Polskie Radio

KNF ostrzega: konta bankowe użytkowników smartfonów są najbardziej narażone na cyberataki

Ostatnia aktualizacja: 12.11.2015 07:37
Konta bankowe posiadaczy smartfonów, korzystających z bankowości mobilnej, są bardziej narażone na ataki cyberprzestępców, niż konta osób, które korzystają z tradycyjnych komputerów stacjonarnych - mówi dyrektor w Urzędzie Komisji Nadzoru Finansowego Tomasz Piwowarski.
Smartfon, internet mobilny
Smartfon, internet mobilnyFoto: pixabay.com

Komisja Nadzoru Finansowego ostatnio przeprowadziła wśród banków ankiety na temat incydentów bezpieczeństwa IT oraz mechanizmów bezpieczeństwa usług IT. Doszło też do spotkania kierownictwa Urzędu Komisji z prezesami oraz członkami zarządów banków odpowiedzialnymi za IT w tej sprawie.

Tomasz Piwowarski, dyrektor Departamentu Inspekcji Bankowych, Instytucji Płatniczych i SKOK Urzędu Komisji Nadzoru Finansowego zwraca uwagę, że poziom wykorzystania technologii informatycznych w bankach wzrasta, tak jak w każdej dziedzinie życia. Ważne więc, zaznacza, by w miarę rozwoju technologii, nie zapominać o standardach bezpieczeństwa. - Rolą nadzoru jest, aby kontrolować czy wraz z nowinkami technicznymi banki dostosowują standardy w zakresie bezpieczeństwa ich funkcjonowania - podkreśla.

Ogromny rozwój technologii, ale i więcej zagrożeń

Zwraca uwagę, że na przestrzeni ostatnich 3,5 roku liczba użytkowników bankowości mobilnej wzrosła o ok. 250 proc. do ok. 4 mln 300 tys. Z kolei udział procentowy właścicieli smartfonów, korzystających z bankowości mobilnej w 2013 wynosił 12 proc., a 2015 już 43 proc.

- Te przyrosty są gigantyczne - zaznacza Piwowarski. - Wraz ze skalą wykorzystywania nowoczesnych technologii rośnie też niestety skala i złożoność zagrożeń związanych z ich wykorzystywaniem. W konsekwencji ryzyko związane z obszarem IT nabiera coraz istotniejszego znaczenia i za chwilę może się okazać, że to jest podstawowe ryzyko w działalności banków, obok ryzyka kredytowego - mówi.

Według Piwowarskiego, w odniesieniu do bankowości internetowej i mobilnej występują przypadki, w których systemy operacyjne wykorzystywane przez urządzenia mobilne mają poważne luki w zakresie bezpieczeństwa. Dlatego wykorzystywanie skutecznych systemów zabezpieczeń (w tym dokonywanie ich aktualizacji, stosowanie programów antywirusowych, etc.) ma krytyczne znaczenie - przekonuje.

Autoryzacja dostępu i inicjacja transakcji w jednym urządzeniu

Ponadto, według przedstawiciela KNF, "autoryzacja dostępu i inicjacja transakcji w jednym urządzeniu to dodatkowy czynnik ryzyka", z którym mamy do czynienia w przypadku bankowości mobilnej.

- Przy korzystaniu z bankowości internetowej za pomocą tradycyjnych komputerów autoryzacja transakcji w większości przypadków jest dokonywana za pomocą telefonu, a w przypadku urządzeń mobilnych (smartfonów) mamy wszystko w jednym miejscu. Dlatego jeżeli ktoś nie zadba o bezpieczeństwo telefonu wykorzystywanego do transakcji bankowych, jest narażony na istotne ryzyko - podkreśla Piwowarski.

Uwaga na phishing

Popularną metodą cyberprzestępczości jest na przykład tzw. phishing, w ramach którego cyberprzestępcy wyłudzają poufne dane do logowania i autoryzacji przelewów. W przypadku gdy już zdobędą dane niezbędne do zalogowania w systemie i realizowania transakcji, w celu wyprowadzenia środków z banku często wykorzystują konta otwierane na tzw. "słupa", które powstają w ramach oferowanej przez banki możliwości zdalnego otwierania rachunku w innym banku za pomocą przelewu z banku w którym mają już rachunek.

Jak opisuje przedstawiciel UKNF, w ramach tej procedury przestępcy często otwierają konto, na które są przelewane pieniądze skradzione klientom przy wykorzystaniu phishingu. Często mechanizm otwierania kont na tzw. "słupa" polega na tym, że przestępca ogłasza fikcyjną rekrutację do pracy i wskazuje, że w związku z rekrutacją potrzebuje danych osobowych zainteresowanych ofertą pracy. Zainteresowane pracą osoby przesyłają swoje dane, które są wystarczające do zdalnego założenia konta w banku.

Złodziej ma więc dane niezbędne do założenia konta, ale by je aktywować, niezbędne jest dokonanie przelewu autoryzacyjnego z konta w innym banku osoby na podstawie których otwierane jest konto na tzw. "słupa".

