Banki znalazły nowy sposób na cyfrowych przestępców. Konto bankowe pod ochroną.

Rozmowa z Grzegorzem Jasiulewiczem, Dyrektorem Departamentu Bezpieczeństwa Elektronicznego w Alior Banku

Grzegorz Jasiulewicz: Dziś mamy do czynienia głównie z pieniędzmi wirtualnymi. Mamy do nich dostęp również przez kanały elektroniczne, stąd też zupełnie inne wyzwania.

Pieniądze w banku są bardzo bezpieczne. Nie tylko klienci, ale również m.in. Komisja Nadzoru Finansowego wymagają od nas, aby inwestować w zabezpieczenia i cały czas je usprawniać. Wystarczy spojrzeć na statystyki. W Polsce dochodzi do mniej więcej jednej nieuprawnionej transakcji internetowej na milion. To stosunkowo mało.

W skrócie - to transakcja zlecona przez przestępców. Jak to zrobić? Sposobów na to jest bardzo wiele. Jedna z nich to wykorzystanie socjotechniki. Przestępcy dzwonią do klienta, podają się za pracownika banku lub kancelarii prawnej współpracującej z bankiem i mówią, że doszło do jakiejś niemiłej sytuacji, prosząc o zweryfikowanie naszej tożsamości. Nierozważni użytkownicy podają bez zastanowienia takie dane jak login, hasło czy kod sms.

Zdarza się, że podają. To jedna z metod socjotechnicznych szczególnie chętnie wykorzystywana przez przestępców. Do tego jest cała masa metod technicznych polegająca na przejmowaniu kontroli nad komputerem klienta. Wtedy przestępcy są w stanie wpływać na przykład na to, co jest wyświetlane na ekranie.

To już mam pomysł jak można ukraść panu pieniądze... Jeśli poda mi pan swój login i hasło, mogę do pana zadzwonić i powiedzieć: „drogi kliencie, testujemy nasze systemy bezpieczeństwa. Za chwilę dostanie pan kod SMS. Proszę o jego podanie”. A ja już wcześniej na podstawie loginu i hasła zlecam transakcję. Pan nie skojarzyłby tych dwóch czynności, bo co szkodzi podanie komuś kodu SMS. Tyle że ja wcześniej miałem login i hasło. Mogłem je zdobyć nawet pół roku wcześniej, bo klienci rzadko zmieniają hasła.

Nie chcę podpowiadać gotowych rozwiązań. Klienci muszą jednak pamiętać, że hasło jest tylko i wyłącznie dla nich. Nie można go nikomu podawać. Podobnie z kodami autoryzacyjnymi. Pod żadnym pozorem nie powinno się podawać ich przez telefon czy przesyłać dalej SMS'em. Można je wpisywać tylko na stronie internetowej banku. Bardzo ważne przy tym jest dokładnie czytanie całej treści wiadomości autoryzacyjnych.

_ Grzegorz Jasiulewicz, Dyrektor Departamentu Bezpieczeństwa Elektronicznego w Alior Banku _

Ludzie często patrzą tylko na te sześć ostatnich cyferek autoryzacyjnych, a to za mało. Dlaczego? Przestępca, który przejął kontrolę nad naszym komputerem, może nam wyświetlać na ekranie jakieś fikcyjne informacje. Ale sam, mając dostęp do naszego konta, może w tym czasie zlecać operacje, wyświetlając na ekranie naszego komputera pole do wpisania kodu SMS z informacją, że to np. w celu potwierdzenia tożsamości. Jeśli nie przeczytamy treści wiadomości, tylko sam numer autoryzacyjny i go wpiszemy, możemy potwierdzić transakcję, której dokonują przestępcy, myśląc, że tylko potwierdzamy tożsamość.

Nie. Potrzebna jest tylko rozwaga. Dla porównania - takich przestępstw internetowych w Polsce jest do 20-30 razy mniej niż wypadków samochodowych, a przecież nie rezygnujemy z poruszania się samochodami. Z bezpieczeństwem bankowości jest podobnie jak z ruchem drogowym. To od kierowcy i jego ryzykownych zachowań zależy w dużej mierze, czy dojdzie do wypadku. Podobnie jest z klientem banku. Jeśli np. logujemy się z nieznanych urządzeń i komputerów, w kafejkach internetowych czy hotelach, ryzyko, że ktoś dostanie się na nasze konto jest znacznie większe. Dlatego szczególnie zachęcamy do zapoznania się z zasadami bezpieczeństwa, które publikujemy na stronach internetowych banku. Jest to tak samo ważne jak znajomość przepisów drogowych podczas jazdy samochodem.

Wtedy trzeba natychmiast skontaktować się z infolinią banku. Tam pracują przeszkoleni pracownicy, którzy wiedzą, co trzeba robić i kogo powiadomić w takich sytuacjach. W Alior Banku czuwamy nad bezpieczeństwem naszych klientów przez całą dobę. Jeśli reakcja klienta będzie szybka, to istnieje duża szansa, że nie stracimy pieniędzy, ponieważ nawet jeśli przelew od nas zostanie wysłany, to trafi do drugiego banku. Banki z kolei współpracują ze sobą w zakresie bezpieczeństwa, więc pieniądze mogą do nas wrócić.

Czasem pieniądze są wypłacane z bankomatu po kilku minutach od transakcji. Czasem pieniądze leżą na koncie innego banku kilka dni. Tu nie ma reguły. Zawsze jeśli dojdzie do kradzieży lub próby kradzieży - trzeba niezwłocznie powiadomić bank.

Bank z pewnością przeanalizuje taką transakcję. W większości takich przypadków banki oddają klientom pieniądze.

Oczywiście. Pracujemy nad zabezpieczeniami biometrycznymi. Należy do nich biometria twarzy i głosu. Chcemy zaoferować klientom pakiet zabezpieczeń, aby każdy z nich mógł samodzielnie wybrać, w jaki sposób chce chronić dostępu do bankowości elektronicznej. Zmuszanie każdego klienta, aby korzystał z tych samych metod zabezpieczeń i np. wpisywał maskowane hasło nie jest dobrym pomysłem. Chcemy dać naszym klientom swobodę wyboru w tej kwestii.

Druga rzecz to systemy bezpieczeństwa, których klient nie widzi. Mamy dziś cały zestaw mechanizmów, które wykrywają nieuprawnione transakcje, wychwytując anomalie w zachowaniu klienta.

To przykład najbardziej klasycznej anomalii. My chcemy iść nieco dalej, wykorzystując anomalie natury informatycznej, biometrię behawioralną związaną z tym w jaki sposób klient wykorzystuje swój komputer, np. z jaką prędkością pisze na klawiaturze czy nawiguje na ekranie . Są to wzorce specyficzne dla każdego z nas. Przestępcy nie są w stanie naśladować nas do tego stopnia, gdy przejmują nasz komputer. A my dzięki takiej kontroli jesteśmy w stanie zabezpieczyć bankowe konto przed nieautoryzowaną transakcją.

Też będziemy w stanie to wykryć i możemy zablokować próbę takiej transakcji przez Internet, bo to dla naszego systemu będzie anomalią.