С развитием инновационных технологий возможности всемирной сети становятся шире и сегодня затрагивают практически все сферы жизни человека. Так, в последнее время довольно активно многими используется интернет-банкинг, представляющий собой программу определенного банка, посредством которой пользователь может осуществлять финансовые операции с любого компьютера, подключенного к интернету. Однако такие услуги доступны только клиентам банков. Пользуясь подобными программами, многие обеспокоены , ведь встречаются ситуации, когда деньги пропадают с карты либо не поступают на нужный счет. Чтобы избежать действий мошенников и не бояться несанкционированного доступа к своим счетам, необходимо ознакомиться с основными правилами пользования интернет-банкингом.
Какие существуют средства защиты счетов от мошенников?
Главное правило безопасности интернет-банкинга предусматривает использование программ только известных и проверенных банков, которые постоянно совершенствуют средства защиты счетов своих клиентов. Сегодня практически каждый банк применяет SSL-шифрование информации, которой обменивается компьютер пользователя и банковская система. Этот современный метод позволяет избежать перехвата и изменения данных на пути от ПК клиента к банку. Однако следует помнить, что при совершении финансовых операций в онлайн-системе ни в коем случае нельзя реагировать на подозрительные сообщения, якобы пришедшие из банка, и переходить по незнакомым ссылкам на другие страницы.
С целью повышения уровня безопасности, клиентам предлагается получить одноразовые пароли, выдаваемые банкоматом.
В таком случае при входе в систему интернет-банкинга, помимо постоянных логина и пароля, понадобится ввести еще и одноразовый шифр, который подобрать злоумышленникам практически невозможно. Преимуществом такого варианта защиты является то, что получить чек с одноразовыми паролями может только человек, имеющий платежную карту и знающий пин-код. Пользуясь паролями чека для входа в систему, рекомендуется придерживаться следующих простых правил:
- Не выбрасывать список шифров и стараться не терять его;
- Не хранить чек вместе паролем и логином от учетной записи.
Еще одним распространенным методом для подтверждения личности при входе в онлайн-банк считается запрос одноразовых СМС-паролей. То есть при каждой операции, выполняемой пользователем, на его телефон приходит СМС-сообщение с кодом, который необходимо ввести. Известно, что обязательным условием подобных операций является привязка определенного номера телефона к банковскому счету. Среди достоинств такой системы безопасности можно выделить простоту процедуры и минимальное количество времени на осуществление операции. К тому же, даже если злоумышленник знает логин и пароль учетной записи, выяснить код ему не представляется возможным. Применяя одноразовые СМС-пароли, следует учитывать такие нюансы:
- Нельзя пользоваться интернет-банкингом с мобильных устройств;
- Не нужно сохранять пароль в браузере;
- При потере телефона следует незамедлительно обратиться в банк для блокировки учетной записи, чтобы ею никто не мог воспользоваться.
Что представляет собой электронная цифровая подпись?
Вышеперечисленные способы обеспечения защиты счетов пользователей являются самыми распространенными, однако существуют и другие методы идентификации клиентов. Особое внимание стоит обратить на электронную цифровую подпись, которая применяется чаще всего для компаний, но иногда предлагается и индивидуальным пользователям. ЭЦП предоставляет возможность однозначно идентифицировать личность, но не стоит исключать опасности завладения ключом от цифровой подписи мошенниками, которые могут заразить ПК вирусными файлами специального предназначения.
На видео – о безопасных платежах в интернете:
Известно, что существует целый ряд троянских программ, направленных на обнаружение индивидуальных паролей, ключей ЭЦП и других аутентификационных данных. Поэтому необходимо устанавливать антивирусные программы и регулярно проверять ПК на наличие вирусов. Также стоит выключать программу ЭЦП, если она не используется.
Дополнительные способы обеспечения безопасности пользования интернет-банкингом
Клиентам банка предлагается приобрести (купить или взять в аренду) генератор паролей для одноразового пользования. Прибор подсоединяется посредством USB-порта к компьютеру, и для него не нужно устанавливать специальное ПО. Также возможна вероятность использования электронного ключа, генерирующегося при первом подключении механизма. Среди дополнительных способов защиты электронных счетов следует выделить:
- Ограничение применения индивидуального сертификата, то есть воспользоваться электронным ключом для входа в учетную запись можно только с одного компьютера;
- Виртуальную клавиатуру. Она предназначена для защиты от вирусов, которые могут считывать информацию при наборе данных на обычной клавиатуре;
- Ограничение продолжительности сессии. Если пользователь в течение 10 – 15 минут не производит никаких операций, то система автоматически блокируется, и для входа в нее нужно заново ввести данные;
- Историю защиты. С помощью данной функции пользователь может проверить, подключался ли кто-нибудь к его учетной записи, а также проведение несанкционированных операций.
