Kradzież danych. Uważaj na to, co robisz w sieci

Cyberataki coraz częściej mają wpływ na nasze codzienne życie. Pomysłowość cyberprzestępców nie zna granic, a to oznacza, że co chwilę czytamy o kolejnych sposobach na wyłudzenie pieniędzy lub ich kradzież. W tym kontekście o bezpieczeństwo w sieci powinien zadbać każdy, kto w internecie jest obecny, działa w nim i na co dzień z niego korzysta.

Rok 2017 to wzrost liczby cyberataków, które swoim zasięgiem objęły praktycznie cały świat. Warto wspomnieć o dwóch największych: WannaCry, który zainfekował 300 tys. komputerów w ok. 150 krajach, a także NotPetya, który - szacuje się - spowodował straty rzędu 300 mln dol.

Uwaga wirus, uwaga okup

Reklama

W oba wspomnianych atakach mieliśmy do czynienia z oprogramowaniem wymuszającym okup (ransomware), które blokuje dostęp do systemu komputerowego, przez co także - do zgromadzonych na nim danych.

Dlatego lepiej zawczasu odpowiednio przygotować się do potencjalnego ataku, tym bardziej, że nie są one najczęściej celowe (wymierzone w danego użytkownika), a zamiast tego - rozprzestrzeniają się po sieci w sposób przypadkowy.

Przed atakami typu ransomware można się do pewnego stopnia zabezpieczyć, a na pewno minimalizować ryzyko.

Pierwszą, podstawową sprawą jest aktualizacja systemu operacyjnego. Dotyczy to nie tylko komputerów stacjonarnych i laptopów, ale również tabletów i telefonów. Aktualizować należy także wszelkie programy, z których korzystamy, jak przeglądarka internetowa czy aplikacje mobilne banków, dzięki którym mamy dostęp do konta za pomocą urządzeń mobilnych. Złodzieje i cyberprzestępcy wykorzystują luki w systemie operacyjnym, by dostać się do systemu. Twórcy oprogramowania starają się je maksymalnie szybko łatać, dlatego regularna aktualizacja jest niezbędna.

Po drugie, program antywirusowy to nie dobra praktyka a konieczność. Zwłaszcza dzisiaj, gdy z internetu korzystamy nie tylko do przeglądania treści, ale również pracy i kontaktu z urzędem czy bankiem.

Po trzecie - zadbajmy o kopie zapasowe, które będziemy przechowywać na wirtualnych serwerach lub na nośniku trwałym. W momencie, gdy padniemy ofiarą ataku nie stracimy wszystkich danych.

E-mail, czyli koń trojański

Jak jednak do ataku w ogóle dochodzi? Często przestępcy korzystają z tzw. phishingu. Polega on na tym, że hakerzy rozsyłają e-maile, które zawierają wirusa. Wystarczy, że otworzymy załącznik, a rozprzestrzeni się on po systemie operacyjnym i zablokuje komputer. Coraz częściej wykorzystują oni także luki w systemie, a wirusa można złapać chociażby wchodząc na niezaufane strony w internecie.

Wykorzystanie pishingu jest jednak znacznie szersze. Rozsyłane e-maile mogą mieć różną formę, często bardzo zbliżoną do instytucji  finansowych, w którym mamy konto. Bywa, że są one na tyle dobrze podrobione, że klikamy w link, który rzekomo ma nas przenieść na stronę instytucji, w której mamy otwarty rachunek. Może to być informacja o nowej ofercie, o problemach z kontem, o przelewie, który oczekuje na akceptację itp.

W momencie, gdy klikamy w link (bardzo zbliżony do adresu strony banku) wydaje nam się, że jesteśmy przenoszeni na stronę instytucji w której mamy konto.

Tak nam się przynajmniej wydaje... Rozkład treści jest identyczny, logo znajduje się we właściwym miejscu, a mało tego przestępcy zatroszczyli się o takie szczegóły jak kłódeczka (symbol, że strona jest zweryfikowana), czy certyfikaty. Wszystko wydaje się takie jak powinno być.

Logujemy się przez daną stronę podając numer identyfikacyjny i hasło. To wystarczy by złodzieje przejęli nasze dane. Nie zauważyliśmy, że strona tak naprawdę nie jest szyfrowana, a zabezpieczenia są jedynie znakiem graficznym zgrabnie umieszczonym w górnym rogu.

