Ataki hakerów na banki są nie do uniknięcia. Musimy się przyzwyczaić i... spać spokojnie

Wiosną cyberprzestępca włamał się do Plus Banku, zabierając klientom - według jego wersji - około miliona złotych i wykradając ich poufne dane. Pod koniec czerwca dziennikarce Krystynie Pytlakowskiej wyparowało z konta prawie 90 tysięcy złotych. Od 2013 roku międzynarodowy cybergang okradł na miliard dolarów ponad sto banków na całym świecie. I choć nie mamy co liczyć, że hakerzy przestaną zasadzać się na nasze oszczędności, to eksperci uspokajają: możemy spać spokojnie, o ile zachowujmy podstawowe zasady bezpieczeństwa.

- Poziom bezpieczeństwa informatycznego w polskich bankach jest dość zróżnicowany. Duzi gracze na rynku dysponują rozwiązaniami na światowym poziomie, spełniające najwyższe standardy - mówi dla Money.pl Adam, redaktor serwisu zaufanatrzeciastrona.pl, który pragnie zachować anonimowość. To właśnie między innymi z tym portalem kontaktował się haker przedstawiający się jako Raz, opowiadając o włamaniu, którego dokonał w Plus Banku.

Raz przekonywał, że wiosną wykradł dane tysięcy klientów: imiona, nazwiska, daty urodzenia, miejsca zamieszkania, numery kart płatniczych. Chciał od banku 200 tysięcy złotych za zachowanie milczenia i nieupublicznianie danych.

Choć początkowo eksperci od zabezpieczeń nie mieli pewności, czy aby cyberprzestępca nie blefuje, jego kolejne kroki pokazywały, że ma w ręku mocne karty. Najpierw zamieścił w sieci poufne dane Tobiasa Solorza - syna Zygmunta Solorza-Żaka, do którego należy Plus Bank, a zarazem prezesa Polkomtela i wiceszefa Cyfrowego Polsatu. Później - dane 500 "szeregowych" klientów Plus Banku z ponownym żądaniem zapłaty 200 tysięcy złotych, tym razem na cele charytatywne.

Bank najpierw długo milczał w tej sprawie, aż w końcu w komunikacie zapewnił, że pieniądze i dane klientów są bezpieczne. Przyznał jednak, że w pierwszym kwartale tego roku doszło do włamania na jego serwery. Dodał, że sprawa jest już w rękach policji i prokuratury. Z kolei Związek Banków Polskich zapewnił w oświadczeniu, że "ujęcie osób odpowiedzialnych za to przestępstwo i postawienie ich przed wymiarem sprawiedliwości to tylko kwestia czasu".

Jak tłumaczy Adam z "Zaufanej Trzeciej Strony", choć czołowe polskie banki mają zabezpieczenia na światowym poziomie, to w przypadku tych mniejszych (do których zalicza się Plus Bank) bywa już różnie.

Jak jest w przypadku instytucji Zygmunta Solorza? - Nasz system bankowości elektronicznej był przygotowywany przez jednego z liderów IT w Polsce. Firmę, która wykazywała się doświadczeniem i profesjonalizmem. Po nielegalnej działalności cyberprzestępców, wspólnie z dostawcą systemu wdrożyliśmy natychmiast dodatkowe zabezpieczenia i procedury ochronne - zapewnia Money.pl Mikołaj Jabłoński z biura prasowego Plus Banku i dodaje, że w tej chwili trwa też audyt systemów bezpieczeństwa, prowadzony przez zewnętrzną firmę. - Wszystkie środki finansowe naszych klientów były, są i będą bezpieczne - kwituje.

Z dnia na dzień o sprawie wycieku danych z Plus Banku jest coraz ciszej. Haker nie publikuje kolejnych transzy danych o klientach, mimo że - jak deklaruje bank - nie dostał za milczenie żadnych pieniędzy. Co się dzieje teraz z Razem i wykradzioną przez niego bazą danych? Adam z serwisu zaufanatrzeciastrona.pl woli nie spekulować.

