Polacy o cyberbezpieczeństwie banków

Przeczytaj także: RODO podniesie zaufanie do banków?

Eksperci nie kryją zaskoczenia - tak duża pewność co do bezpieczeństwa w sieci to dość niespodziewany wynik w społeczeństwie, które w większości (70%) przyznaje, że nie tylko nie rozwija swojej wiedzy nt. cyberzagrożeń, ale wręcz nie widzi takiej potrzeby (badanie Kantar TNS na zlecenie ZBP, kwiecień 2018). Co więcej, taki wynik może napawać niepokojem - z badań zrealizowanych przez Komisję Europejską wynika bowiem, że przeszło 7 na 10 Polaków na własnej skórze doświadczyło (i zidentyfikowało) minimum jedną próbę wyłudzenia danych autoryzacyjnych do swojej bankowości elektronicznej.

Ta niefrasobliwość Polaków może być efektem silnie zakorzenionego przekonania o wysokim cyberbezpieczeństwie sektora bankowego. Z badania, które Kantar TNS przeprowadził na zlecenie ZBP wynika, że ufność jaką darzymy banki dwukrotnie przekracza poziom zaufania do przedstawicieli wojska i policji oraz prawie pięciokrotnie przewyższa poziom zaufania do sektora telekomunikacyjnego. Jednak bez konsekwentnej edukacji ekonomicznej, oraz utrwalania dobrych nawyków wśród klientów w zakresie korzystania z bankowości elektronicznej, systemy bezpieczeństwa elektronicznego zbudowane przez sektor bankowy mogą okazać się niewystarczające.

Co więc zrobić, by zwiększyć swoje bezpieczeństwo w internecie? Jak skutecznie zabezpieczyć się przed cyberatakami?

Z pomocą przychodzi tu 10 prostych rad zalecanych przez ZBP by ustrzec się przed zagrożeniami w sieci.

1. Ustaw silne hasło (cyfry, małe i wielki litery, znaki specjalne)
2. Zmieniaj swoje hasło regularnie (zrób z tego nawyk np. pierwszego dnia miesiąca)
3. Stosuj różne hasła do różnych serwisów
4. Nie udostępniaj swojego komputera innym osobom
5. Wyłącz automatyczne zapamiętywanie haseł
6. Nie zapisuj nigdzie swoich haseł i PINów
7. Zainstaluj (i aktualizuj) program antywirusowy na swoim komputerze
8. Sprawdzaj z jakiego adresu e-mail przyszła wiadomość od Twojego banku
9. Weryfikuj adres strony swojej bankowości elektronicznej (zwłaszcza domenę tj. końcówkę adresu www)
10. Nie podawaj żadnych wrażliwych informacji w e-mailowej korespondencji z bankiem

Największe finansowe cyberataki 2017 r.

WannyCry, maj 2017r.

Atak WannaCry, którego nazwa pochodzi od rozszerzenia pliku infekującego komputery .WNCRY. Jest to rodzaj oprogramowania szantażującego ransom ware, czyli takiego który blokuje dostęp do danych użytkownika zanim ten nie wpłaci oszustom wymaganego okupu. Według danych Europolu (policyjnej agencji Unii Europejskiej) atak WannaCry był największym tego rodzaju w ostatnich kilku latach. Ofiarą cyberwirusa były między innymi hiszpańskie banki i firmy telekomunikacyjne, angielskie związki szpitali oraz rosyjskie Ministerstwo Spraw Wewnętrznych. W sumie mówi się, że zainfekowanych zostało ponad 300 tys. komputerów w 99 krajach1, a przestępcy żądali zapłaty w 28 językach (w tym polskim). O dokonanie ataku posądzana jest Korea Północna.

Notpetya, czerwiec 2017

Odmiana wirusa Petya – ransom ware odkrytego w 2016 roku. Wirus blokował dostęp do systemu operacyjnego i żądał okupu w kryptowalucie, co miało umożliwiać przywrócenie dostępu do systemu. W czerwcu 2017 r. zidentyfikowany został cyberatak na Ukrainie, w którym wirus był nowym wariantem Petya (nazwany przez KasperskyLab Notpetya). Cyberataki Notpetya dotknęły przede wszystkim ukraińskie i rosyjskie instytucje (80 firm, w tym m.in. ukraiński bank centralny), jednak ataki zostały zidentyfikowane także we Francji, Niemczech, Włoszech, Polsce, Stanach Zjednoczonych i Wielkiej Brytanii.

