Има трикове срещу скрап
Функционалността на тази онлайн услуга е много примамлива за клиентите на финансовите институции, но също така крие редица опасности, свързани предимно с уязвимостта на каналите за отдалечено обслужване, с други думи, рисковете от използването на Интернет.
В момента има няколко вида атаки към системите „Клиент-Банка”. Струва си да се обърне внимание на най-често срещаните от тях.
Жаргонната дума „фишинг“ се отнася до получаването от нападателите на информация, която клиентът предоставя доброволно за себе си (например номер на кредитна карта, парола и др.). По правило до клиента на банката се изпраща внимателно изготвено писмо, привидно от името на службата за техническа поддръжка, съдържащо искане за поверителни данни. Често такива заявки се обясняват с техническата работа на сървъра.
Вирусните атаки са един от най-старите и най-често срещаните начини за атака на чужд компютър. За да открадне пари от банкова сметка, вирусна програма е в състояние да открадне поверителна информация на потребителя (включително пароли за интернет банкиране), да шпионира клиент, да натрупва и предава важни данни на нападателите. Освен това вирусната програма е в състояние да пренасочи потребителя към фалшиви сайтове, специално създадени от измамници. Най-често срещаният тип вируси, разработени и използвани за тези цели, са различни модификации на троянски коне.
Един от най-трудните нелегални методи за достъп до системата "Клиент-Банка" се осъществява чрез фалшив DNS сървър (Dummy DNS Server). Това става възможно, когато мрежовите настройки се извършват в автоматичен режим. В този случай компютърът, свързан към мрежата, прави заявка, като изпраща пакет за излъчване, опитвайки се да разбере кой ще действа като негов DNS сървър. Последносе търси, за да може компютърът да изпраща DNS заявки към него.
Заявките за излъчване могат да бъдат прихванати от нападатели, които имат физически достъп до мрежата. В този случай кракерът имитира компютъра си като DNS сървър и по този начин получава възможност да насочи нищо неподозиращия потребител по необходимия маршрут.
Ръководител на ИТ отдел, Бюро за кредитни решения, Let's Go! Максим Бабенко казва: „Нашата банка използва различни специализирани системи за откриване и предотвратяване на шпионски атаки, които са доказали своята висока ефективност. Но освен технически средства за защита в "Да вървим!" голямо значение се отдава на архитектурата на всички производствени системи и работни потоци, тъй като тяхното въздействие върху намаляването на риска от неоторизиран достъп до акаунти на клиенти е изключително високо.“
Юрий Миронов, вицепрезидент на Уралската банка за реконструкция и развитие, предупреждава: „Не трябва да забравяме, че в 99% от случаите атаките се правят не върху софтуера за интернет банкиране, а върху работните станции на потребителите, тоест върху техните персонални компютри. Банката непрекъснато се грижи за своите клиенти в тази област и през 2014 г., продължавайки тази работа, UBRD ще започне да предоставя ново софтуерно решение, което ви позволява да работите безопасно в интернет банката. В края на краищата ние вземаме предвид, че работните места на потребителите могат да бъдат уязвими и помагаме на клиентите да ги направят безопасни.“
Когато избирате антивирусен софтуер, трябва да обърнете внимание не само на добре познати продукти като Eset NOD32, Kaspersky antivirus, Dr.Web. Според експерти използването на разработки, които могат да проверяват регистъра, е много ефективно. Говорим за такива антивируси като Spybot, Ad-Aware, XSpy.
Използване на системата„Клиент-Банка” понякога предполага, че клиентът разполага с цифров криптографски ключ за генериране на цифров подпис, който често се поставя на външен носител. По правило банките предлагат устройства eToken, Rutoken или Touch Memory. Необходимо е да ги оставите в компютъра само докато се извършва банковата операция. В противен случай може да възникне т. нар. компрометиране на ключа (достъп до него се получава от трето недобросъвестно лице).
Към днешна дата най-прогресивният метод за борба с хакването на системата "Клиент-Банка" е генерирането на еднократни пароли. Всяка сесия на влизане и работа е придружена от изпращане на съобщение с нова комбинация от знаци.
Експертите на HCF Bank също предпочитат динамично генерирани пароли: „За осигуряване на подходящо ниво на сигурност се използват виртуална клавиатура и специални знаци за проверка (CAPTCHA). За извършване на транзакции в Интернет банката се използват няколко нива на идентификация, като всяка транзакция се извършва с отделен SMS код. Клиентите могат да задават собствено ниво на сигурност. Те имат възможност да установят достъп до интернет банката с еднократна парола, предотвратявайки възможността за получаване на информация за техните сметки от трети лица.
В наши дни се използват и устройства, предназначени за генериране на пароли за влизане в системата Клиент-Банка. Те обикновено са малки по размер и лесни за използване. Еднократната парола се генерира чрез натискане на специален клавиш. Паролата е активна за не повече от една минута, създаването й не зависи от интернет, а самото устройство е тясно свързано със собственика си, така че вероятността от атака от нападател е сведена до минимум.
Банковите експерти признават:В момента няма идеален начин за защита от атаки на нарушители на средствата на банкови клиенти. До голяма степен служителите на отделите за сигурност на финансови и кредитни организации се подпомагат от комбинация от различни съвременни методи.
Експертно мнение
Сергей КОТОВ, експерт по информационна сигурност в Aladdin R.D.
Съвременните атаки срещу системи като "Банка-клиент" стават все по-усъвършенствани. Нападателят бързо се адаптира към съвременните инструменти за сигурност и банките трябва да бъдат в крак с най-новите разработки в областта на сигурността. Сега става актуална заплахата от подмяна на подписани документи (платежни нареждания) в системи като "Банка-клиент".
Аладин Р.Д. представи на пазара ново решение за сигурност за работа в системата Банка-Клиент в ненадеждна среда (на всеки компютър).
"Анти-фрауд терминал" е предназначен за защита срещу повечето известни атаки в системи тип "Банка-клиент", като дистанционно управление на компютър и атаки с подмяна на подписани документи. „Терминалът против измами“ може да подписва както единични, така и групови документи (платежни нареждания, работа с бели списъци) в безопасна среда, като показва подписаните данни на своя монитор.
Характеристика на Anti-Fraud Terminal е поддържането на дневник на транзакциите, в който се записват всички действия на клиента и който може да служи като доказателствена база при разследване на инциденти (чл. 9 от Закона за Народното събрание).