Bądź ostrożny w sieci

Coraz częściej słyszymy o przestępstwach internetowych. Ostatnie dni przyniosły informacje o niedostatecznych zabezpieczeniach na stronach mBanku, Millennium czy PKO BP. Banki uspokajają. A co mają zrobić ich klienci? Jak bezpiecznie zawierać transakcje w internecie?

Przestępcy internetowi używają różnych metod. Zwykle podszywając się pod instytucje zaufania publicznego proszą o podanie kluczowych danych identyfikacyjnych bądź osobowych na formularzach, do których odnośniki zawarte są w e-mailach. To jedna z odmian tzw. phishingu, czyli kradzieży tożsamości.

Można się spierać, czy faktycznie "dziura" w mBanku miała istotne znaczenie w przechwytywaniu danych. Faktem jest natomiast, że większość prób przejmowania informacji w ogóle nie wynika z jakości zabezpieczeń po stronie banków. Zależy od klientów instytucji finansowych.

Kliencie, chroń się sam

Dlatego warto przypomnieć podstawy bezpiecznego korzystania z bankowości internetowej:

- ochrona danych, na podstawie których jesteśmy identyfikowani jako klienci i informacji, którymi autoryzujemy transakcje;

- pewność, że strona, z którą nawiązaliśmy kontakt, jest faktycznie stroną bankową;

- korzystanie z bezpiecznego komputera, przeglądarki.

W praktyce istnieje zestaw zaleceń, które należy stosować, aby istotnie ograniczyć ryzyko związane z bankowością internetową:

- chroń informacje na, podstawie których jesteś identyfikowany jako klient:

- nie używaj łatwych haseł, np.: imiona osoby bliskiej. Hasło powinieneś regularnie zmieniać, co najmniej raz na kwartał, i w chwili, gdy możesz mieć podejrzenie, że ktoś mógł je poznać,

- dbaj o bezpieczeństwo informacji takich jak nazwa użytkownika, hasło, hasła jednorazowe, dane do generatora haseł jednorazowych,

- nie podawaj żadnych osobistych danych. Twój bank ani policja czy inne instytucje nigdy nie poprosiłyby cię o podanie nazwy użytkownika i hasła,

- w razie ujawnienia bądź zgubienia haseł zmień je jak najszybciej,

- nie przechowuj tajnych danych (ID klienta, haseł) razem z aktywnymi listami haseł jednorazowych (np.: w portfelu). Ponadto nie noś przy sobie tajnych haseł, najwyżej w formie zaszyfrowanej,

- nie daj się zwieźć promocyjnym e-mailom oferującym szansę zdobycia łatwych pieniędzy,

- bądź bardzo ostrożny przy korzystaniu z kafejek internetowych,

- powiadom bank o wszelkich podejrzanych informacjach, nieprawidłowościach na stronach bankowych,

- jeżeli zauważysz coś nietypowego na twoim wyciągu bankowym - natychmiast skontaktuj się z bankiem.

Istnieje kilka dobrych praktyk zapewnienia połączenia się z właściwą stroną. Podstawowe to:

- nawiązuj połączenie z bankiem przez wpisanie dokładnego adresu strony banku w pasku adresu przeglądarki,

- nie wchodź na stronę banku przez link podany w e-mailu czy na nieautoryzowanej stronie,

- jeśli strona wydaje się podejrzana (inna niż zwykle, ma błędy) lub jeśli z różnych przyczyn nie jesteś pewien, sprawdź czy jesteś w serwisie swojego banku. Najlepiej zanim podasz nazwę użytkownika i hasło i/lub informacje autoryzującą transakcję, np. hasło jednorazowe.

Sprawdzenie polega na upewnieniu się, czy połączenie z bankiem jest szyfrowane (świadczy o tym znak kłódki w prawym dolnym rogu przeglądarki Internet Explorer). I czy strona, która jest wyświetlana, ma właściwą ścieżkę certyfikatu. O tym jednak najlepiej dowiedzieć się z samego banku. Praktycznie wszystkie publikują na swoich stronach informacje, jak sprawdzić poprawność strony i jaki certyfikat posiadają.

Dobrą praktyką w kwestii korzystania z bezpiecznego komputera jest stosowanie:

- legalnych programów,

- dobrych programów antywirusowych,

- osobistych firewalli,

- ustawień przeglądarki sugerowanych przez bank

- aktualizacja oprogramowania, szczególnie systemu operacyjnego i przeglądarki.

Zwykle banki zalecają, aby komputer wykorzystywany do połączenia z bankiem nie miał zainstalowanych:- programów niewiadomego pochodzenia otrzymanych pocztą elektroniczną lub pobranych z witryn WWW,

- programów typu P2P.

Większość banków publikuje takie informacje na stronach internetowych. Warto się z nimi zapoznać. Z pewnością po takiej lekturze nikt z nas nie wywoływałby linku podczas dokonywania transakcji ani nie zapomniałby wylogować się z banku przed przystąpieniem do następnej operacji w internecie.

