Współczesny napad na bank: banki i ich klienci na celowniku

Data dodania: 21.04.2016

Według prognozy TMT Predictions firmy doradczej Deloitte, tylko w tym roku zostanie sprzedanych 1,6 mld smartfonów. Wiąże się to z dynamicznym rozwojem rynku mobilnych usług finansowych, który w naszym kraju obejmuje już ponad 5 mln osób. Przy wielokanałowym dostępie do bankowości elektronicznej klienci dysponują co najmniej 10 różnymi metodami, aby autoryzować swoje transakcje bankowe. Wszystkie te trendy powodują, że także cyberprzestępcy zyskują nowe możliwości nieuprawnionego dostępu do rachunków użytkowników bankowości internetowej i mobilnej. Wraz ze wzrostem poziomu wiedzy i świadomości klientów indywidualnych (którzy są tradycyjnie i niezmiennie na celowniku hakerów) cyberprzestępcy także poszukują nowych możliwości. Coraz bardziej atrakcyjnym i zyskownym łupem dla hakerów są małe i średnie przedsiębiorstwa niedostatecznie dbające o cyberbezpieczeństwo.

Klienci oczekują dostępu do swoich rachunków bankowych o każdej porze, w każdej lokalizacji oraz za pośrednictwem wszystkich dostępnych urządzeń elektronicznych, w tym również mobilnych. Według Związku Banków Polskich w IV kwartale 2015 roku liczba aktywnych klientów indywidualnych bankowości internetowej w Polsce przekroczyła 14,5 mln osób. W przypadku sektora małych i średnich przedsiębiorstw aktywnych klientów jest 1,3 mln. Średnia wartość transakcji dokonywanych przez nich za pośrednictwem bankowości internetowej wynosi już około 85 tys. zł miesięcznie, podczas gdy w przypadku klientów indywidualnych jest to nieco ponad 6 tys. zł.

„Duży zwrot z przestępczej inwestycji coraz częściej osiągany jest poprzez ataki ukierunkowane na MŚP z uwagi na relatywnie większy wolumen dokonywanych transakcji w porównaniu z klientami indywidualnymi, brak świadomości na temat zagrożeń, a także brak spójnego podejścia do ochrony na poziomie całej organizacji.” – wyjaśnia Marcin Ludwiszewski, Dyrektor, Lider obszaru cyberbezpieczeństwa Deloitte w Polsce.

Głównym celem przestępców jest kradzież środków finansowych oraz kradzież tożsamości umożliwiająca im m.in. zaciąganie kredytów przy użyciu danych ofiary, jak i pranie pieniędzy. Aby dostać się do środków finansowych hakerzy najczęściej wykorzystują różne kombinacje tzw. inżynierii społecznej (np. SPAM lub e-mail ze złośliwym załącznikiem, linkiem prowadzącym do strony www, która ma na celu zainfekowanie złośliwym oprogramowaniem) do instalacji oprogramowania złośliwego (trojany bankowe) na komputerze lub telefonie. Oprogramowanie to może przechwytywać dane potwierdzające tożsamość lub autoryzujące transakcje poprzez atak na poziomie przeglądarki (man in the browser, wstrzykiwanie kodu), np. wyświetlając z pozoru prawdziwy komunikat w celu przechwycenia danych autoryzujących, podmieniając wskazany przez nas numer konta bankowego na fałszywy. Inne sposoby mogą opierać się na atakowaniu komunikacji z serwerami (man in the middle, podsłuchu oraz modyfikacji danych). Ryzyko ataku może również wynikać z podatności, które generują niezabezpieczone sieci WiFi lub usługi telekomunikacyjne umożliwiające dostęp do danych takich jak SMS – które mogą być wykorzystywane w procesie autoryzacji transakcji.

