Uporabniki sami odpirajo vrata spletnim goljufom

Slovenski nacionalni odzivni center za obravnavo varnostnih incidentov na internetu (SI-CERT) je v okviru vseevropskega meseca kibervarnosti predstavil drugi izobraževalni videoprispevek o spletnih prevarah, ki lahko prinesejo tudi resno finančno škodo. Tokrat videovodič uporabnikom svetuje, kako naj zaščitijo e-bančni račun pred zlorabami.

Kot pojasnjujejo v centru, so pri uporabi elektronskih bančnih poti z vidika varnosti pogosto najšibkejši člen sami uporabniki, ki nevede odprejo vrata zlorabam. To se na primer zgodi pri tako imenovani "phishing" kraji gesel.

Goljuf uporabniku pošlje elektronsko sporočilo, ki je videti kot legitimno sporočilo banke, v katerem uporabnika poziva, da se mora nujno prijaviti v spletno banko. V sporočilu je tudi povezava, ki vodi na lažno stran, ki pa je videti identična spletni strani uporabnikove banke. Če uporabnik vpiše svoje geslo, ga pravzaprav posreduje goljufu.

Lahko pa je uporabnikov računalnik okužen z virusom, ki si zapomni pritiske tipk (t. i. keylogger), nato pa napadalcu pošilja shranjena in prestrežena gesla z računalnika. Virus napadalcu pošlje tudi digitalni certifikat, če je ta shranjen na računalniku.

Protivirusni program je le najmanjša zaščita

V centru SI-CERT zato opozarjajo, naj uporabniki digitalni certifikat vedno hranijo na pametni kartici ali pametnem USB-ključu in nikoli na disku računalnika, če uporabljajo takšno obliko dostopa do spletne banke. Pomembno je tudi redno posodabljanje brskalnika, vseh njegovih vtičnikov in vseh nameščenih programov, protivirusni program je zgolj najmanjša zaščita, ne rešitev vseh težav.

S trojanskim konjem nad računovodje

Marca letos je kriminalistična policija ob sodelovanju SI-CERT in Urada RS za preprečevanja denarja uspešno preiskala vdore v e-bančne račune, iz katerih so kriminalci skupaj prenakazali kar dva milijona evrov.

To jim je uspelo s kombinacijo okužbe s trojanskim konjem in uporabo tehnik socialnega inženiringa. Kriminalci so bili osredotočeni predvsem na računovodske službe majhnih podjetij. Na računovodje so naslovili elektronska sporočila, ki so bila na prvi pogled videti, kot da jih pošilja uradna institucija (banka, Durs ali lizing podjetja).

Vsebina sporočila je bila spisana tako, da je pritegnila pozornost prejemnika (zavrnjen račun, spremenjena davčna zakonodaja itd.), sporočilu pa je bil pripet tudi stisnjen ZIP-arhiv. Ta je vseboval trojanskega konja, ki je po zagonu prestrezal vsa vpisana gesla, napadalcem pa je omogočal tudi popoln dostop do sistema.

Kadar v računovodstvu po uporabi e-bančništva iz čitalca niso odstranili kartice s certifikatom in so računalnik pustili prižgan, so storilci ponoči imeli vse potrebno za dostop do računa podjetja.