Raport Specjalny. Bezpieczeństwo Banków: Bagatelizowane cybergwałty

Marcin Złoch

Mamy erę mobilności. 65% firm w Polsce korzysta z urządzeń mobilnych w codziennej pracy. Blisko połowa organizacji wykorzystuje je do dostępu do firmowej poczty elektronicznej lub kalendarza, zaś co piąta korzysta z nich w bardziej zaawansowany sposób – realizując dzięki aplikacjom mobilnym część procesów biznesowych. To wnioski z raportu KPMG „Bezpieczeństwo technologii mobilnych”. W znacznej większości przedsiębiorstwa deklarują, że dbają o bezpieczeństwo urządzeń mobilnych, ale jednocześnie aż 57% ankietowanych uważa, że włamania do urządzeń mobilnych nie stanowią istotnego ryzyka dla ich organizacji.

Najczęściej stosowanym zabezpieczeniem stosowanym w urządzeniach mobilnych jest instalacja oprogramowania antywirusowego. 7 na 10 przedsiębiorstw wymusza uwierzytelnianie w celu dostępu do urządzenia, a ponad 60% instytucji daje możliwość instalowania jedynie zatwierdzonych aplikacji. Urządzenia mobilne są również często kontrolowane zdalnie, poprzez wymuszanie aktualizacji, szyfrowanie danych oraz możliwość zdalnego czyszczenia danych. W opinii przedsiębiorstw największym cyberryzykiem jest złośliwe oprogramowanie – szpiegujące oraz szyfrujące dane. Równie istotne są phishing oraz ataki na sieci bezprzewodowe. Natomiast włamania do urządzeń mobilnych jako realne ryzyko rozpatruje jedynie niecała połowa badanych firm (43% wskazań).

Najnowsze pomysły

Jak zauważa Jacek Skorupka, dyrektor Biura IT Security w Idea Banku, dzisiejsze cyberataki są prawie w 100% motywowane finansowo. Minęły już czasy ambitnych hackerów, których głównym celem był wysiłek intelektualny. Dziś chodzi wyłącznie o łatwy łup. Cyberzłodzieje podążają za trendami – skoro klienci przesiadają się na dostęp mobilny – staje się on celem przestępców. Aktualne ich pomysły to celowanie w smartfony i mało bezpieczną autoryzację SMS. Choć są od dawna znane, to wciąż jednak skuteczne metody wyłudzania wiadomości autoryzujących. Napastnik infekuje komputer zazwyczaj poprzez przesłanie linka lub załącznika.

– Klient w momencie logowania ma wyświetlaną w przeglądarce fałszywą treść (sama strona jest stroną banku, tylko część strony jest podmieniana, certyfikat witryny jest prawidłowy). Powołując się zazwyczaj na kwestie bezpieczeństwa, przestępcy proszą o podanie kodu. Nieuważny klient nie weryfikuje, zatwierdza i… traci środki – wyjaśnia Jacek Skorupka.

Taki atak choć bardzo prymitywny – ...