Zakres możliwości ataku na użytkowników bankowości elektronicznej jest szeroki. Jednocześnie coraz większa profesjonalizacja cyberprzestępców mających powiązania ze światem przestępczym sprawia, że nieustannie rośnie liczba sposobów dokonywania ataków. Z analizy ekspertów Deloitte wynika, że obecnie banki udostępniają średnio osiem kanałów umożliwiających dokonywanie transakcji (m.in. w oddziale, przez telefon, komputer czy aplikację mobilną na smartfonie i tablecie) przy dziesięciu dostępnych metodach autoryzacji. Są to m.in.: kody SMS, podpis elektroniczny, tokeny sprzętowe, tokeny programowe, kody jednorazowe, kody PIN, pytania kontrolne czy parametry biometryczne (odcisk palca).

„W związku z wieloma kanałami dostępu i metodami autoryzacji istnieje kilkadziesiąt ścieżek, które stwarzają cyberprzestępcom możliwość ataku. Kierunki rozwoju zabezpieczeń takie jak biometryczne rozpoznawanie głosu czy odcisków palców daje nadzieję na skuteczniejszą walkę z cyberprzestępcami, ale nie należy się łudzić, że zagrożeń w cyfrowej rzeczywistości uda się uniknąć w stu procentach. Co więcej, naszym zdaniem ze względu na wysoką profesjonalizację grup przestępczych ich liczba będzie rosła” – mówi Marcin Lisiecki, Menadżer w dziale cyberbezpieczeństwa Deloitte.

Dlatego zwłaszcza małe i średnie firmy, które często borykają się z brakami w zakresie organizacyjnym i technicznym, w tym z obszaru cyber, powinny być szczególnie ostrożne. Chcąc zabezpieczyć się przed atakami w sieci powinny zidentyfikować zagrożenia związane z dokonywaniem płatności i umiejętnie nimi zarządzać. Poprzez regularne uświadamianie, sesje i treningi istnieje możliwość przeszkolenia poszczególnych grup pracowników, które są szczególnie narażone na ryzyko ataków (np. księgowość). Podobnie jak w przypadku klientów indywidualnych, również osoby zatrudnione w sektorze MŚP powinny unikać wchodzenia na strony internetowe o niskiej reputacji przy użyciu urządzeń wykorzystywanych do dokonywania płatności. Niezbędne są również rozwiązania technologiczne do wykrywania i usuwania spamu, fałszywych maili oraz oprogramowania złośliwego. Wskazane zaś jest także porozumienie z bankiem, które gwarantuje bezpieczną metodę autoryzacji transakcji.

Eksperci Deloitte zaznaczają jednak, że zwiększone zainteresowanie atakami na firmy nie powinno usypiać czujności klientów indywidualnych banków.

„Oczywiście duża odpowiedzialność za bezpieczeństwo spoczywa na bankach, które poza edukacją klientów powinny na bieżąco testować swoje środowisko i udostępniane aplikacje pod kątem bezpieczeństwa oraz wykrywać i reagować na nietypowe schematy płatności. Przede wszystkim jednak klienci indywidualni powinni wykazywać się zdrowym rozsądkiem i kierować się zasadą ograniczonego zaufania w odniesieniu do otrzymywanych wiadomości, załączników, stron www, jak również instalowanych aplikacji. Ważne jest również aby dostawcy usług telekomunikacyjnych przy wprowadzaniu nowych produktów, mieli na uwadze ryzyko nieuprawnionego dostępu do danych, które mogą być wykorzystywane przy autoryzacji transakcji” – podsumowuje Marcin Ludwiszewski.