На видео – об электронных деньгах:
Что делать в случае взлома учетной записи интернет-банкинга?
Если все-таки мошенники смогли добраться до учетной записи онлайн-банкинга, то рекомендуется предпринять следующие меры:
- В первую очередь следует отключить ПК от интернета;
- Заблокировать личную учетную запись, обратившись в банк либо контактный центр;
- Сменить пароль и логин для входа в интернет-банкинг;
- Работу возобновлять следует, убедившись, что угроза устранена.
По мнению экспертов, жертвой мошенников становятся клиенты, не соблюдающие осторожность при пользовании интернет-банкингом. Клиентам банка рекомендуется с периодичностью раз в месяц менять постоянный пароль доступа в систему, а также не входить в онлайн-банкинг с чужих компьютеров, особенно из интернет-кафе. Известно, что мошенники могут воспользоваться доверчивостью пользователей и заразить вирусами компьютер посредством электронной почты и через различные социальные сети. В случае кражи денег со счета, нужно отправить заявку в банк и правоохранительные органы для разбирательства.
Основные угрозы для онлайн-операций
Несмотря на защищенность систем интернет-банкингов и онлайн-магазинов - используются такие методы защиты, как двойная аутентификация, системы одноразовых динамических SMS-паролей, дополнительные список одноразовых паролей или аппаратные ключи, защищенное протоколом SSL-соединение и так далее - современные методы атак позволяют обходить даже самые надежные защитные механизмы.
На сегодня у злоумышленников можно выделить три наиболее распространенных подхода для атаки на финансовые данные интернет-пользователей:
Заражение компьютера жертвы троянским программами (кейлоггеры, скринлоггеры и т.д.), использующими для перехвата вводимых данных;
- использование методов социальной инженерии - фишинговые атаки через электронную почту, веб-сайты, социальные сети и т.д;
- технологические атаки (сниффинг, подмена DNS/Proxy-серверов, подмена сертификатов и т.д.).
Как защитить интернет-банкинг?
Пользователь не должен надеяться только на банк, а использовать защитные программы для усиления безопасности электронных платежей в Интернете.
Современные решения Internet Security помимо функций антивируса предлагают инструменты безопасных платежей (изолированные виртуальные среды для онлайн-операций), а также сканер уязвимостей, веб-защиту с проверкой ссылок, блокировку вредоносных скриптов и всплывающих окон, защиту данных от перехвата (антикейлоггеры), виртуальную клавиатуру.
Среди комплексных решений с отдельной функцией защиты онлайн-платежей можно выделить Kaspersky Internet Security и компонент "Безопасные платежи", avast! Internet Security с avast! SafeZone и Bitdefender Internet Security с Bitdefender Safepay. Данные продукты позволяют не беспокоиться о дополнительной защите.
Если у вас другой антивирус, можно присмотреться к средствам дополнительной защиты. Среди них: Bitdefender Safepay (изолированный веб-браузер), Trusteer Rapport и HitmanPro.Alert для защиты браузера от атак, плагины и приложения Netcraft Extension , McAfee SiteAdvisor , Adguard для защиты от фишинга.
Не стоит забывать о фаерволе и VPN-клиенте, если приходится выполнять финансовые операции при подключении к открытым беспроводным Wi-Fi сетям в общественных местах. Например, CyberGhost VPN использует шифрование трафика AES 256-bit, что исключает использование данных злоумышленником, даже в случае перехвата.
А какие методы защиты онлайн-платежей используете вы? Поделитесь своим опытом в комментариях.
Нашли опечатку? Выделите и нажмите Ctrl + Enter
/ Безопасность интернет-банкинга
Одноклассники
Андрей Бирюков , специалист по информационной безопасности
Безопасность интернет-банкинга
С 1 января 2013 года вступают в силу требования Федерального закона №161 «О национальной платежной системе». Как это повлияет на услуги интернет-банкинга?
Сегодня никого уже не удивишь возможностью мгновенного выполнения банковских операций удаленно. Оплата счетов, денежные переводы – все это можно сделать сидя за компьютером благодаря системам интернет-банкинга. Но вместе с удобством пришли и проблемы. Прежде всего они касаются безопасности платежных операций.
