Czy płatności on-line są zawsze bezpieczne

Zanim przeprowadzimy jakąkolwiek transakcję w sieci, musimy sprawdzić autentyczność witryny banku.

- Wystarczy dokładnie przyjrzeć się całości strony www. Duże zmiany w kolorystyce czy układzie treści powinny nas zaniepokoić. Banki i większe sklepy internetowe rzadko zmieniają wygląd strony, a jeśli to robią, o zmianach zazwyczaj informują swoich klientów - radzi Edyta Mazerska z Panda Security Polska, producenta oprogramowania antywirusowego.

Podstawą jest także sprawdzenie, czy komunikacja z sewerem banku jest szyfrowana. Przypomnijmy: można to poznać po adresie rozpoczynającym się od https://, zmienionym kolorze podświetlenia tego adresu, a także symbolu kłódki w prawym dolnym rogu przeglądarki. Jeśli - z jakichkolwiek powodów - nie mamy stuprocentowej pewności co do wiarygodności witryny, lepiej nie przeprowadzać transakcji i skontaktować się z bankiem.

Specjaliści, którzy na co dzień zajmują się zagadnieniami bezpieczeństwa w sieci, zalecają internautom dokonującym płatności w sieci, by korzystali z programów antywirusowych, pamiętali o aktualizacji oprogramowania i zawsze ignorowali spam (wiadomości rozysłane masowo, pochodzące od nieznanych nadawców; nigdy nie należy otwierać załączników w takich wiadomościach, nigdy nie należy ich otwierać ani odpowiadać na nie). Nie należy wypełniać formularzy, do których prowadzą linki zawarte w e-mailach pochodzących rzekomo z banku i unikać pobierania plików ze stron, które wydają nam się (z jakichkolwiek powodów) podejrzane.

- Takich witryn lepiej w ogóle nie odwiedzać - mówi Edyta Mazerska i dodaje, że adres banku w przegladarkę najlepiej wpisywać ręcznie. Jeśli w wyglądzie witryny coś nas zaniepokoi, najlepiej zamknąć okno przeglądarki i otworzyć ponownie.

Bezpieczna witryna

Warto wiedzieć, że witryny banków muszą spełniać szereg wymagań technicznych zapewniających bezpieczeństwo. Bezpieczna witryna powinna: gwarantować, że wprowadzane informacje będą dostępne tylko dla zainteresowanych stron (komunikacja musi być szyfrowana) i zapewniać integralność informacji, dzięki czemu mamy pewność, że wprowadzane informacje nie będą przedmiotem manipulacji (służą do tego sygnatury cyfrowe).

Najczęściej stosowany obecnie system do przeprowadzania bezpiecznych transakcji szyfruje wprowadzane dane, a gdy dotrą one do miejsca przeznaczenia, deszyfruje je.

- Daje to gwarancję, że nawet jeśli osoby trzecie przechwycą dane, nie będą mogły ich w żaden sposób wykorzystać bez odpowiedniego klucza deszyfrującego - tłumaczy Edyta Mazerska.

Aby w pełni zabezpieczyć się przed zagrożeniami z zewnątrz, bank lub inna instytucja finansowa wdrażają również odpowiednie rozwiązania ochronne oraz spójną politykę bezpieczeństwa, która będzie precyzować zarówno podjęte środki ochrony, jak i sposób postępowania w przypadku wykrycia zagrożenia.

Ważne!

Banki i instytucje finansowe nigdy nie żądają podawania poufnych danych przez e-mail. Do korespondencji mailowej z bankiem trzeba mieć ograniczone zaufanie. Należy unikać przesyłania pocztą elektroniczną poufnych informacji (loginy, numer konta, PIN).

Zagrożenia

Obecnie największym zagrożeniem dla użytkowników kont internetowych, e-sklepów i serwisów aukcyjnych są ataki phishingowe oraz trojany bankowe. Ataki phishingowe bazują na socjotechnice i mają na celu skłonić użytkownika komputera, by wszedł na podrobioną stronę www (najczęściej instytucji finansowej) i wykonał czynność, jakiej oczekuje cyberprzestępca (patrz: ramka obok). Może to być np. wypełnienie formularza, w którym podamy poufne dane (PIN, numer konta, numer karty) lub ściągnięcie pliku, który faktycznie (zamiast np. tapety czy gry) zawierał będzie trojana bankowego, który służy do wykradania poufnych danych.

Eksperci zwracają uwagę, że zagrożeniem dla naszych pieniędzy możemy być także my sami, gdy korzystamy z internetu nierozważnie, czyli: nie mamy zainstalowanego pakietu ochronnego, odwiedzamy podejrzane witryny www, dokonujemy transakcji w przypadkowych miejscach i z przypadkowych komputerów (np. z kafejek internetowych), odpowiadamy na maile od nieznanych nadawców, otwieramy zawarte w takiej korespondencji załączniki i linki czy też wypełniamy znalezione w sieci formularze, podając swoje poufne dane. Jeśli nie chcemy mieć kłopotów - nie należy tego robić. Dbając o bezpieczeństwo transakcji przeprowadzanych w sieci, nie stracimy pieniędzy ze swojego konta.

