Wysyłanie setek maili miesięcznie przez cyberprzestępców o informacji z banku, od operatora, poczty czy kuriera oraz medialny szum z tym związany powinien już skutecznie uwrażliwić użytkowników sieci na ten proceder. Ale same przekierowanie na fałszywą stronę banku nie jest najgorsze. Wirusy podmieniające numer konta to o wiele większe niebezpieczeństwo.

Prawie połowa (43 proc.) użytkowników internetu z Europy uważa, że bankowość tradycyjna jest bezpieczniejsza niż zarządzanie finansami online – tak wynika z badania przeprowadzonego przez Kaspersky Lab oraz B2B International. Mimo tych obaw większość Europejczyków nadal dokonuje niektórych płatności za pośrednictwem internetu, jednak wielu z nich nie stosuje nawet podstawowych środków bezpieczeństwa, narażając tym samym swoje dane finansowe i pieniądze.

Jednym z najłatwiejszych sposobów na uzyskanie dostępu do kont bankowości online przez cyberprzestępców jest podszywanie się pod właściciela konta. Można to osiągnąć poprzez uzyskanie informacji dotyczących konta, stworzenie strony phishingowej, na której użytkownicy nieświadomie podają swoje loginy oraz hasła, lub przechwycenie danych dotyczących nazwy użytkownika i hasła przy pomocy trojana bankowego w momencie logowania się użytkowników na rzeczywistych stronach swojego banku. Podatne na takie ataki są zarówno tradycyjne komputery, jak i urządzenia mobilne - informuje Kaspersky Lab. Ale to nie jest jedyny sposób.

Często słyszymy, że phishing jest tak prosty do odgadnięcia, że tylko dziecko mogłoby się na niego nabrać. Przekierowanie na stronę quasi banku za pośrednictwem kliknięcia w link lub otwarcia załącznika i dokonanie transakcji graniczy z cudem i tylko naprawdę naiwne osoby mogą ulec tego typu atakom. Ale samo kliknięcie w link lub otworzenie maila może mieć o wiele groźniejsze konsekwencje. Atakowany faktycznie widzi, że coś jest nie tak i rezygnuje z podania haseł do konta, danych osobowych etc. etc. Problem w tym, że jego działanie uruchamia złośliwe oprogramowanie na komputerze, o którym sam konsument nie ma pojęcia.

Jak informuje firma Dotpay typowy proces wykonywania zwykłego przelewu przez Internet wygląda następująco:

1. dostajemy e-mail lub PDF z numerem konta, na który mamy zrobić przelew,
2. kopiujemy numer rachunku,
3. wklejamy numer konta w formularzu na stronie banku,
4. przepisujemy z SMS-a kod potwierdzający transakcję,
5. przelew trafia na listę oczekujących do wykonania.



Banki pod ostrzałem hakerów
Banki pod ostrzałem hakerów

Zobacz również

Niestety taki proces to miejsce do ataku, a cyberprzestępcy coraz częściej wykorzystują naszą nieuwagę. Złośliwe oprogramowanie zainstalowane w naszym komputerze wykrywa moment, w którym kopiujemy numer konta i podmienia go na inny, zdefiniowany przez cyberprzestępców. Nie zwracamy uwagi czy wklejony numer rachunku jest taki sam jak skopiowany, więc wykonujemy przelew dalej. Dopiero kiedy odbiorca upomni się o przelew, orientujemy się, że został wysłany na inne konto.

Jak informuje Dotpay w ostatnich miesiącach cyberprzestępcy zmodyfikowali system kradzieży o dodatkowe sposoby na zamaskowanie nieuczciwego procederu:

- wklejony numer konta wygląda tak jak skopiowany, jednak do banku wysyłany jest zmodyfikowany,

- na stronie banku wyświetlają się sfałszowane komunikaty proszące o instalację dodatkowego oprogramowania w telefonie (np. fałszywego „certyfikatu bezpieczeństwa” lub „aplikacji ochronnej”), które podmienia numery kont również w SMS-ach,

- w historii bieżących operacji numer konta podmieniony jest na numer rzeczywistego odbiorcy,

- cyberprzestępcy skupiają się na bankach, w których potwierdzenie przelewu odbywa się za pomocą kodu z tokena (bez funkcji challenge–response), a nie kodu z SMS-a.

Sposobem na ochronę przed cyberprzestępcami będzie zapewne dobre oprogramowanie antywirusowe. Warto też pomyśleć nad wykorzystaniem płatności poprzez szybkie transfery bankowe online (tzw. Pay by Link). Jeśli musimy zrobić zwykły przelew przez Internet, naszą linią obrony jest urządzenie uwierzytelniające przelew. Najlepszym wyborem byłby token z funkcją challenge–response, jednak niewiele banków ma je w ofercie. Zdrapka lub token wyświetlający kod niestety w żaden sposób nie chronią przed atakiem – nie poinformują nas o tym, jaką transakcję potwierdzamy.

Nic jednak nie zwolni konsumenta od myślenia i ignorowania wszelkich nieznanych maili oraz wielokrotnego sprawdzania do kogo wysyłamy nasze pieniądze.

Źródło: własne, mat. prasowe Kaspersky Lab i Dotpay