Ale i tę przeszkodę złodzieje obchodzą – ponieważ proszą, by zainteresowany rekrutacją przelał na nowo otwarte, na podstawie ich danych osobowych, konto niewielką kwotę środków na potrzeby rzekomej rekrutacji. - Nieświadome osoby w ten sposób autoryzują otwarcie konta na podstawie swoich danych osobowych, przy czym pełna kontrola konta jest po stronie przestępcy. Przestępcy mogą za pomocą kont otworzonych na tzw. słupa otwierać kolejne rachunki i przelewać na nie pieniądze. A potem wypłacać pieniądze skradzione za pomocą phishingu - mówi Piwowarski.

Zresztą właśnie "infrastruktura klienta" (komputery, urządzenia mobilne) to sfera, na którą jest najwięcej ataków cyberprzestępców. - Z ankiet wynika, że łącznie około 40 procent incydentów to incydenty związane z infrastrukturą klienta - mówi przedstawiciel UKNF. - Obecnie infrastruktura klienta jest najsłabszym ogniwem w zakresie usług bankowości internetowej i mobilnej - dodaje.

W niektórych bankach bezpieczniej, w innych mniej

Z ankiet komisji wynika też, że niektóre banki są bardziej zaawansowane, jeżeli chodzi o standardy bezpieczeństwa, a niektóre mniej. Także wśród banków "istotnych systemowo" są takie, w których standardy bezpieczeństwa IT powinny ulec wzmocnieniu i być dostosowane do wzrastającej skali i złożoności oferowanych klientom rozwiązań opartych na nowoczesnych technologiach - zaznacza dyr. Piwowarski. - To na pewno będzie podlegać ocenie nadzorczej - zapowiada.

Przyznaje, że banki wprowadzają dziś bardzo szybko rozwiązania oparte o nowoczesne technologie i w niektórych przypadkach jest to robione "na skróty" - kosztem bezpieczeństwa. - Biorąc pod uwagę statystyki prezentowane przez podmioty specjalizujące się w zakresie zagadnień związanych z bezpieczeństwem IT liczba ataków cyberprzestępców będzie rosła, więc ważne, żeby banki w sposób ostrożny oferowały dostęp do kanałów bankowości elektronicznej - mówi dyr. Piwowarski.

- Oferując dostęp do elektronicznych kanałów dostępu banki powinny w sposób jasny przedstawiać klientom wymagania związane z bezpieczeństwem ich używania oraz zagrożenia wynikające z ich nieprzestrzegania - podkreśla przedstawiciel UKNF. - Trudno zaakceptować sytuację w której banki oferują klientom najnowsze nowinki technologiczne, ale nie uświadamiają ich, że muszą mieć oryginalne oprogramowanie, aktualne i skuteczne systemy antywirusowe oraz że jeśli nie będą spełniali określonych warunków, będą narażeni na utratę środków - mówi.

Bo, jak dodaje, "w przypadku gdy takie ataki są skuteczne, to klienci nie tracą 300 czy 500 zł, tylko często kilkadziesiąt albo kilkaset tysięcy". - Dlatego w sytuacjach, gdy klienci nie spełniają na wejściu określonych wymogów, banki nie powinny im oferować tego kanału - uważa Piwowarski.

KNF wyda nową Rekomendację

Przedstawiciel UKNF zapowiada, że jeszcze w tym roku planowane jest wydanie przez KNF Rekomendacji w sprawie bezpieczeństwa płatności internetowych, która adresuje m.in kwestię zdalnego otwierania kont. Obejmować ona będzie nie tylko banki, ale również instytucje płatnicze i SKOK-i. Wprowadzony Rekomendacją standard, w naszej ocenie będzie wzmacniać bezpieczeństwo w zakresie zdalnego otwierania rachunków - mówi.

W ocenie dyrektora banki powinny np. wzmocnić bezpieczeństwo zdalnego otwierania rachunków, by zminimalizować możliwość otwierania kont na "słupy", według wyżej opisanego mechanizmu.

PAP, awi

Czytaj także

Cyberataki coraz groźniejsze. "Użytkownicy przekładają filmiki z tańczącymi świnkami nad bezpieczeństwo"

Ostatnia aktualizacja: 23.10.2015 14:09
W tym miesiącu wpadł polski haker numer jeden. Usłyszał 17 zarzutów. To on złamał system informatyczny Plus Banku i ujawnił w sieci najbardziej poufne dane kilkuset jego klientów.
rozwiń zwiń
Czytaj także

Haker najbardziej lubi komputer prezesa i zero-day exploit

Ostatnia aktualizacja: 29.10.2015 22:46
W Polsce w ciągu każdych 24 godzin aż 280 tysięcy komputerów „nabywa” aktywne złośliwe oprogramowanie”. Najpopularniejszą metodą infekowania komputerów osobistych są zainfekowane załączniki” - wynika z raportu CERT.PL.
rozwiń zwiń
Czytaj także

Ataki hakerów na firmę. Zobacz największe cyberzagrożenia

Ostatnia aktualizacja: 11.11.2015 08:21
Mimo, że ataków hakerskich obawia się aż 59 proc. reprezentantów firm z całego świata, to aż 54 proc. ankietowanych nie ma w swoich strukturach komórek, które mogły by je uchronić przed zagrożeniem.
rozwiń zwiń