Pár éve lakossági folyószámlanyitás közben a kissé túlbuzgó munkatárs arra figyelmeztetett, hogy a folyószámlához bankkártya, telefonbanking és internetbanking megoldás is párosul, de utóbbit nem ajánlja, „hiszen tudja ,milyen az internet”…

Akkor megdöbbentem, hogy a fiókban dolgozó munkatárs a bank saját szolgáltatását ennyire negatívan tálalja, de utólag, bár főnökei aligha dicsérték volna meg, ha hallották volna a párbeszédet, a bank rendszerének akkori biztonsági szintjét látva, valóban kockázatos lett volna a szolgáltatás.

Egyszintű azonosítás

Az internetbanking előnyei vitathatatlanok, egyszerű, rugalmas, gyors, általában nem is drága. Sajnos mind a mai napig léteznek azonban olyan internetbanking rendszerek, ahol a szolgáltatás kockázatos. Az ilyen rendszer úgy működik, hogy a szolgáltatások igénybevételéhez be kell lépni egy internetes oldalra, ott meg kell adnunk az azonosítónkat és egy statikus jelszót. Ez bizony egyáltalán nem biztonságos.

A kockázatoknak több szintje van, de a káros végeredmény mindig ugyanaz, a számlánkról illetéktelenek pénzt utalhatnak el. Vannak olyan triviális hibák, mint az internetes kávéházban nyitva felejtett oldal, a munkahelyi monitorra kis cetlin felragasztott azonosító és jelszó, ezeket természetesen kerüljük el, de figyelem, ha ennél

óvatosabbak vagyunk, akkor sem vagyunk még biztonságban az ilyen rendszerekben.

Hej halászok, halászok

Az utóbbi években szinte mindennapossá vált, hogy a bűnözők az adathalászat (phishing) módszerével támadják meg az internetbanking rendszereket. A módszer lényege, hogy a bűnöző kéretlen levelet (spam) küld e-mailben. Általában a csalók nem rendelkeznek pontos e-mail cím listával, vagyis nem tudják, hogy kik az adott szolgáltatás ügyfelei, de már arra is volt eset, hogy meglepően koncentrált volt a megcélzott e-mail kör.

Jellemzően ezért csak szétlövik mindenfelé az üzenetet, miszerint adategyeztetés vagy karbantartás miatt kérik az ügyfeleket, hogy adják meg jelszavukat és azonosítójukat egy válaszlevélben. Figyelem, nem kell mérlegelni, soha, semmilyen körülmény közepette nem kell az ilyen levélre válaszolni, az egyetlen, amit tehetünk, hogy a bank vagy illetékes hatóság (rendőrség, felügyelet) felé továbbítjuk (forwardoljuk) a kéretlen levelet. A bankok ugyanis biztosan nem kérnek e-mailben semmilyen személyes adatot, ahogyan telefonon sem fognak jelszót egyeztetni.

Akit jobban is érdekel a phishing módszertana, azért (válaszadás nélkül) kicsit megvizsgálhatja a levelet. Érdekes elemeket fog találni, a módszer szerint egy, a bankéra nagyon hasonló e-mail címről jön, a fejlettebb verziókban a bank logóját, színvilágát is átvevő üzenet. Például gyakran a @xbank.hu e-mail cím helyett a @xbankhu.com címet szerzik meg a csalók. Ne válaszoljunk tehát soha az ilyen levelekre, mert különben a frissen megszerzett azonosítóval és jelszóval teljesen legálisan belép a csaló a rendszerbe, és utal.

A kezdetleges csalási kísérletek során külföldre, például volt orosz tagköztársaságokba utaltak a csalók, de ezzel a módszerrel nem jártak sok sikerrel. Több napig tartott az utalás, addig a bank felfigyelt, leállította a folyamatot. Sokszor már az első megbízás gyanút keltett, és a manuális ellenőrzés során kibukott a csalás. Az újabb módszerek sajnos rámenősebbek. A csalók a támadásra kiszemelt bankban számlát nyitnak, jellemzően nem saját nevükben, hanem vagy hamis igazolvánnyal, vagy pár ezer forintért egy hajléktalant felbérelve. Ha sikerül jelszót és azonosítót szerezniük egy ügyféltől, azonnal utalnak. Bankon belül azután gyorsabban átkerül a pénz a másik számlára, ahonnan gyorsan fel is veszik, olykor továbbutalják az összeget. Bizony még az elmúlt évben is voltak sikeres támadások itthon.