IT@BANK. Technologie – Orange Polska: Cyberprzestępcy w natarciu – na celowniku instytucje finansowe i ich klienci

Coraz więcej ofiar

Ofiar cyberataków wśród klientów bankowości elektronicznej jest coraz więcej. Według Kaspersky Lab w 2018 r. w porównaniu do roku poprzedniego, liczba użytkowników, którzy padli ofiarą bankowych trojanów, czyli wirusów kradnących dane uwierzytelniające, wzrosła niemal o 16%. Jeszcze szybciej rośnie liczba ataków na klientów korzystających z oprogramowania bankowego na urządzeniach mobilnych – w przypadku tych z systemem Android wzrosła w 2018 r. w porównaniu z 2017 r. aż trzykrotnie i wyniosła niemal 1,8 mln. W Polsce statystyki Komendy Głównej Policji także potwierdzają, że liczba ataków skierowanych na użytkowników e-bankowości w kraju stale rośnie. Tylko w pierwszym półroczu 2019 r. odnotowano blisko 3 tys. przestępstw tego typu, podczas gdy w całym 2018 r. było ich 3,6 tys.

Dane – złoto naszych czasów

Tylko we wrześniu br. mieliśmy do czynienia z kilkoma śmiałymi akcjami cyberprzestępców wymierzonych w instytucje finansowe i ich klientów.

BNP Paribas poinformował, że jego klienci otrzymali wiadomości SMS z linkami do potwierdzenia płatności. Nie były to informacje z banku, ale od oszustów. Przestępcy podszywali się pod urząd skarbowy, firmy kurierskie lub windykatorów. Bank ostrzegał, że takich SMS-ów nie wysyła i nie wolno ich otwierać. Otwierając wysłany link, można narazić się na utratę danych. W swoim komunikacie podał, że w treści pojawiała się prośba o dopłatę niewielkiej kwoty lub kliknięcie w link. Mogło to narażać klientów na wyłudzenie loginu i hasła do bankowości lub haseł służących do autoryzacji transakcji.

Według CERT Polska od sierpnia br. przestępcy nasilili działania wyłudzające kody SMS potrzebne do utworzenia odbiorcy zaufanego. Ostrzeżenia przed oszustami pojawiły się wtedy na stronach Idea Banku oraz Getin Banku. Alior Bank ostrzegał natomiast o wyłudzeniach kodów BLIK. „Oszuści przejmują słabo zabezpieczone konta użytkowników mediów społecznościowych (na przykład na Facebooku lub Messengerze), a następnie podszywają się pod nich i rozsyłają ‚pilne wiadomości o nagłej potrzebie przekazania gotówki’ do znajomych ofiary, prosząc w nich o podanie kodu BLIK” – napisał w komunikacie, ostrzegając klientów, by nie dokonywali ryzykownych transakcji i uważali na podejrzane SMS-y.

Z kolei Bank PKO BP ostrzegał swoich klientów przed próbą wyłudzenia danych. Oszuści, powołując się na dyrektywę PSD2*, dzwonili i prosili o zainstalowanie dodatkowego oprogramowania, które prześlą mailem. Jak można się domyślić, nie służyło ono autoryzacji transakcji, a do wyłudzenia danych logowania i kodów autoryzacyjnych.

Jak ma sobie radzić klient?

Banki zalecają, by wpisywać ręcznie adres logowania do bankowości. Użytkownik nie powinien podawać danych uwierzytelniających go, dopóki nie ma pewności co do tego, że odwołuje się do zaufanego serwisu banku. Warto autoryzować hasłem SMS tylko te transakcje, które chcieliśmy wykonać. No i uważnie je czytajmy.

Zawsze sprawdzajmy kwotę i numer konta odbiorcy. Podczas rozmowy telefonicznej nie podawajmy rozmówcy żadnych danych, nie zgadzajmy się na przesyłanie np. oprogramowania, a jeżeli mamy wątpliwości kontaktujmy się ze swoim bankiem.

Jak bank może zwiększyć bezpieczeństwo danych?

Krzysztof Białek, odpowiedzialny w Orange Polska za marketing i rozwój produktów cyberbezpieczeństwa, poleca domowym użytkownikom i małym firmom usługę CyberTarcza, która blokuje urządzeniom mobilnym próby połączeń do stron wyłudzających dane (phishing) oraz do serwerów zarządzanych przez atakujących.

Firmom rekomenduje też usługę CyberWatch, która blokuje podejrzany ruch sieciowy z urządzeń stacjonarnych i mobilnych. – W ten sposób można zapobiec m.in. wyciekom danych firmowych, a dział odpowiedzialny za cyberbezpieczeństwo i szef firmy są informowani codziennym raportem o wykrytych zagrożeniach. Wiedzą dokładnie, kiedy i który numer telefonu lub adres IP próbował się połączyć z podejrzanym serwisem lub serwerem atakujących. Wskazane są również nazwy i rodzaje zagrożeń – podkreśla Krzysztof Białek.

Gra o reputację i wiarygodność

Każdego roku cyberataki powodują straty w wysokości około 350 mld euro na całym świecie. Jednak incydenty wiążą się nie tylko z konsekwencjami finansowymi. Pociągają za sobą również straty wizerunkowe oraz uszczerbek na reputacji marki. Szczególnie narażony jest sektor finansowy. Cyberoszuści coraz częściej bezprawnie wykorzystują wizerunki znanych osób, głównie biznesmenów, aby przyciągnąć klientów do swoich wątpliwych inwestycji.

Przestępcy pozyskują dane ofiar – login, hasło do konta, numer karty płatniczej – używając socjotechniki. Często podszywają się pod zaufane instytucje, w tym banki i firmy kurierskie, instytucje publiczne i znane osoby. Docierają do ofiary przez pocztę elektroniczną lub strony internetowe podszywające się pod prawdziwe.

W tym wypadku Krzysztof Białek poleca usługę Stopphishing, która powstrzymuje oraz ogranicza zagrożenia atakiem phishingowym, polegającym na wyłudzaniu tego typu danych. – Firma zyskuje gwarancję blokady kampanii phishingowej, a także dostęp do raportu z podjętych działań – podkreśla. – Warto reagować natychmiast i skontaktować się z naszym zespołem, bo zanim klient instytucji dowie się o ataku z mediów, my zdążymy zaatakowaną stronę zablokować – podsumowuje.

* W połowie września weszła w życie unijna dyrektywa PSD2, zgodnie z którą wszystkie banki musiały dostosować do niej swoje systemy. Dotyczy ona wszystkich usług płatniczych. Ma być bezpieczniej, ale kosztem wygody. Częściej niż dotąd trzeba będzie podawać PIN przy płaceniu kartą. Dodatkowe zabezpieczenia pojawią się przy zakupach w sklepie internetowym.