Удаленные платежи
Интернет-банкинг для организаций – это услуги по управлению их счетами через глобальную сеть Интернет и веб-браузер. Типовые решения позволяют корпоративным клиентам отправлять в банк различные финансовые документы, такие как аккредитивы, платежные поручения, заявления и требования. При этом в интернет-банкинге предусмотрена возможность обмена между клиентами и банком информационными сообщениями с прикрепленными файлами.
Во многих современных решениях также предусмотрены функции обмена документами с бухгалтерскими программами клиентов, поддерживаются импорт и экспорт всех типов документов и отчетов через обмен файлами в текстовом и XML-формате, встроена поддержка «1С:Бухгалтерии».
Удобный банкинг
Стоит отметить, что интернет-банкинг – это не новая услуга, оказываемая банком, а лишь изменение формы обслуживания клиентуры.
Здесь можно провести аналогию с обслуживанием по телефону или пейджеру. Операции, осуществляемые банком в сети, те же самые, которые он оказывает в своих стандартных отделениях.
Вот основные преимущества интернет-банкинга:
- Интернет – наиболее конкурентная среда, поскольку позволяет совершать операции в режиме реального времени (мощные поисковые системы помогают клиенту анализировать условия услуг, предоставляемые различными банками, и выбирать наиболее оптимальное предложение);
- работает интерактивная среда, т.е. банк-робот, функционирующий без участия человека либо с минимальным участием;
- банк имеет возможность снижать издержки на содержание стандартных отделений и максимально оптимизировать стандартные банковские операции.
Системы интернет-банкинга позволяют не только автоматизировать прохождение платежей в режиме реального времени, но и повысить долю безналичных расчетов в денежном обороте, таким образом, уменьшить долю наличных платежей и всевозможных денежных суррогатов (бартер, взаимозачеты, налоговые освобождения).
А это в свою очередь будет способствовать увеличению налогооблагаемой базы.
Однако в отличие от живого общения здесь возникает целый ряд вопросов, связанных с обеспечением информационной безопасности.
Давайте узнаем, какова же типовая защита услуги интернет-банкинга?
Защищенный банк
Обычно банк обеспечивает гарантированный уровень безопасности, который содержит механизм ЭЦП (электронная цифровая подпись) под финансовыми документами.
Все данные шифруются с использованием национальных криптографических алгоритмов, осуществляется контроль целостности передаваемых данных.
В решении используется сертифицированная ФСБ криптобиблиотека, обеспечивается юридическая значимость электронного документооборота.
Предусмотрено гибкое управление правами организаций и их сотрудников. Для каждого корпоративного клиента по каждому типу документа настраивается необходимое количество ЭЦП.
Для проверки компьютеров, которые работают с интернет-банкингом, на наличие вирусного ПО предлагается использовать антивирусное программное обеспечение.
Для работы с интернет-банкингом необходимо иметь веб-браузер с установленной виртуальной машиной Java.
В общем, набор средств защиты типовой: электронная подпись, шифрование, целостность, рекомендации по использованию антивирусов.
Однако даже самые надежные средства защиты могут оказаться бессильными, если пользователи не выполняют требования по обеспечению информационной безопасности.
Поэтому, помимо чисто технических средств защиты, должны использоваться также и организационно-юридические средства, о которых и поговорим.
Закон есть закон
Федеральный закон №161 «О национальной платежной системе» определяет порядок деятельности «национальной платежной системы». В частности, определяются права и обязанности сторон, участвующих в деятельности системы.
Согласно этому Федеральному закону, субъектами национальной платежной системы являются банки, кредитные организации, выполняющие роль операторов при организации перевода денежных средств, а также юридические и иные лица, привлекаемые банками и кредитными организациями.
Кроме того, к субъектам относятся платежные агенты, которые имеют право принимать платежи от физических лиц, операционные организации и почтовые организации.
Закон определяет требования к этим субъектам, а также устанавливает регламентацию осуществления процедуры денежного перевода.
Законом устанавливаются и определенные ограничения, к примеру, ограничение на суммы, которые могут быть переведены с использованием электронных платежных систем.
Наибольший интерес сейчас вызывает статья №9, ее подпункты 11-16, которые вступают в силу с 1 января 2013 года. Кратко суть их сводится к тому, что в случае хищения денежных средств со счета клиента банк обязан возместить полную сумму похищенных средств. Поэтому банк заинтересован в успешном обнаружении мошенников и возмещении понесенных убытков.
Юридические тонкости
При этом не учтен ряд юридических моментов. Например, на законодательном уровне не определено место совершения преступлений с использованием ДБО.
Учитывая правоприменительную практику, местом совершения преступления часто считается место физического получения мошенником денежных средств (например, банкомат, находящийся в другой стране). При этом дело расследуется местными правоохранительными органами.