Kłopoty Plus Banku to pierwszy w Polsce tak duży publicznie nagłośniony wyciek pieniędzy i danych, ale nie jedyny, o którym usłyszeliśmy. Pod koniec czerwca dziennikarka Krystyna Pytlakowska przyznała, że z dwóch jej kont internetowych, które miała w Citibanku, zniknęło 86 tysięcy złotych. Tym razem sprawa miała jednostkowy charakter, a bank nie widział tu swojej winy. Tłumaczył, że Pytlakowskiej zniknęły pieniądze, bo miała na komputerze wirusa, nie może więc liczyć na żaden zwrot pieniędzy.

Faktem jest, że winni utraty pieniędzy są często sami klienci. - W przypadkach banków internetowych najczęstszym scenariuszem ataku jest utrata środków ze względu na infekcję komputera klienta złośliwym oprogramowaniem - tłumaczy Piotr Konieczny, szef zespołu bezpieczeństwa serwisu niebezpiecznik.pl - drugiej redakcji, z którą kontaktował się haker Raz.

- Tu często banki rozkładają ręce twierdząc, że to obowiązkiem klienta jest zagwarantowanie bezpieczeństwa jego komputera. Jak tłumaczą, jeśli klient na skutek infekcji dał się "oszukać" fałszywym komunikatom czy podstawionym stronom, to nie jest to wina banku, a klient na rekompensatę liczyć nie może.

Klasyką gatunku jest już wyświetlanie przez hakerów na ekranach komputerów klientów banków strony, która wygląda jak należąca do banku, ale tak naprawdę to tylko kopia, która przechwytuje login i hasło i przekazuje je przestępcy. Złośliwe oprogramowanie potrafi też zmienić numer konta, na który chcemy wysłać pieniądze. Jeśli nie sprawdzimy go skrupulatnie podczas wpisywania hasła z sms-a od banku, możemy dokonać przelewu na rachunek hakera. Do tego typu ataku doszło między innymi w marcu tego roku na klientów mBanku.

Ataki bezpośrednio na systemy banków - choć rzadsze - także się zdarzają. Najgłośniej jest w tym roku o polującym na banki cybergangu zrzeszającym hakerów z Europy, Rosji, Ukrainy i Chin, znanym pod nazwą Carbanak. W ciągu dwóch lat miał on wykraść ze 100 różnych instytucji finansowych na całym świecie około miliarda dolarów. Ścigają go - na razie bez skutku - śledczy z Interpolu i Europol, którzy korzystają przy tym z pomocy specjalistów z Kaspersky Lab.

Co ciekawe, ta ostatnia firma, specjalizująca się w komputerowych systemach bezpieczeństwa (tworzy oprogramowanie antywirusowe), sama nie jest w stanie zapewnić sobie ochrony. Nie dalej jak w czerwcu tego roku przez jej zabezpieczenia przedostało się złośliwe oprogramowanie, tak zwany trojan. Hakerom ulegają także światowe potęgi - w kwietniu rosyjskim hakerom udało się dostać do poufnych danych Białego Domu i przechwycić między innymi terminarz Baracka Obamy.

Jak wynika z eksperckich analiz, do ataków hakerskich musimy się przyzwyczaić, ale z drugiej strony nie powinniśmy się nimi aż tak przejmować. Według najnowszego raportu zajmującej się bezpieczeństwem systemów komputerowych firmy Symantec, liczba udanych prób kradzieży danych wzrosła w 2014 roku o 23 procent (według danych PwC nawet o 50 procent). Co jednak ciekawe, mniej spośród skradzionych danych zostało później opublikowanych.

- Jeśli chodzi o pieniądze w bankach, to nawet jeśli techniczne zabezpieczenia zawiodą, mają one procedury, które mogą zrekompensować szkody klientom. Pokuszę się o stwierdzenie, że bardziej niż włamywacze, naszym pieniądzom w banku może zaszkodzić zła koniunktura czy wydarzenia geopolityczne - uspokaja Piotr Konieczny.

- Hakerzy zawsze będą atakować banki. To właśnie tam znajdują się pieniądze - dodaje Adam z serwisu zaufanatrzeciastrona.pl. - Warto jednak pamiętać, że większość atakujących za swoje cele wybiera te ofiary, których zabezpieczenia łatwiej pokonać. Sądzę, że głównym celem włamywaczy pozostaną komputery klientów banków, a o włamaniach do serwerów i systemów bankowych będziemy rzadko będziemy mieli okazję przeczytać.