 

Komentarze

Materiały powiązane

KarieraBlockchain Engineer, Machine Learning Specialist czy DevOps Engineer - to przykłady nowych profesji w branży IT
Blockchain Engineer, Machine Learning Specialist czy DevOps Engineer - to przykłady nowych profesji w branży IT
28.03.2018
TechnologieDOBRE ZAKŁÓCENIA – Cyfrowa rewolucja w sektorze usług biznesowych
DOBRE ZAKŁÓCENIA – Cyfrowa rewolucja w sektorze usług biznesowych
01.02.2018
KarieraKobiety na rynku pracy
Kobiety na rynku pracy
07.03.2018
Poprzedni
Specjaliści data science
Specjaliści data science
Następny
Przewodnik "Modern Office Standards Polska 2016"
Przewodnik "Modern Office Standards Polska 2016"

Newsletter

Kalendarium

  • 29 edycja Akademickich Targów Pracy05.06.2018 Wrocław
  • Big Data06.06.2018 Warszawa
  • NOWOCZESNE FINASNE07.06.2018 Warszawa
Zobacz inne

Rekrutacja

  • Specjalista w dziale księgowości ze znajomością języków obcych (SSC/BPO)Antal Sp. z o.o.Łódź
  • Absolwenci z językami obcymiAdecco Poland Sp. z o.o.Kraków
  • Praca dla studenta!Teleperformance PolskaWarszawa
  • Business Development ManagerPro ProgressioWarszawa
Zobacz inne
  • Adecco Poland Sp. z o.o.Doradztwo personalne, usługi HR
  • Pro ProgressioOutsourcing - promocja, edukacja, networking
  • Teleperformance PolskaContact Center, Multilingual Customer Service, Customer Experience Management, Technical Support, Business Process Outsourcing
  • Antal Sp. z o.o.Rekrutacja, HR consulting, market research
Zobacz inne

Eksperci

Barbara  Cymerman
Barbara Cymerman
zobacz innych

Bibliografia Outsourcingu

Mamy już 37863
pozycji w bazie

Outsourcing&More

Newsroom

  • Nie da się usprawnić procesów, których się nie mierzy... (Część 1.)Nie da się usprawnić procesów, których się nie mierzy... (Część 1.)25.05.2018
  • Konferencja PropTech Now w sercu Warszawy Konferencja PropTech Now w sercu Warszawy 25.05.2018
  • Gdynia na weekend 25 - 27 majaGdynia na weekend 25 - 27 maja25.05.2018
  • Poznańska Kolej Metropolitalna - dla pasażerów i miastaPoznańska Kolej Metropolitalna - dla pasażerów i miasta25.05.2018
  • Poznań na weekend 25 - 27 majaPoznań na weekend 25 - 27 maja25.05.2018
Zobacz inne

Literatura

Outsourcing w działalności dostawców usług płatniczych
Outsourcing w działalności dostawców usług płatniczychC.H.Beck
Zobacz inne

Blogi

  • Wiktora tydzień na 5 vol.29
    Wiktora tydzień na 5 vol.29Wiktor Doktór
  • Niebezpieczeństwa Agresywnego Sharedeskingu
    Niebezpieczeństwa Agresywnego SharedeskinguKarina Kreja
  • Wiktora tydzień na 5 vol.28
    Wiktora tydzień na 5 vol.28Wiktor Doktór
  • Schody, Schody!
    Schody, Schody!Karina Kreja
  • W jaki sposób skutecznie budować autorytet lidera?
    W jaki sposób skutecznie budować autorytet lidera?Robert Zych
Zobacz inne
  • Karina Kreja
    Karina KrejaEkspert Strategii Środowiska Pracy, Architekt, Rzeczoznawca Majątkowy.
  • Dymitr Doktór
    Dymitr DoktórEkspert w dziedzinie marketingu, wizjoner, pasjonat rozwiązań outsourcingowych oraz optymalizacji. Redaktor Naczelny magazynu Outsourcing&More.
  • Robert Zych
    Robert ZychWspółwłaściciel firmy szkoleniowej Kontrakt OSH.
  • Krzysztof Herdzik
    Krzysztof Herdzik
  • Daniel Bąk
    Daniel BąkEkspert w dziedzinie BPM, ECM, Back Office Outsourcing, Zarządzanie dokumentami
Zobacz inne

Baza Firm

Teleperformance Polska
Teleperformance Polska
Zobacz inne