Atak na organy sprawujące kontrolę nad rynkiem finansowym, luty 2017 r.

Atak był jednym z pierwszych dużych cyberataków na instytucje publiczne w Polsce i zaliczany jest do kategorii zwanej techniką wodopoju. Celem ataku nie była bowiem sama instytucja, ale osoby, które odwiedzają konkretne obszary jej strony internetowej. Dzięki temu atakujący nie musi docierać do tej grupy ofiar, która go interesuje, tylko czeka, aż ofiary same trafią na zainfekowaną stronę. Wirus dokonuje selekcji osób poprzez adres IP, następnie przekierowuje ofiarę na stronę, która atakuje przeglądarkę internauty. W tym przypadku atak odbywał się poprzez wtyczki do przeglądarki, skąd płynie ważny wniosek o wyłączaniu wtyczek w przeglądarce. Atak wykryty został przez pracowników banków, dzięki czemu nie zostały one zainfekowane wirusem, a dane klientów banków pozostały bezpieczne.

Atak na włoski bank, lipiec 2017 r.

Bank oświadczył, że hakerzy włamując się do systemów banku uzyskali dostęp do danych 400 tys. klientów. Do serii ataków miało dojść we wrześniu i październiku 2016 r. oraz i lipcu 2017r. Hakerzy prawdopodobnie uzyskali dostęp do numerów IBAN i danych osobowych, nie mieli oni jednak uzyskać haseł dostępu do kont i transakcji. Do atakumogło dojść poprzez zagranicznego partnera banku.

Atak na rosyjski bank, luty 2017 r.

W lutym 2018 r. rosyjski bank centralny podał informację o kradzieży 18,9 mln zł z jednego z rosyjskich banków. Atak miał miejsce w 2017r., hakerzy mieli włamać się do systemu banku poprzez system płatności SWIFT (Stowarzyszenie na rzecz Światowej Międzybankowej Telekomunikacji Finansowej), międzynarodowe stowarzyszenie utrzymujące sieć telekomunikacyjną służącą do wymiany informacji o transakcjach finansowych między bankami i innymi instytucjami sektora.

Ataki na biura informacji gospodarczej, lipiec 2017 r.

W lipcu celem ataku hakerskiego stało się jedno z większych amerykańskich biur informacji gospodarczej. Przestępcy ukradli dane osobowe 145 milionów osób. Kilka miesięcy później celem ataku stało się drugie biuro gospodarcze w Stanach. Nie wiadomo kto stał za obydwoma atakami.

Spoofing

Pod mianem spoofingu kryje się zjawisko podszywania się pod znane firmy i instytucje (domain spoofing – podszywanie się pod domeny znanych instytucji, e-mail spoofing – wysyłanie wiadomości z adresów instytucji). Ta metoda oszustwa, nawet jeśli mniej efektowna, niż globalne cyberataki, to z uwagi na skalę należy wg ekspertów do najniebezpieczniejszych narzędzi przejmowania danych. Ofiarą takich ataków najczęściej stają się bowiem zwykli obywatele. Oszuści najczęściej podszywają się pod gigantów technologii, takich jak Amazon, Apple, czy PayPayl, jednak w ostatnich miesiącach cyberprzestępcy podszywali się również pod linie lotnicze, serwis Netflix, pracowników instytucji publicznych, w tym ministerstw, ale także polskich banków.

Jak wygląda taki sfałszowany e-mail? Treścią i obrazem przypomina prawdziwa wiadomość, jedyną różnicą jest adres, pod jaki użytkownik zostaje przenoszony po kliknięciu w zawarty w wiadomości link. Spoofing od phishingu różni się tym, że poza wyłudzeniem danych wrażliwych wirus instaluje w systemie operacyjnym użytkownika złośliwe oprogramowanie, które może na przykład masowo wysyłać nieprawdziwe wiadomości używając do tego tożsamości użytkownika, co czyni oszustwo skuteczniejszym.