Nowe zagrożenia

I temat mógłby zostać uznany za wyczerpany, gdyby nie coraz większa popularność sieci Wi-Fi. Bezprzewodowe punkty dostępowe - hotspoty - spotkać możemy w centrach handlowych, hotelach, na lotnisku czy w samolocie. Zadać sobie jednak należy pytanie, czy nie niosą one ze sobą dodatkowych zagrożeń w korzystaniu z bankowości internetowej? I tu okazuje się, że to, co jest przewagą mobilności, może być jej największym zagrożeniem. Jak być pewnym, czy sieć, do której się podłączamy, jest godna zaufania?

Posiadając w komputerze kartę Wi-Fi (obecnie większość urządzeń przenośnych oferowana jest z taką wbudowaną kartą) potrzeba niewiele ponad 30 minut, aby samemu stworzyć punkt dostępu i pośredniczyć w dostępie użytkowników do internetu. Co gorsza, symulując takiego hotspota, możemy nadać mu dowolną nazwę, np. taką, jak dostawca usług w danym obszarze. I żeby było jeszcze ciekawiej sprawić, że komputer użytkownika będzie preferował właśnie ten podrobiony hotspot. Metoda ta nie jest nowa. Znana jest pod nazwą "zły bliźniak" ("evil twin"). Po co tworzyć fałszywe punkty dostępu? Niestety, najczęściej w celach przestępczych.

Dzięki "złym bliźniakom" phishing doczekał się nowej odmiany zwanej Access Point Phishing (AP Phishing) polegającej na podszywaniu się pod znane hotspoty i śledzeniu operacji w internecie, a w odpowiednich momentach podstawianiu nawet własnych formularzy do zebrania kluczowych danych. Niestety, przestępstwo tego rodzaju trudno jest wykryć. Znane są jedynie po pewnym czasie jego skutki. W czasie korzystania z fałszywego połączenia najczęściej niczego złego nie podejrzewamy.

Ostrożności nigdy za wiele

Doskonale ilustruje to doświadczenie przeprowadzone przez Capgemini w Wielkiej Brytanii. Pracownicy z działu doradztwa w zakresie bezpieczeństwa IT pod ścisłym nadzorem kierownictwa firmy, mającym zagwarantować bezpieczeństwo ewentualnie uzyskanych informacji poufnych, przygotowali działający w obrębie biura punkt dostępowy, używając wbudowanej w laptop karty bezprzewodowej Wi-Fi oraz kilku ogólnie dostępnych, darmowych programów. Większość pracowników biura używa bezprzewodowego połączenia z internetem. Okazało się, że prowadzący badanie działali niezauważeni, zbierając kilka stron informacji poufnych, nie mówiąc o nazwach użytkowników z hasłami czy numerach korporacyjnych kart kredytowych, które były wykorzystywane przy rezerwacji biletów. Należy dodać, że prowadzący badanie działali tylko biernie - "podsłuchując" działania użytkowników. Doświadczenie udowadnia kilka tez - od słabego poziomu zabezpieczania sieci Wi-Fi, po nawyki użytkowników internetu, którym warto poświęcić szczególną uwagę.

Użytkownicy rozpoczynając korzystanie z hotspotów są zupełnie nieświadomi zagrożenia. Czują się niezagrożeni, identyfikując bezpieczeństwo sieciowe z fizyczną lokalizacją bądź marką usługodawcy internetowego. Niestety, większość banków nie wypowiada się na ten temat.

Należy ograniczać ryzyko w korzystaniu z Wi-Fi i kierować się pewnymi dobrymi praktykami korzystania z kanału internetowego:

- zawsze, gdy nie wykorzystujemy połączenia bezprzewodowego - należy wyłączać fizycznie moduł Wi-Fi naszego komputera,

- nie powinniśmy korzystać z hotspotów nieznanego pochodzenia,

- jeśli mamy wybór, korzystajmy z połączeń przewodowych,

- ograniczajmy korzystanie z hotspotów do komunikacji z bankiem lub zawierania transakcji finansowych tylko wtedy, gdy to jest niezbędne,

- jeśli nie uda nam się zestawić połączenia VPN przez hotspot, naj- jeśli w trakcie korzystania zauważymy coś podejrzanego, np.: nadmierną liczbę stron do logowania, formularze z prośbą o podanie dodatkowych danych, należy bezwzględnie się rozłączyć, a fakt ten dobrze jest zgłosić do instytucji finansowej, pod jaką się podszywano.

Wszystkie te zasady, oczywiście, są uzupełnieniem wspominanych ogólnych reguł bezpieczeństwa i nie zabezpieczają użytkownika w stu procentach przed przestępcami. Z pewnością natomiast utrudniają oszustwo.

Zakładam, że większość z użytkowników bankowości internetowej, a szczególnie osoby korzystające z sieci bezprzewodowej, to ludzie ceniący sobie czas. Warto zatem pamiętać, że zbytni pośpiech może doprowadzić do olbrzymich strat. Korzystajmy z bankowości internetowej z taką samą nieufnością czy ostrożnością, jak z odosobnionych bankomatów nocą, upewniając się choćby wielokrotnie, czy nie jesteśmy obserwowani.

Autor jest starszym konsultantem w zespole usług doradczych dla sektora finansowego w Capgemini Polska

Ilustr. Jerzy Krzętowski

Capgemini Polska