Nová éra finančných podvodov: Stratiť mobil je ako stratiť kreditku

I keď v banke majú ľudia citlivejšie dáta a pre potenciálneho útočníka i široké možnosti zneužitia. Keďže slovenské banky ponúkajú pri prihlasovaní do online bankingu dvojfaktorovú autentifikáciu, ktorá okrem hesla obsahuje aj SMS kód či údaje z čítačky, najskôr by nepochodili v podobnom prieskume zle.

Zaujímavejšia situácia by mohla nastať, keby sa výskumníci pustili do sily hesiel v mobilných bankových aplikáciách. Cez ne je overovanie klienta či platby oveľa jednoduchšie i na Slovensku. Spravidla stačí párčíselný kód na všetky operácie, od prihlásenia po realizáciu platby.

Podľa bankárov však napriek rozdielnemu overovaniu klientovej totožnosti cez mobil a počítač netreba mať o bezpečnosť žiadne obavy. Tvrdia, že mobily sú rovnako bezpečné ako internet banking. Avšak za predpokladu, že sa klienti správajú k svojmu mobilu zodpovedne.

„Za 95 percent podvodov je zodpovedný ľudský faktor, nie nekvalitné zabezpečenie,“ hovorí Robert Bohunický, ktorý sa v Polícii SR zaoberá vyšetrovaním finančných prípadov. K bezpečnosti sa vyjadroval v rámci konferencie Združenia pre bankové karty. Napriek názvu toto združenie sleduje aj všetky ostatné druhy podvodov vo finančnom sektore.

Smerovanie bankových služieb do mobilov je trendom po celom svete bez ohľadu na to, akú veľkú úlohu budú mať v budúcnosti v bankovníctve kamenné pobočky,. Najmä mladšia generácia používa pre bankové služby jej mobilné aplikácie a kvalita appky je dôvodom, prečo zostať či meniť bankový dom.

Bankári tento trend sami podporujú, lebo cez mobil vedia byť s klientom v oveľa tesnejšom kontakte. Kým do pobočky ľudia zavítajú jeden, dvakrát za rok, do mobilu sa často pozrú aj 30-krát za mesiac. Nielenže realizujú platby, pocit, že majú svoje financie pod kontrolou, umocňuje už obyčajná zraková kontrola stavov na účte. Bankári tak vedia klienta osloviť s inými produktmi.

Hackeri v mobile

Lenže tak ako je mobilný prístup do banky príležitosťou pre finančné domy, táto digitálna časť bankových služieb je pozvánkou aj pre kyberútočníkov. Ako hovorí Assaf Regev z IBM, až 95 percent finančných aplikácií na systéme Android zažilo v roku 2014 útok hackerov.

Dve tretiny zostali neodhalené. A zvyšnú tretinu odhalili koncoví používatelia – klienti, ktorí si kontrolovali zostatky na účte a zistili nezrovnalosti.

Phishingové útoky si nevyžadujú sofistikovaného páchateľa, len dôverčivé obete

Neznamená to, že by banky nebrali bezpečnosť mobilných aplikácií vážne, práve naopak. Je to pre ne jedna z najväčších úloh, veď riskujú nielen finančné straty, ale i stratu dôvery klientov a pošliapanie značky. Akurát hackeri budú vždy napádať najslabšie ohnivko v bezpečnostnej reťazi, aby ho prelomili – tým je najčastejšie používateľ.

Ten od banky očakáva bezpečnosť, ale zároveň pohodlné a jednoduché ovládanie. Je na banke, aby našla vhodný kompromis.

Falošní priatelia

Práve mobil, internet a jeho možnosti sú bránou k tomu, aby prípadní útočníci získali dôveru klienta. Phishingové útoky, keď e-maily, ktoré sa tvária ako bankové, ťahajú z ľudí prístup k ich účtom, už zažili na Slovensku niekoľko vĺn. Sú obľúbené, pretože „nevyžadujú sofistikovaného páchateľa“, vysvetľuje R. Bohunický.

Nepotrebujú prelamovať heslá a bankové zabezpečenie, klienti ich ochotne poskytnú sami. Popri e-maile, kde sú phishingové útoky čoraz menej účinnejšie, funguje i Facebook ako „brána dôvery“. Útočník sa dostane do okruhu priateľov – napríklad cez hacknutý účet, zistí si o obeti osobné informácie a tie potom využije na získanie prístupu na internet banking. „Útočníci si proste nájdu slabých jedincov a uhryzú ich,“ zhŕňa R. Bohunický.

Banky sa snažia zamedziť stratám pre klientov tým, že požadujú osobitné potvrdzovanie každej transakcie špeciálnym kódom, tak to aspoň nastavila po vlne phishingu vlani Tatra banka. Na každom kroku stránka klienta upozorňuje, že ak otvoril podozrivý e-mail a ozvali sa mu akoby z call centra, aby to ihneď nahlásil.

Množstvo bezpečnostných krokov má zaistiť, aby si obeť uvedomila, že pomáha podvodníkovi. Zodpovednosť za prípadné straty v takomto prípade nesie klient – v zmluve podpisuje, že si identifikačné údaje a nástroje nechá len pre seba.

Otázkou je, ako by prípadný súdny spor klienta s bankou v takomto prípade dopadol – súdy rady podporia drobných klientov proti bankám. Čo banky, naopak, odporúčajú, je podať trestné oznámenie, aby sa polícia musela phishingom zaoberať.

Z bankomatov do onlinu

Tým, že je phishing – a ostatné druhy útokov na elektronické bankovníctvo – relatívne jednoduchý a ťažko dosledovateľný, stáva sa čoraz populárnejším spôsobom podvodu. „Počet útokov na bankomaty dlhodobo klesá,“ hovorí Tomáš Kmiť z VÚB. Naopak, stúpa takzvaný podvod „card not present“ – ide napríklad o nákupy prostredníctvom ukradnutých údajov o kreditných kartách.

Tu odborníci odporúčajú využívať nové technológie v prospech klienta: možná je napríklad geoblokácia karty či prevodov v elektronickom bankovníctve. Znamená to, že