośliwe oprogramowanie internetowe jest bardzo popularne w sezonie wyprzedaży. Cyberprzestępcy umieszczają niebezpieczne linki lub reklamy, aby odciągnąć kupujących od bezpiecznej witryny.

Takie pułapki często pojawiają się pod postacią zachęcających promocji – to łatwa i dobrze sprawdzona metoda. Zauważyliśmy też większą liczbę ataków na routery oraz urządzenia IoT, ponieważ więcej osób korzysta obecnie z domowych sieci do pracy lub nauki. Napastnicy chcą uzyskać za ich pomocą dostęp do danych firmowych.

Aamir Lakhani: Warto zwracać uwagę na strony, jakie się odwiedza. Tak jak w galeriach handlowych można zapomnieć się w zakupowym szale, tak w internecie można w pośpiechu nie zauważyć, że trafiło się na podejrzaną stronę.

Nie ufaj od razu ofertom i promocjom, które wydają się zbyt dobre, aby były prawdziwe. Odwiedzaj sklepy internetowe, które dobrze znasz, bo zawsze będą bezpieczniejsze – osobiście staram się robić zakupy tylko na stronach znanych i zaufanych firm.

Zainstaluj w swoim systemie dobre oprogramowanie zabezpieczające, które będzie wykrywać szkodliwe linki, próby phishingu i inne rodzaje ataków. Dobrze jest rozważyć bezpieczne metody płatności, np. niektóre banki zaczęły oferować opcję jednorazowych numerów kart płatniczych.

Warto też odbyć szkolenie w zakresie świadomości o zagrożeniach IT, jeśli istnieje taka możliwość.

Derek Manky: Zgadzam się, że świadomość ryzyka jest kluczowa. Wiele osób ma fałszywe poczucie bezpieczeństwa w wirtualnym świecie.

Oprócz tego trzeba upewnić się, że wszystkie urządzenia mają zainstalowane aktualne oprogramowanie. Niebezpieczne jest też łączenie się z publiczną siecią Wi-Fi z urządzeń służbowych lub prywatnych – cyberprzestępcy mogą wykorzystywać fałszywe punkty dostępu, aby włamać się na komputer lub smartfon.

W takich wypadkach przydaje się bezpieczne połączenie VPN. Przede wszystkim trzeba być jednak świadomym zagrożeń i metod ochrony przed nimi.

Co powinny robić firmy, aby chronić dane użytkowników?

Derek Manky: Głównym powodem powtarzających się cyberataków są przestarzałe zabezpieczenia. Wciąż regularnie zauważamy błędne konfiguracje zasobów pamięci masowych i systemów dostępu do chmury publicznej.

Niektóre firmy muszą zaktualizować swoje systemy, aby unikać ataków wykorzystujących luki w ich zabezpieczeniach. Uwierzytelnianie wieloskładnikowe to również stosunkowo łatwa i coraz powszechniej wykorzystywana przez firmy metoda ochrony ruchu w sieci.

Aamir Lakhani: Posiadanie aktualnej infrastruktury ma zdecydowanie duży wpływ na zabezpieczenia. Podczas aktualizowania stron internetowych często zwraca się uwagę na back-end, czyli np. bazy danych, ale nie elementy odpowiedzialne za sprzedaż, czyli przede wszystkim witrynę i mechanizm obsługi klienta. S

Systemy e-commerce są skomplikowane i mogą zawierać np. oprogramowanie lub moduły, które aktualizuje się osobno. Czasami można od razu uaktualnić cały pakiet aplikacji, ale kiedy indziej w ramach zarządzania trzeba sprawdzać poszczególne systemy, strony, bazy danych, moduły i inne oprogramowanie.

W najlepszym przypadku trzeba tylko pobrać aktualizację dla plug-inu. W najgorszym można natrafić na spersonalizowany kod, zintegrowany z samym systemem, więc trudno jest przeprowadzić aktualizację.

Nawet doświadczeni specjaliści ds. bezpieczeństwa mają czasem trudności z zabezpieczeniem wszystkich elementów bardziej skomplikowanych systemów, a bywa, że luki pozostają niezałatane przez bardzo długi czas.

Napastnicy zdają sobie z tego sprawę, dlatego wracają do starych i sprawdzonych metod, które już wcześniej pozwalały im odnieść sukces.