Если похищенные деньги выводят в нескольких регионах или даже государствах, то эффективно расследовать данное преступление практически невозможно.
В качестве решения эксперты предлагают законодательно закрепить, что местом совершения преступления должен быть определен оператор по переводу денежных средств или счет клиента, с которого деньги были похищены.
Другая проблема в том, что не существует принятого всеми порядка действий в случае выявления хищений денежных средств в системах ДБО.
В них расписан порядок для каждого субъекта, однако в существующей нормативной базе рекомендации малоприменимы, в частности, нет оснований требовать от клиента выполнения указанного порядка действий.
Необходимо доработать данные документы, приблизив их к реальности и снабдив юридическими инструментами влияния на клиентов.
Наконец, законодательством не определены основания для приостановления потенциально мошеннических платежей. Прежде всего для корпоративного сектора это может означать следующее: при осуществлении крупной сделки была произведена попытка оплаты, однако платеж был приостановлен по подозрению в мошенничестве. Сделка сорвалась. Клиент в судебном порядке потребовал от банка возместить убытки. Сейчас банк может сослаться только на ФЗ № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма». Но других оснований для приостановления платежа нет.
Если не будет поправок
Если до конца 2012 года не выйдет новых поправок к закону, то банки должны быть готовы к следующему.
Если банк не отправляет уведомления о платежах (например, через sms), то он будет обязан возместить мошеннический платеж в любом случае.
Если банк отправляет уведомление, то есть всего два основания для отказа.
- Первое основание – если банк докажет, что клиент нарушил порядок использования электронного средства платежа, что повлекло совершение операции без согласия клиента.
- Второе основание – если клиент не направил в банк уведомление о несанкционированном платеже или отправил его позднее дня, следующего за днем получения от оператора по переводу денежных средств уведомления о совершенной операции.
Как видно, с юридической стороны вопросами в обеспечении безопасности интернет-банкинга дела обстоят не так хорошо, как хотелось бы.
Таким образом, по крайней мере в ближайший год-полтора, пока не будет внесена ясность в закон, финансовым организациям придется рассчитывать прежде всего на технические и организационные меры по обеспечению безопасности интернет-банкинга.
Как происходит хищение
Основной задачей мошенников в банковской сфере является хищение и вывод средств. Для осуществления этого используют различные мошеннические схемы.
Для проведения нелегитимной транзакции обычно используют цепочку банков, расположенных в различных регионах. Операционист в банке может отслеживать счета, на которых имеются значительные средства, но по которым давно не было операций, и переводит, как правило, небольшие суммы в другие банки.
Применительно к интернет-банкингу такая схема, казалось бы, мало пригодна, ведь такой платеж осуществляется автоматически, без участия человека. Случаи с переводами значительных сумм, требующих дополнительных подтверждений со стороны плательщика, мы пока не будем рассматривать.
В крупных компаниях с интернет-банкингом работают сотрудники бухгалтерии. Как уже упоминалось, программное обеспечение, используемое для осуществления транзакций, хорошо защищено в соответствии с требованиями регуляторов, в отличие от компьютера бухгалтера. Очень часто это ноутбук, который сотрудник забирает домой, например, чтобы работать в выходные.
Как правило, у пользователя на домашнем компьютере есть административные права. Кроме того, немаловажным моментом является и тот факт, что клиентское рабочее место и программное обеспечение не подконтрольны банку, они находятся на территории клиента, физическая безопасность, техническое обслуживание и контроль также осуществляются у клиента. Банк может лишь давать рекомендации и предоставлять преднастроенное программное обеспечение.
В таких условиях вероятность заражения вредоносным кодом значительно возрастает. Если злоумышленники намерены осуществить адресную атаку, то есть похитить деньги со счетов данной компании, то они могут заранее выяснить, какое антивирусное программное обеспечение, персональный межсетевой экран и другие средства защиты используются на машинах сотрудников, и доработать свой вирус так, чтобы для этих приложений он был незаметен.
В результате троян спокойно живет на компьютере бухгалтера, злоумышленники беспрепятственно просматривают информацию о транзакциях, изучают, когда, какие суммы, в какие регионы проводятся платежи, и в определенный момент осуществляют несанкционированный перевод на нужный счет.
Затем украденные деньги быстро проводятся по цепочке левых банков и обналичиваются в другой стране.
Защита типовая и не очень
Типовая атака на интернет-банкинг – достаточно распространенная угроза. Например, в одной крупной российской компании сейчас расследуются три уголовных дела, связанных с хищением средств с корпоративных счетов через систему дистанционного банковского обслуживания посредством вирусов. Посмотрим, как банки защищаются от этих угроз.