JAK BRONIĆ SIĘ PRZED PHISHINGIEM I CHRONIĆ SWOJE PIENIĄDZE

Phishing (określany czasem także jako spoofing) polega na przesłaniu e-maila, podszywającego się pod wiadomość z banku, sklepu lub instytucji finansowej i zawierającego zazwyczaj link. Gdy użytkownik kliknie w ten link, zostanie przekierowany na podrobioną witrynę, na której poproszony będzie o podanie swoich poufnych danych (numeru karty, loginu, hasła). Dla internauty zgubne jest to, że podrobiona strona www do złudzenia przypomina oryginalną, więc wiele osób bez zastanowienia wpisze wymagane informacje, dzięki czemu przestępca uzyska dostęp do konta, a dane wykorzysta prawdopodobnie do kolejnych oszustw.

Przebieg ataku typu phishing

1. Cyberprzestępca przygotowuje witrynę łudząco podobną do autentycznej strony banku lub sklepu internetowego oraz zdobywa listę mailingową - może ją sam przygotować, ale łatwo i niedrogo może ją kupić na jednym z forów internetowych (cena: 100 dolarów za milion adresów);

2. Pod adresy z listy mailingowej rozsyła e-mail zawierający link, który przekierowuje na podrobioną stronę;

3. Na fałszywej witrynie prosi o podanie poufnych danych;

4. Cyberprzestępca likwiduje podrobioną witrynę, by uniknąć wykrycia;

5. Wyłudzone dane są wykorzystywane do oszustw i kradzieży.

Jak rozpoznać fałszywy e-mail i podrobioną witrynę?

Wiadomości wykorzystywane przez cyberprzestępców rozsyłane są zazwyczaj masowo za pośrednictwem poczty e-mail i komunikatorów internetowych. E-maile trafiają i do klientów danej firmy, i do przypadkowych osób. Wiadomości często mają charakter alarmu ostrzegającego przed atakiem, zamknięciem konta czy zablokowaniem karty (w odpowiedzi internauci chętnie podają swoje dane).

Podrobiony e-mail lub fałszywa witryna może zawierać:

• nazwę i logo faktycznie istniejącego banku, sklepu lub firmy - cyberprzestępca nie tworzy witryny od podstaw, lecz wykorzystuje elementy grafiki z autentycznej strony;

• nazwiska pracowników firmy - gdy ofiara ataku zadzwoni do firmy, by potwierdzić autentyczność wiadomości, dowie się, że jej nadawca faktycznie jest zatrudniony;

• link do strony www, który jest łudząco podobny do prawdziwego adresu firmy i może różnić się jedynie jedną literą, a prowadzi do podrobionej witryny. Zdarza się, że wiadomość zawiera kilka linków (jeden prowadzi do podrobionej strony, a pozostałe kierują na prawidłowe witryny www);

• błędy ortograficzne, gramatyczne, znaki specjalne - autentyczna wiadmość z banku czy sklepu tego rodzaju błędów nie powinna zawierać;

Jak ochronić się przed phishingiem?

By uchronić się przed atakiem typu phishing, wystarczy stosować się do kilku prostych zasad:

• jeśli masz jakiekolwiek wątpliwości co do autentyczności wiadomości lub witryny, nie wypełniaj żadnych formularzy i skontaktuj się z bankiem;

• sprawdzaj źródło wiadomości i nie odpowiadaj automatycznie na maile, w których nadawca prosi o podanie poufnych danych. Najlepiej nie odpowiadać na maile od nieznanych nadawców;

• adresy witryn do przeglądarki wprowadzaj ręcznie - unikniesz przekierowania na fałszywą stronę www;

• do korespondencji z firmami, bankiem czy sklepami wykorzystuj adres e-mail, którego nie podajesz na listach mailingowych, forach internetowych czy serwisach społecznościowych;

• sprawdzaj, czy komunikacja z bankiem odbywa się przez protokół szyfrowany (https:// i symbol kłódki);

• sprawdź, czy witryna posiada certyfikat bezpieczeństwa - wyświetli się, jeśli klikniesz dwukrotnie w symbol kłódki;

• korzystaj z przeglądarek internetowych, które posiadają funkcję antyphishing;

• sprawdzaj stan konta - cyberprzestępcy kradną często małe sumy, ale wielu osobom (nawet małe niezgodności powinny budzić nasz niepokój).

Źródło: Panda Security, opr. TC

TOMASZ CHOJNOWSKI

tomasz.chojnowski.infor.pl