Złodziei można spowolnić

Przejęcie danych to jednak za mało, by ukraść pieniądze z konta. Wszystko za sprawą dwustopniowej autoryzacji. Jeszcze nie tak dawno do realizacji przelewu potrzebny był kod ze zdrapki. Dzisiaj - znacznie popularniejsze - są kody SMS wysyłane na zarejestrowany w banku numer telefonu.

Dlatego też, obecne cyberataki wymierzone w klientów bankowości mobilnej polegają na kradzieży nie tylko danych do logowania (login, hasło), ale również kodów autoryzacyjnych do potwierdzenia transakcji. Jak to możliwe?

Wszystko przebiega w kilku krokach. Na początek przestępcy pozyskują dane osobowe, wykorzystując w tym celu phishing (np. e-mail) lub vishing (oszuści, po uzyskaniu numeru telefonu, wysyłają SMS lub dzwonią bezpośrednio do klienta, podszywają się pod pracownika banku, by uzyskać potrzebne informacje jak numer PESEL, numer dowodu, login czy hasło).

Uzyskawszy wymagane dane, w tym także - przykładowo - nazwisko panieńskie matki - kontaktują się w naszym imieniu z operatorem telekomunikacyjnym i włączają przekierowywanie połączeń z naszego numeru telefonu. Teraz wystarczy już tylko sparowanie aplikacji mobilnej z kontem klienta przy wykorzystaniu uzyskanych wcześniej danych (numer telefonu, login, hasło).

Jest to możliwe, gdyż autoryzacja aplikacji mobilnych przebiega w sposób zdalny, przez telefon. Automat przekazuje 4-cyfrowy kod, który musimy wpisać w aplikacji. Przestępcy dzięki przekierowaniu połączeń pozyskują ten kod przez co mają dostęp do pieniędzy przez aplikację mobilną do poziomu ustalonych limitów.

Cały proces odbywa się jednak nie bez udziału klienta, a przestępcy liczą, że nie zauważy on podejrzanych SMS, np. o przekierowaniu połączeń czy połączeniu konta z aplikacją mobilną na innym telefonie.

Ograniczone zaufanie to podstawa

Przed tego typu atakami ponownie można się uchronić. Przede wszystkim nie klikać w nieznane linki i nie otwierać załączników od nadawców, których nie znamy. Adres strony banku najlepiej wpisywać ręcznie, nie przenosić się na nią za pomocą zewnętrznych linków.

Rozsądnie jest nie bagatelizować SMS-ów, które otrzymujemy od operatora lub banku. Mogą mieć one różną treść: o przekierowaniu połączeń, o niezrealizowanej transakcji, itp. Jeśli dostaniemy taki, a nie powinniśmy - od razu poinformujmy operatora i bank. Pamiętaj także, że bank nie prosi nigdy o podanie hasła przez SMS, e-mail czy telefon.

Odmiennym sposobem na wyłudzenie pieniędzy są różnego rodzaju "łańcuszki" w internecie, np. w sieciach społecznościowych, z których korzysta w Polsce miliony ludzi. Złodzieje stosują różne sztuczki, żebyśmy zapisali się na różne - często wysokopłatne - usługi. Może to być SMS aktywujący usługę lokalizacyjną, zapisanie się na serwis informacyjny, czy nawet wsparcie finansowe dla osób potrzebujących pomocy, historie o spadkach, nagrodach, itp. Za każdym razem kończy się to albo zapisaniem na listę płatnych wiadomości (np. 5 zł za każdy wysłany SMS, a może być ich kilka dziennie), albo przelanie pieniędzy złodziejom, a nie faktycznie wskazanym w treści ogłoszenia adresatom. Aby ustrzec się przed tego typu atakami - ponownie - ważne jest zachowanie czujności i rozwagi w sieci. Nie udostępniajmy zatem naszych danych osobowych, numeru telefonu na stronach, które nie są nam znane.

W dzisiejszych czasach, coraz bardziej cyfrowych, musimy zachować szczególną czujność w internecie. Pamiętajmy zatem, żeby nie wysyłać nigdy zdjęć dokumentów, nie publikować ich na portalach społecznościowych, uważać gdzie udostępniamy dane z np. karty kredytowej. Lepiej ostrożnie podchodzić do różnego rodzaju ankiet i formularzy, zwłaszcza jeśli wymagają one od nas podania danych wrażliwych.

Jeśli szukamy pracy, to w CV nie zamieszczajmy żadnych informacji, poza te podstawowe jak imię i nazwisko, numer telefonu i e-mail, nawet jeśli potencjalny pracodawca wymaga dodatkowych, jak numer i seria dowodu czy PESEL.

mk

Reklama

Najlepsze tematy

Partnerzy