При попытке осуществления транзакции операция проверяется по нескольким критериям:
- Доверенные/недоверенные контрагенты.
- Черные/белые списки.
- Платежи с юридических на физические лица.
Проверка на доверенность или недоверенность контрагента заключается в следующем: крупный платеж юрлицу, зарегистрированному менее месяца назад, будет подозрительным по определению. Однако небольшой платеж, например, меньше 100 000 рублей, проведенный злоумышленником, вполне может пройти.
Черные списки – это аналог рекомендаций ФЗ №115, здесь тоже блокируются все платежи юрлицами, замеченными в незаконной деятельности. Злоумышленникам достаточно зарегистрировать фирму-однодневку и использовать методы, описанные в предыдущем абзаце.
Платежи со счетов юрлица на счет физлица традиционно являются приемом ухода от налогов и незаконного обналичивания денежных средств. Поэтому такие операции по определению находятся под особым вниманием службы безопасности, и злоумышленники все реже используют этот метод.
Перейдем к более интеллектуальным средствам защиты и контроля операций интернет-банкинга.
В описании мошеннической схемы я упомянул, что злоумышленники могут некоторое время вести мониторинг операций, выполняемых юрлицом. Зачем это нужно?
Ведь чем дольше вредоносный код находится на машине, тем больше вероятность, что его обнаружат. Это действительно так, потому троян должен быть написан так, чтобы не определяться средствами защиты.
Но, с другой стороны, если сразу же после заражения произвести транзакцию, есть большая вероятность, что эта операция будет отклонена.
Поэтому, если хотя бы две недели последить за тем, кто из сотрудников осуществляет платежные операции, в какое время, по каким дням недели, в какие банки и на счета каких юрлиц, будет легче замаскировать нелегитимные транзации среди настоящих, а системам мониторинга банка сложнее их определить.
Профессиональные взломщики всегда знают меру. Поэтому после осуществления нескольких нелегитимных транзакций вредоносное программное обеспечение удаляется с компьютера. Таким образом, уничтожается, как правило, единственная улика, доказывающая факт нелегитимной транзакции.
Если впоследствии экспертиза не обнаружит на машине клиента никакого вредоносного кода, то в соответствии с вступающими в силу пунктами ФЗ банку придется возмещать клиенту украденные средства.
Если антивирус и другие средства защиты неэффективны в борьбе с такими угрозами, то необходимо больше внимания уделять средствам мониторинга.
Всевидящее око
При осуществлении мониторинга банковских транзакций, помимо описанных выше простых защитных мер, ключевым является анализ.
Здесь имеется в виду не только описанный ранее анализ надежности, черных списков и прочего, речь идет об интеллектуальном мониторинге процесса удаленных транзакций.
Принятие решения об отклонении проведения платежа складывается из множества факторов. Каждому такому платежу назначается некоторая цена. При наличии нескольких факторов цены суммируются. Если превышается некоторый порог, платеж отклоняется. Цена каждого фактора определяется опытным путем в соответствии с моделью рисков, используемой банком.
Приведу небольшой пример. Первый вариант. Пусть транзакция проводится в понедельник в 12 часов на счет юрлица, которому до этого никаких платежей не осуществлялось.
Второй вариант. Если транзакция производится в пятницу в 17 часов тоже юрлицу, с которым до этого не работали. Сумма в обоих случаях одинаковая и не слишком большая.
Казалось бы, действия одинаковые, но при анализе транзакций цены факторов должны быть разными.
В первом случае платеж проводится в понедельник в середине рабочего дня, вероятность того, что для проверки подтверждения платежа банк предпримет какие-либо дополнительные действия (например, перезвонит в бухгалтерию плательщика) довольно велика.
А вот вечером в пятницу это вряд ли будут делать, поэтому здесь цена соответствующих факторов – день недели и время – будет выше.
Доверенная среда
Давайте рассмотрим еще одно не совсем стандартное средство защиты, которое может использоваться на стороне клиента.
Итак, мы уже договорились, что у клиента все плохо: на компьютере бухгалтера административные права, есть доступ в Интернет, антивирус обновляется не регулярно. И самое главное, администраторы и специалисты ИБ клиента не хотят/не могут ничего с этим сделать. Казалось бы, единственный вариант действий в такой ситуации – банку отказать данному юрлицу в предоставлении услуг интернет-банкинга: слишком велика вероятность хищения средств с его счетов.