Jak nie paść ofiarą hakera? Aby nie paść ofiarą kradzieży środków ze swojego konta w banku w zasadzie wystarczy rozsądek i odrobina doświadczenia. Trzeba aktualizować swój system operacyjny, przeglądarkę oraz jej wtyczki, lepiej nie otwierać załączników do poczty elektronicznej ani nie klikać w linki zawarte w korespondencji jeśli się dokładnie takiej wiadomości nie spodziewaliśmy. Należy zwracać szczególną uwagę na wszelkie niestandardowe sytuacje na ekranie interfejsu bankowości elektronicznej i w razie jakichkolwiek wątpliwości kontaktować się natychmiast z bankiem - wyjaśnia Adam z serwisu zaufanatrzeciastrona.pl. Najważniejsze, abyśmy mieli aktualne oprogramowanie (infekcje są możliwe na skutek luk, które aktualizacje "zamykają") i zachowali szczególną ostrożność podczas wykonywania operacji na internetowym koncie bankowym, na przykład sprawdzali, czy SMS z kodem potwierdzającym transakcję rzeczywiście zawiera poprawną kwotę i numery rachunków, które znajdują się na opłacanej fakturze - dodaje Piotr

Konieczny z serwisu niebezpiecznik.pl. Pierwszy haker psuł krew telegrafistom

Za protoplastów współczesnych cyberprzestępców uznaje się ludzi, którzy na początku dwudziestego wieku potrafili zakłócać fale telegrafu albo odkodować niemiecką Enigmę. Dziś haker - oprócz tego, że potrafi pokonać komputerowe zabezpieczenia - to pojęcie dwuznaczne. Z jednej strony można tak mówić o tych specach, którzy włamują się do systemów komputerowych po to, by poznać słabe ich punkty i zgłosić te braki do firm. Z drugiej - o przestępcach, którzy po włamaniu wykradają dane albo pieniądze.

Czytaj więcej [ ( http://static1.money.pl/i/h/101/m321893.jpg ) ] (http://www.money.pl/gospodarka/wiadomosci/artykul/awaria-w-lot-szef-abw-to-nie-atak-hakerski-,110,0,1838190.html) *Awaria w LOT. Szef ABW: to nie atak hakerski, ale zwykły błąd * Postępowanie sprawdzające w sprawie incydentu prowadzi od poniedziałku Prokuratura Okręgowa w Warszawie.
Jeszcze przed nastaniem epoki internetu, w 1988 roku, ofiarą cyberprzestępcy padł First National Bank of Chicago. Komputerowy złodziej był w stanie podłączyć się do systemu informatycznego banku i wykraść z niego 70 milionów dolarów.

Później cyberprzestępcy stawali się coraz bardziej zuchwali. W dobie raczkującego internetu okradali banki i włamywali się na strony amerykańskiej administracji. Przed hakerami nie obroniło się nawet FBI.

O tym, że hakerzy nie są nieuchwytni, przekonał się Władimir Lewin - cyberprzestępca oskarżony o kradzież prawie 11 milionów dolarów z kont Citibanku w 1994 roku. Lewin, choć unikał wymiaru sprawiedliwości jak ognia, został złapany kilka lat później na londyńskim lotnisku Heathrow i skazany na trzy lata pozbawienia wolności.

Dziś na szczycie listy najbardziej niebezpiecznych hakerów według FBI znajduje się inny Rosjanin. To Jewgienij Bogaczew, domniemany twórca wirusa Zeus, dzięki któremu miał być w stanie wykraść w sumie około stu milionów dolarów z kont rozsianych po całym świecie instytucji finansowych. W porównaniu z tą kwotą, nagroda za pomoc w doprowadzeniu Bogaczewa przed wymiar sprawiedliwości wydaje się dość skromna. Stany Zjednoczone dają bowiem za niego trzy miliony dolarów, czyli 9 razy mniej niż za Osamę Bin Ladena.

Zobacz też: W cyberwojnie każdy może być celem