Bezpieczeństwo w nowoczesnej bankowości

Polski sektor bankowości szybko się rozwija, a wdrażanie nowoczesnych technologii idzie w parze z dbałością o bezpieczeństwo. Sposoby przechwytywania danych bankowych stają się coraz bardziej profesjonalne, a zatem i metody ochrony muszą być dostosowane do postępu w kradzieży informacji. Owszem, najczęściej atakowani są klienci – bo, głównie z powodu nieświadomości i naiwności, przestępcy stosunkowo łatwo mogą uzyskać nieautoryzowany dostęp do ich kont (np. przy wykorzystaniu złośliwego oprogramowania przesyłanego w specjalnie spreparowanych e-mailach czy stosując celowane ataki socjotechniczne, często połączone z phishingiem). Jednocześnie nasila się jednak inne groźne zjawisko – przestępcy coraz częściej decydują się na bezpośrednie zaatakowanie banku.

Bankowość – szczególnie w naszym kraju – jest w zdecydowanej awangardzie jeśli chodzi o wdrażanie wszelkich nowinek technologicznych do zadań związanych z obsługą klienta. Mogłoby się wydawać, że jeśli na skorzystanie z jakiejś technologii decyduje się instytucja mogąca wydać na zabezpieczenia dziesiątki milionów złotych, to owa technologia powinna być absolutnie odporna na zakusy przestępców. Niestety, praktyka pokazuje, że nowinki techniczne to broń obusieczna i niekiedy z łatwością mogą korzystać z nich zarówno zwykli użytkownicy, jak i przestępcy.

Bankowiec-złodziej

Według statystyk, źródłem aż 70 proc. ataków, których celem jest pozyskanie poufnych informacji, są pracownicy. Jednym ze scenariuszy jest ten, w którym to pracownik banku, skuszony wizją ogromnego zysku, wykrada dane klientów, licząc na dochody z ich sprzedaży. To się zdarza. Pewną trudnością jest jednak znalezienie nabywcy, gdyż wymaga to ujawnienia faktu posiadania takich danych. Bankowiec-złodziej musi być więc bardzo ostrożny, często „wpada” właśnie na początkowym etapie. Częściej jednak bankowcy kradną pieniądze z kont swoich klientów. Najbardziej spektakularnym przykładem bankowej kradzieży ostatnich lat był dyrektor regionalny jednego ze znanych banków w Elblągu. Przez trzy lata okradał konto pewnej klientki – w sumie zniknęło z niego ok. 700 tys. złotych. Takie działania są raczej wyjątkiem, niż regułą – w typowym przypadku okrada się kilka lub kilkanaście kont na stosunkowo niewielkie kwoty, tak, aby jego właściciel nie zauważył niczego podejrzanego. To wymaga jednak cierpliwości i systematyczności, a złodzieje wpadają zazwyczaj poprzez swoją pazerność. Co ciekawe, klientka nie zauważyła, że jej konto zostało znacznie odchudzone.

Koniecznie trzeba więc zadać sobie pytanie: jak bronić się przed takimi kradzieżami? Czy banki same nie tworzą problemu, zatrudniając nieodpowiednich ludzi? Przed kradzieżą ze strony pracownika banku trudno się zabezpieczyć. Jak się jednak okazuje, wewnętrzny system bezpieczeństwa banku ma na to swoje sposoby. Jednym z nich jest monitorowanie infrastruktury sieciowej i wykorzystywanych w standardowym toku operacji urządzeń.

Podsłuchać bank

Od kilku lat rośnie popularność kart płatniczych z chipem NFC. Banki wydające je swoim klientom mają specjalne centra autoryzacji kart. Najważniejszym elementem infrastruktury jest pomieszczenie zawierające programator NFC, który drogą radiową zapisuje dane osobowe klienta na karcie płatniczej. Co ciekawe, istnieje możliwość „podsłuchania” owego urządzenia – możliwe są dwie drogi, przy czym tylko jedna jest prawdopodobna. Pierwsza, to zbliżenie się na odległość kilku, kilkunastu centymetrów do nagrywającego dane programatora i zeskanowanie ich. Jest to jednak właściwie wykluczone ze względu na wyśrubowane procedury bezpieczeństwa (pracownik poddawany jest bardzo szczegółowej weryfikacji). Przechwycenie sygnału jest jednak możliwe również wtedy, kiedy programator NFC jest uszkodzony i wysyła sygnał dalej, niż robi to urządzenie działające poprawnie. Wtedy faktycznie możliwe jest przechwycenie sygnału. Według eksperta Spy Shop, w takim przypadku namierzenie podsłuchującego jest możliwe dzięki profesjonalnym skanerom szerokopasmowym wykrywającym podsłuch radiowy. „Współpracujemy z oddziałami największych polskich banków, które chcą mieć stuprocentową pewność co do bezpieczeństwa danych – zaopatrujemy te banki w skanery, które pozwalają zmierzyć, na jaką odległość wysyłany jest sygnał NFC z czytnika.” – mówi Krzysztof Rydlak, specjalista ds. sprzedaży i produktów w Spy Shop. Wygląda na to, że banki zabezpieczają się i na taką możliwość.

Haker

Atak hakerski to jedno z największych zagrożeń dla banku – aż w 33 proc. przypadków incydenty naruszenia informacji przekładają się na straty finansowe. Przykładowo, rok temu zaatakowany został Getin Noble Bank. Haker wykradł informacje o kilkunastu tysiącach dłużników banku. Władze banku podały, że haker nie dostał się do wnętrza systemu bankowego, lecz złamał zabezpieczenia jednego z pracowników. To wystarczyło. Internetowi przestępcy nie ustają też w próbach atakowania najłatwiejszych celów – nie samych banków, lecz ich klientów. W kwietniu tego roku głośno było o ataku na ponad 200 polskich banków. Podstępem zainstalowane na komputerze, szkodliwe oprogramowanie malware nie dopuszczało klientów do połączenia się z ich stroną bankowości elektronicznej. Przekierowywało ich natomiast na fałszywą (ale do złudzenia przypominającą właściwą) stronę banku, gdzie niczego nieświadomi klienci wpisywali swoje dane logowania tym samym zdradzając je przestępcom. Nie ma na rynku takich zabezpieczeń, z którymi hakerzy nie umieliby sobie poradzić, ale stosując się do podstawowych zasad bezpieczeństwa w sieci (silne hasła, oprogramowanie antywirusowe) zwiększamy szanse, aby ich uniknąć.