Однако с развитием ИТ появились новые варианты решения данной проблемы. Например, существуют специальные USB-накопители, произведя загрузку с которых, пользователь оказывается в безопасной среде.
Выглядит это следующим образом. После инициации загрузки с USB на рабочее место будет произведена загрузка эталона операционной системы, в которой пользователю предоставляется доступ только к целевому приложению. Доступа к операционной системе пользователь в ходе сеанса не получает. Среда выгружается сразу после выхода пользователя из целевого приложения, причем никаких следов работы пользователя в системе (cash-, swap-, временные файлы) не остается. При этом сам образ ОС на USB-накопителе хранится в блоке памяти, доступном только для чтения.
Таким образом, гарантируется целостность данных и программного обеспечения. Даже если на машине есть какой-либо вредоносный код, после загрузки с данного носителя он не сможет перехватывать информацию о действиях пользователя.
Практическим примером реализации такого решения является среда построения доверенного сеанса МАРШ! . Это средство ориентировано не только на интернет-банкинг, но и на другие области, где требуется доверенная среда.
Другое, аналогичное, решение с говорящим названием ТЕЛЕБАНК ориентировано именно на банковскую среду. Оно также базируется на использовании USB-носителя и эталонной ОС, но после загрузки в ней доступен лишь браузер Microsoft Internet Explorer с заранее записанным URL Web Server системы интернет-банкинга. Решение не позволяет ввести пользователю URL, отличный от заданного, при конфигурировании доверенной среды.
Контроль доступа
Еще одним способом не допустить к работе с сервером интернет-банкинга являются решения по обеспечению контроля доступа на сетевом уровне Network Admission Control.
Общий принцип таких систем в контексте интернет-банкинга заключается в следующем. На рабочее место клиента устанавливается агент, который при соединении с сервером банка сообщает ему, какие средства защиты установлены на компьютере: есть ли антивирус, когда его база последний раз обновлялась, какие обновления ОС установлены. На основании этой информации принимается решение, подключать ли данного пользователя к серверу или потребовать устранения выявленных недостатков в защите.
) распространяют вирусы через всевозможные интернет-ресурсы, начиная от соцсетей и заканчивая обычными хорошо посещаемыми сайтами. Человек, у которого заражен компьютер, входит в личный кабинет, но тут же перенаправляется на «левые» сайты, которые крайне сложно по каким-то внешним признакам отличить от настоящих банковских страниц.
На фишинговом сайте посетителя просят ввести номер мобильного, идентификатор и пароль либо какие-то другие персональные данные, которые могут понадобиться мошенникам.
Основные меры безопасности при использовании онлайн-банкинга
Не вводите личные данные
Как правило, для входа в интернет-банк кредитная организация запрашивает от клиента только логин и пароль. Номер телефона, данные паспорта, ПИН-код и другие личные данные - все это требовать от вас не должны.
Проверяйте адрес сайта
Если адрес сайта отличается даже одной буквой - это фишинговый сайт. Если интернет-обозреватель предупреждает, что сертификату безопасности сайта доверять нельзя - не доверяйте.
Пользуйтесь одноразовым паролем
Для защиты от фишеров большинство банков при подтверждении операций просят вводить одноразовый пароль. Это очень важный элемент безопасности, который никому и ни при каких обстоятельствах разглашать нельзя! Кроме того, если вы используете смс-пароль, нужно тщательно сверять реквизиты подтверждаемой операции.
Не входите в свой личный кабинет с чужих компьютеров
Лучше входить в интернет-банк только со своего персонального ПК. А вот рабочее место или интернет-кафе - не лучшее место для этого. Если же в силу определенных причин вам пришлось войти в личный кабинет с чужого компьютера, обязательно по окончании работы нажмите иконку «выход» и очистите кэш-пмаять.
Используйте сложный пароль
Придумайте для входа в онлайн-банкинг сложный пароль и никому его не сообщайте, а тем более, не записывайте на карте. Лучше не ставить такой пароль на запоминание, а каждый раз вводить его вручную.
Обновляйте антивирус
Первое, что нужно сделать, это установить антивирус на ваш компьютер и в дальнейшем его своевременно обновлять. Еще один вариант - разрешить его автоматическое обновление. Далее нужно периодически производить антивирусную проверку для своевременного обнаружения вредных программ;
Устанавливайте современные операционные системы
Старайтесь не использовать старые операционные программы, лучше отдать предпочтение более своевременным и в дальнейшем их обязательно обновлять. Это относится также к интернет-браузеру и почтовым программам. Дело в том, что последние обновления операционных систем разрабатываются с учетом новых появившихся вирусов.
