Każdego roku coraz więcej osób płaci rachunki za pośrednictwem systemów bankowości online i dokonuje zakupów w sklepach internetowych. Według badania* instytutu Harris Interactive przeprowadzonego na zlecenie Kaspersky Lab w okresie luty-marzec 2012, 57% użytkowników zdalnie zarządza swoim kontem bankowym i dokonuje zakupów online, podczas gdy 31% badanych przechowuje swoje dane bankowe na dysku twardym. Branża płatności elektronicznych to rynek o wartości miliarda dolarów i nie jest żadną niespodzianką, że tego rodzaju informacje bankowe stanowią niezwykle atrakcyjny cel dla cyberprzestępców.
Głównym celem oszustów są dane, przy użyciu których mogą podszyć się pod właściciela konta elektronicznego i uzyskać do niego niemal nieograniczony dostęp. Jeżeli dojdzie do takiego ataku, pieniądze ofiary będą mogły zostać wykorzystane w dowolny sposób w celu przeprowadzania wszelkiego rodzaju transakcji finansowych. Przestępcy najczęściej próbują zdobyć login i hasło użytkownika i – w niektórych przypadkach – jednorazowe kody uwierzytelniające wymagane do potwierdzenia transakcji. Uzbrojeni w takie dane oszuści mogą łatwo przelać pieniądze z konta ofiary na swoje i dokonać wypłaty. Istnieje wiele sposobów kradzieży danych bankowych. Należą do nich metody techniczne obejmujące wykorzystywanie trojanów oraz socjotechnika, mająca na celu manipulowanie samym użytkownikiem.
W jaki sposób znikają pieniądze?
Jednym z najprostszych sposobów gromadzenia informacji finansowych jest wykorzystanie masowej wysyłki wiadomości e-mail rzekomo pochodzących od administracji banku.
W wysyłanym mailu oszuści zawsze podają jakiś pretekst, by zachęcić użytkowników do przekazania swoich danych osobistych lub odwiedzenia „oficjalnej strony” w celu rozwiązania jakiegoś problemu. Według badania przeprowadzonego na zlecenie Kaspersky Lab, 23% użytkowników na świecie otrzymało podobnego maila.
Oszuści mogą stworzyć kopię oficjalnej strony banku i umieścić ją w domenie o nazwie łudząco podobnej do oryginału. Użytkownik klika odsyłacz maila, myśląc, że odwiedza prawdziwą stronę, i podaje swoje dane, które w rzeczywistości trafiają do rąk cyberprzestępców. Inny wariant może kryć w sobie odsyłacz przekierowujący użytkownika do zasobu osób trzecich, zawierającego szkodliwy program. Kradzież informacji z zainfekowanego systemu odbywa się w taki sam sposób jak kradzież z fałszywej strony internetowej lub poprzez przechwycenie informacji wprowadzonych do przeglądarki. Możliwe jest również bezpośrednie przechwytywanie informacji przy użyciu keyloggerów – specjalnych aplikacji rejestrujących wszystkie znaki wprowadzane przez użytkownika z klawiatury komputera lub przychwytujących obrazki z zawartością ekranu zainfekowanej maszyny.
Dobrym przykładem jest trojan MultiPhishing wykryty przez ekspertów z Kaspersky Lab w styczniu 2012 r. Szkodnik ten został stworzony w celu kradzieży danych uwierzytelniających ze stron popularnych europejskich banków. Po przeniknięciu do komputera ofiary trojan nie ujawnia się aż do momentu zalogowania się użytkownika do serwisu bankowości online jednego z atakowanych banków. Gdy to nastąpi, szkodnik wyświetla okno imitujące formularz autoryzacyjny banku i zamyka prawdziwe pole do wpisywania danych. Jeżeli użytkownik nie nabierze podejrzeń i wprowadzi żądane dane, zostaną one natychmiast przesłane do właścicieli trojana. MultiPhishing jest wykrywany na całym świecie, jednak większość przypadków infekcji występuje w Wielkiej Brytanii.
Spośród metod stosowanych przez cyberprzestępców warto także wymienić trojany stworzone w celu przechwytywania informacji bankowych z plików przechowywanych na dysku komputera, w tym z menedżerów haseł w przeglądarkach internetowych. Niektóre szkodliwe programy potrafią „w locie” zamienić stronę banku na jej oszukańczy odpowiednik lub zmodyfikować elementy rzeczywistej strony poprzez dodanie własnych pól. Taką sztuczkę zastosował niesławny, uniwersalny trojan ZeuS, który w samych tylko Stanach Zjednoczonych zainfekował 3,5 miliona komputerów. Inny trojan, znany jako Carberp, przenika do systemu poprzez luki w zainstalowanym oprogramowaniu, a następnie kradnie pieniądze z kont bankowych.
Nie ustępuje sejfowi bankowemu
Aby zapewnić ochronę swoim klientom przed opisywanymi zagrożeniami, banki stosują własne, dość skuteczne techniki. Na przykład, w przypadku stosowania podwójnego uwierzytelnienia klient wykorzystuje dwa hasła: pierwsze w celu zalogowania się, drugie (jednorazowe) – do potwierdzenia płatności i innych transakcji. Metoda ta może być połączona z systemem haseł jednorazowych przysyłanych przez bank na telefon komórkowy użytkownika. Alternatywnie, klient może otrzymać token sprzętowy umożliwiający generowanie haseł na żądanie lub kartę-zdrapkę. Na koniec warto wspomnieć, że w przypadku transakcji online, serwisy bankowe wykorzystują bezpieczne połączenie SSL, które zmniejsza ryzyko kradzieży danych podczas transmisji.
Jednak ani bezpieczne połączenie, ani podwójne uwierzytelnienie nie jest panaceum na cyberkradzież. Mobilna wersja ZeuSa, znana jako ZitMo (Zeus-in-the-Mobile), potrafi przechwytywać SMS-y zawierające hasło jednorazowe oraz wysyłać je oszustom. Dlatego niezbędne jest wzięcie spraw we własne ręce i zainstalowanie oprogramowania bezpieczeństwa, które może znacznie wzmocnić ochronę zapewnianą przez bank.
