Phishing a nově i pharming využívají útočníci na internetové bankovnictví České spořitelny. Dávejte pozor na své peníze.
Začalo to asi přibližně před měsícem – do e-mailových schránek začaly směřovat zprávy, které vypadaly jako sdělení České spořitelny. Byly psány špatnou češtinou a byly vybaveny odkazem vedoucím na stránky zdánlivě působící jako portál internetového bankovnictví Servis24. Kdo naletěl, ten zadal své přístupové údaje a podvodníci rázem získali přístup k jeho účtu. Zkrátka phishing jak vyšitý.
Phishing může být legrace, pharming už ne
Nebylo to zdaleka poprvé, co to na Českou spořitelnu někdo „zkusil“, ale tentokrát se z toho rozpoutala invaze na naše e-mailové schránky. Přicházely pozměněné texty, různé jazykové mutace a leckdy úsměvné výplodky automatických překladačů. Česká spořitelna obratem na podvodné e-maily upozornila na svých stránkách a trvalé upozornění již dříve umístila na svůj portál Servis24. Vynalézaví podvodníci přišli s novou vlnou e-mailů, kde paradoxně upozorňují sami na sebe. Nabádají uživatele, aby byli ostražití před podvodnými e-maily a aby verifikovali svou e-mailovou adresu. Jak? No přece přihlášením na níže uvedeném odkazu.
A jak vypadá vaše schránka?
A podvodníci šli ještě dál. Když jim bylo internetové bankovnictví málo, vytvořili pod hlavičkou České spořitelny formulář pro zadání údajů k platební kartě. Pod výhrůžkou, že karta pozbude účinnosti, několik uživatelů své údaje zadalo a byli okradeni. Novinkou jsou také e-maily, které přihlašovací údaje k internetovému bankovnictví nepožadují z bezpečnostních důvodů, ale pod záminkou dostupnosti nových služeb – chcete elektronické výpisy nebo informační měsíčník v elektronické podobě? Klikněte na odkaz a přihlaste se…
Podvodníci jsou vynlézaví – prásknout sami sebe nebo přijdou s „novou službou“
Jak se bránit? Ignorovat, ignorovat, ignorovat. Česká spořitelna sama upozorňuje, že se svými klienty prostřednictvím e-mailu nekomunikuje a už vůbec by touto cestou se svými klienty nevyřizovala bezpečnostní problémy. Pokud chcete využít internetového bankovnictví, zadejte adresu služby přímo do internetového prohlížeče, odkazů v e-mailech si nevšímejte. Pro jistotu vždy pozorně sledujete řádek s adresou ve svém prohlížeči. Musíte být na doméně servis24.cz a na certifikované stránce (poznáte podle ikony zámku v adresním řádku).
Po přístupu k internetovému bankovnictví si vždy zkontrolujte, na jakém webu vlastně jste
Jenomže záludní podvodníci vytasili novou zbraň – pharming. Metoda tohoto „útoku“ spočívá v tom, že se počítač uživatele nakazí škodlivým softwarem, resp. virem, který způsobí přesměrování klienta na falešné stránky internetbankingu. Adresní řádek je přitom maskován také. Pokud vás tedy baví zkoumat odkazy v podvodných e-mailech a říkáte si, že vás nikdy nenachytají, možná už jste „nakaženi“ a budete se divit.
Stopovat, ale kam?
Proti podvodům s internetovým bankovnictvím existuje jednoduchá ochrana – každou transakci musí uživatel potvrdit heslem, které mu dorazí na jeho mobil. Tímto bezpečnostním mechanismem je vybaveno i internetové bankovnictví České spořitelny, nicméně podvodníci na to myslí. Na falešných stránkách zpravidla najdete ve formuláři políčko i pro bezpečnostní kód. Ten pro přihlášení standardně nutný není, je však potřeba jej znát pro některé operace s účtem, například právě pro změnu zadání telefonního čísla pro odeslání autorizační SMS zprávy.
Česká spořitelna na svých stránkách www.csas.cz zavedla novou rubriku věnovanou Phishingu. Zde si můžete přečíst základní informace o phishingu, zásady bezpečného používání internetbankingu a především aktualizovaný seznam upozornění na nové verze podvodných e-mailů.
Jak to chodí: přijde podvodný e-mail, odkáže vás na podvodný web služby Servis 24 Internetbanking a chce přihlašovací údaje. Ať zadáte cokoli, dostanete se dál.
Kromě toho se snaží proti útočníkům zasáhnout i aktivně. Podala trestní oznámení na neznámého pachatele, a tak se z problému stal případ pro policii. Ta je zatím celkem bezmocná, protože podvodné stránky jsou umístěny na serverech v exotických zemích nebo na „hacknutých“ webech různých institucí. My jsme třeba jednu z podvodných stránek lokalizovali v Pekingu. Pouhá lokalizace však nestačí, najít zodpovědného člověka je téměř nemožné. A stopování prostřednictvím e-mailu? To je ještě komplikovanější záležitost. Nicméně je jasné, že za podvody stojí i Češi. Například poslední zpráva s bezchybnou češtinou, byť bez diakritiky, a informací o možnosti zasílání elektronické verze měsíčníku Info plus určitě není dílo nějakého čínského hackera a překladače.
Internetové bankovnictví České spořitelny používá přibližně 750 tisíc klientů. Banka přiznává, že se někteří klienti nechali napálit podvodníky a byli podvedeni. Úspěšné podvody týkají zneužití údajů o platebních kartách, které byly podvodníky využity v internetových obchodech. Přesný počet podvedených klientů banka neprozradila.
Co dělat, když:
- najdete ve schránce nový typ podvodného e-mailu ČS? Přepošlete jej na adresu phishing@csas.cz
- pochybujete o pravosti stránek internetového bankovnictví ČS? Nezadávejte své přístupové údaje, přihlaste se přímým zadáním adresy na jiném prověřeném počítači, případně z jiného internetového prohlížeče
- domníváte se, že jste se přihlásili na podvodné stránky? Zavolejte na linku 844 11 11 44 a účet ihned zablokujte
- domníváte se, že jste na podvodné stránka zadali údaje o své platební kartě? Ihned zavolejte na číslo 800 207 207 a kartu nechte zablokovat
- vyzkoušeli jste některé odkazy na podvodné e-maily a obáváte se pharmingu? Použijte některý z aktuálních bezpečnostních softwarů k diagnostice svého počítače, případně přeinstalujte systém.
Jsme teprve na začátku
Současný velký útok na klienty Českou spořitelny považuji teprve za začátek. Trendy v zahraničí, především v Americe, ukazují, že útočníci nepolevují a snaží se najít nové způsoby k získání přístupových údajů k různým službám. Netýká se to jen platebních karet a bankovních účtů, ale třeba také uživatelských kont telekomunikačních operátorů, uživatelských účtů platebních systémů (typicky PayPal) nebo třeba jen účtů věrnostních programů různých institucí. Kde lze získat nějaké peníze či jiné hodnoty na základě přihlašovacích údajů někde na webu, tam dříve nebo později čekejte phishingový útok.