Применяйте дополнительное программное обеспечение
Используйте «программы-сторожа», персональные межсетевые экраны, программы защиты от спам-рассылок и др. Например, установив персональный межсетевой экран, нужно просто указать в нем весь список программ и доступных им сервисов и портов. Тогда, если какая-то «левая» программа попытается отправить почту, ее действия сразу же будут обнаружены.
Используйте кодированное соединение
Проверяйте, что установлено защищенное (кодированное) соединение с официальным сайтом банка. Самое распространенное -- это SSL-соединение, которое поддерживается большинством современных браузеров. Определить, используется ли защищенное соединение, можно по адресу в браузере: там должно стоять https (например, https://online.sberbank.ru).
Не скачивайте на компьютер подозрительные программы
Программы, полученные из непроверенных источников, могут содержать вирусы, сетевых червей или трояны. Самый лучший способ оградить себя от такого вреда - запретить в почте прием писем, содержащих исполняемые вложения. Или хотя бы сначала просматривать заголовки и удалять подозрительные письма сразу же на сервере, не скачивая их на свой ПК. Даже если файл-вложение прислан якобы от друга, следует отнестись к этому с подозрением - возможно, это сообщение отправлено сетевым червем. Сомнительное сообщение следует удалить полностью: сначала в папке «Входящие», потом в папке «Удаленные».
Подключите смс-оповещение
Такая услуга сейчас предоставляется практически во всех банках - клиенту подключается смс-уведомление по операциям с картой. При получении сообщения об операции, которую вы не совершали, следует сразу же обратиться по телефону в Службу поддержки своего банка.
Установите лимиты на операции в интернет-банке
Можно установить лимиты на онлайн-операции по карте. Так мошенники не смогут снять с карты больше той суммы, на которую установлено ограничение.
Соблюдая эти правила, вы сможете свести риски при использовании онлайн-банкинга к минимуму.
Сегодня около 80% крупных и средних банков предлагают своим клиентам сервис онлайн-банкинга, и те охотно им пользуются. Однако крупные сбережения становятся желанной и, оказывается, не самой трудной добычей для хакеров и других мошенников.
К примеру, недавно в Европе была поймана группа преступников: с помощью фальшивых кредитных карт они обналичивали отправленные на офшорные счета деньги. Из того же разряда история о русских хакерах в США, за несколько лет похитивших со счетов состоятельных американцев более 1,5 млн долларов. Преступление раскрыли, только когда злоумышленники задумали покуситься на 2,7 млн долларов, принадлежащих одному известному отельеру.
Проблема не обошла стороной даже банковскую «столицу» мира Швейцарию. Многие помнят историю о том, как сын богатого швейцарца добрался до счета своего отца. Банк, сохраняя бдительность, запросил у владельца подтверждение транзакции, но слишком поздно: деньги уже были переведены. И самое печальное в том, что долгие расследования и разбирательства привели к возврату только 70% снятой суммы, рассказывает управляющий директор Optima Infosecurity Неманья Никитович.
В конце октября 2012 года появились новые угрозы от хакера под говорящим псевдонимом vorVzakone. Он заявил о своем плане «Блицкриг», суть которого сводилась к атаке банковской системы США. Примечательно, что его усердная работа уже обогатила героя на 5 млн долларов за счет клиентов тех же американских банков. В целом, по данным ФБР, к концу октября бюро расследовало около 230 случаев электронного мошенничества против американских банков: речь идет о попытке хищения свыше 255 млн долларов и фактическом убытке примерно на 85 млн долларов. А как раз сейчас в США идет суд над русскими мошенниками, обвиняемыми в махинациях с поддельными счетами и кредитками. Предполагается, что их целью были исключительно богатые люди.
Догоняя Запад
Практика показывает, что европейские и американские банки пока не способны обеспечить полноценную защиту счета клиента. Возможно, вопреки своему желанию, но они вынуждены регулярно заявлять о фактах мошенничества и о борьбе с ними – такие правила диктуют закон и регуляторы. «Заметьте, мы никогда не слышим о последствиях, – рассказывает Ашот Оганесян, chief technology officer компании DeviceLock. – И это потому, что на деле совершенно неважно, украли деньги или нет. Клиент не чувствует проблемы: все его средства застрахованы и, значит, будут ему возвращены». Поэтому они могут сохранять спокойствие: сомнений в компенсации не возникает.
Судя по всему, даже такие условия не служат гарантией полного возврата денег, и банки обязаны информировать клиента обо всех рисках онлайн-банкинга заранее. «Конечная ответственность лежит на организации, внедрившей сервис, – рассказывает Ричард ван Оеффел, владелец нидерландской компании VOC Consultancy. – Попытка обвинить клиента в том, что он неверно пользовался Интернетом или компьютером, глубоко порочна: клиенту может быть 80 лет, или у него плохое зрение, или что-нибудь еще». Поэтому банк должен направить свои действия не только на усиление мер защиты онлайн-банкинга, но и на повышение степени информированности клиентов.
России в этой сфере гордиться нечем: хищение денег с карты остается проблемой ее владельца. И если вдруг такое происходит, жертвам мошенников приходится доказывать свою правоту в суде. Ричард ван Оеффел отмечает, что случаи невозврата украденных средств у нас до сих пор не редкость, однако российские банки уже перенимают прогрессивный европейский опыт. С нового года в силу вступает закон о национальной платежной системе, который полностью перекладывает ответственность за сохранность сбережений на банк. Эксперты полагают: нововведение изменит соотношение рисков в системе добровольного банковского обслуживания. «Для пользователей закон гарантирует большую сохранность их средств, – поясняет Неманья Никитович. – Для банков, напротив, возникают новые риски и увеличиваются расходы на информационную безопасность». К таким перспективам банки уже готовятся. Но чего ждать состоятельным клиентам?
По ту сторону безопасности
Актуальную для себя проблему информационной безопасности банки не любят афишировать, хотя больше остальных знают, чего стоит бояться клиентам. «Наиболее массовый вид мошенничества в банковской сфере – с кредитными картами, – утверждает Неманья Никитович. – Ни для кого не секрет, что данные кредиток можно получить не только из системы онлайн-банкинга, но и, например, на черном рынке». Вторые по популярности – инциденты, связанные с кражей конфиденциальной информации.
Магнитные хакеры, трояны и подобные программы регулярно атакуют инвестиционно-банковскую систему. Ашот Оганесян утверждает, что в последнее время такие взломы наиболее характерны для российского рынка. С этим не спорит Ричард ван Оеффел и добавляет, что если раньше был распространен банальный фишинг, то сейчас в моду вошли узконаправленные атаки типа Man in the Middle, Man in the Browser и Man in the Mobile. У них один принцип: мошенник внедряется в канал связи между банком и клиентом и выдает себя за пользователя, копируя его личные данные. Именно поэтому сейчас в мире все большее распространение получают технологии противодействия этим атакам, основанные на аутентификации пользователя.
Своевременная забота о системах информационной безопасности входит в компетенцию банка. «Наиболее распространены сегодня системы скретч-карт, генерации пароля при помощи SMS и хранения кода на бумажных носителях, – объясняет Неманья Никитович. – Однако ни одна из них не совершенна: скретч-карта снабжена заранее неизменяемым списком паролей и неудобна, потому что ее легко потерять. Такие же проблемы у бумажных носителей. Генерация пароля при помощи SMS , в свою очередь, создает риск его перехвата и заражения телефона вредоносным ПО». Получается, что современные технологии защиты не создают злоумышленникам серьезных проблем.
Эксперты советуют внедрять инновации, которые если и не обеспечат полной сохранности денег, то заставят мошенников помучиться. В России такие решения пока только формируются. «На Западе рынок осваивает новую технологию – карты с дисплеем, – рассказывает Никитович. – Обычная пластиковая карта, генерирующая уникальный одноразовый пароль (one time password, ОТР) для работы в системе интернет-банкинга». Ашот Оганесян также поддерживает идею строгой мультифакторной аутентификации, а Ричард ван Оеффел напоминает о технологии, подтверждающей (или не подтверждающей) географическое присутствие клиента в месте совершения транзакции. «Они работают против списания денег в Майами, в то время как клиент мирно спит в Гааге», – поясняет он.
Сбереги себя сам
Действительно, владельцу крупного капитала в России в вопросах сохранности личных финансовых активов рискованно полностью доверяться банкам. Нехорошо забывать об элементарном хеджировании рисков и распределении средств на несколько счетов, советует Никитович. Не будет лишним хотя бы немного разбираться в системах информационной безопасности и выбирать банки, не экономящие на развитии и использовании самых передовых разработок. Чем совершеннее будет система онлайн-банкинга, тем удобнее она окажется для конечного пользователя.
Даже с приходом новых правил на российский рынок проявить бдительность все-таки придется. Спокойный сон и избавление от лишних проблем – это, конечно, хорошо. И банк сделает все возможное, чтобы не нарушить гармонии вашей жизни. Но будет не лишним и подстраховаться. Ведь никому нельзя доверять как себе, верно?
