Vírusírtó Blog

Az internetes bankolás veszélyei

2016.06.15. 11:07 G Data

gdata_onlinebanking.pngAz internetes szervezett bűnözés első számú motivációja régóta a pénzügyi haszonszerzés, így nem meglepő, hogy a támadások jelentős része az online bankolást veszi célba. A G Data tanácsai segítenek elkerülni a bajt.


Az Európai Központi Bank (EKB) tavaly kiadott jelentése másfél milliárd euróra becsüli azt a kárt, amelyet az Európai Gazdasági Térségen belül 2013-ban a hamis banki tranzakciók okoztak. Ez az előző évhez képest 8 százalékos növekedést jelentett, ami alátámasztja, hogy jelentős problémáról van szó.


Mindez nem meglepő, hiszen az online bankolók folyamatosan növekvő csoportja régóta a támadások első számú célpontja. Hiszen mi más kecsegtetne nagyobb haszonnal, mint az interneten keresztül mozgó pénzfolyam közvetlen megcsapolása?


A G Data most közzétett ismeretterjesztő füzete szerint a támadás módjai ugyanakkor alapvetően megváltoztak az elmúlt évek során. Eredetileg az egyszerű átverés (a hiszékenységre épülő adathalász kampányok lebonyolítása) volt az uralkodó módszer. Ebben az esetben jellemzően egy hamis e-mailt küldtek a bank nevében a bűnözők, melyben elkérték a felhasználó belépési azonosítóját, jelszavát és esetleges titkos kódjait (PIN vagy tranzakció-azonosító).

 

bank-jelszo.png


Mára azonban a felhasználók többsége megtanulta, hogy a bankja soha nem kéri el tőle e-mailben a jelszavát, a bankok pedig kétlépcsős azonosítási rendszereket vezettek be (például jelszó és SMS üzenetben érkező tranzakció-azonosító szám), így a támadások módja is komplexebbé vált. A bűnözők ma szinte kivétel nélkül rendkívül fejlett kártevőket (banki trójaiakat) alkalmaznak, melynek kódját akár évekig fejlesztik. Emellett jellemző, hogy már nem csupán a számítógépeket, de a mobiltelefonokat is megpróbálják megfertőzni.


Ellopott SMS-üzenetek


A böngészőkbe történő beépülés után a kártevő eltéríti a számítógép és a bank közötti kommunikációt. A titkosított csatorna így megkerülhető, és hiába épül fel a számítógép és a bank portálja között a kódolt adatkapcsolat, a trójai már minden adatot manipulál, mielőtt az még a böngészőben titkosításra kerülne.

 

gdata_mobiltelefonok-megfertozese.png


A legegyszerűbb esetben a kártevő úgy tesz, mintha a felhasználó nevében cselekedne, és a legenerált visszaigazoló kód segítségével a bűnöző számlájára történő utalást hagyja jóvá. Az ilyen támadás előnye, hogy a tranzakció teljesen jogszerűnek tűnik, és így jó eséllyel átmegy a bank biztonsági ellenőrzésén.

G Data Bankguard


Mivel a trójaiak a billentyűzetleütések és a böngésző közé állnak be, és még azelőtt lopják el az adatokat, hogy azok titkosításra kerülnének a böngészőkben, ezért a tevékenységük ellen nem nyújt védelmet az, hogy a bankon titkosított SSL kapcsolatot (zöld webcím a böngésző címsorában) használnak.


A G Data ezért fejlesztette ki BankGuard technológiáját, mely azt felügyeli, hogy a böngészők hálózati könyvtáraiból próbál-e bármilyen alkalmazás adatokat kiolvasni a böngészés során. Ezzel a technológiával a német cég termékei még az ismeretlen trójai kártevők ellen is védelmet nyújtanak.

A legmodernebb trójaiak képesek arra is, hogy az SMS visszaigazoló kódokat ellopják. A mobiltelefonok megfertőzésének általános módja, hogy a felhasználót a bank hamisított weboldalára irányítják, majd azon elhelyeznek egy figyelmeztetést. A figyelmeztetés informálja a felhasználót, hogy az internetbankoláshoz egy plusz biztonsági alkalmazást kell a telefonjára töltenie, és bekéri a telefonszámát is. A letöltésre kerülő szoftver megfertőzi a mobiltelefont, aminek köszönhetően a bűnözők már elfoghatják az SMS-üzenetekben kiküldött azonosítókat. Mindez lehetővé teszi számukra, hogy tranzakciókat indítsanak és hajtsanak végre.


Mit tehetünk a biztonságos bankolás érdekében?

 

A G Data szakértői az alábbiakat javasolják a tranzakciók biztonságos lebonyolítása érdekében.

 

  1. Az internetes bankfiókunkba soha ne lépjünk be úgy, hogy egy e-mailben érkező linkre kattintunk. A bank webcímét mindig nekünk kell begépelnünk a böngésző címsorába.
  2. Olyan banki szolgáltatást használjunk, amely kétlépcsős azonosítást (például jelszó és SMS-üzenetben érkező kód) használ a tranzakciók végrehajtására.
  3. Mindig csak a saját gépünkről bankoljunk. Ne használjunk nyilvános számítógépet a pénzügyeink elintézésére, de a saját gépünkről se kapcsolódjunk rá nyilvános (például reptéri) internethálózatra az utalások elvégzéséhez.
  4. Válasszunk összetett, erős jelszót a bankfiókhoz. Ez álljon legalább 12 karakterből, tartalmazzon kis- és nagybetűket, valamint számokat és írásjeleket (például: */-!?).
  5. A bankolás befejezése után mindig lépjünk ki a fiókunkból, és csak azután zárjuk be a böngészőt.
  6. Állítsuk be, hogy az utalásokról kapjunk értesítéseket SMS-ben vagy e-mailben.
  7. Használjunk a számítógépen jogtiszta és rendszeresen frissített vírusvédelmi szoftvert, és ne felejtsük el telepíteni a Windows frissítéseit sem.
  8. Az otthoni vezeték nélküli hálózatot is védjük megfelelően erős jelszóval, és állítsuk be a titkosítását (elkerülve az elavult WEP titkosítást).
  9. Az internetes számlánkat figyeljük rendszeresen: lépjünk be a fiókunkba, és ellenőrizzük az utalások történetét viszonylag gyakran.
  10. Ha a hitelkártyánkkal kapcsolatban a legapróbb visszaélést vagy gyanús jelet észleljük, lépjünk kapcsolatba a bankunkkal, és tiltassuk le a kártyát. Nem szabad elfelejteni, hogy az ellopott hitelkártyákkal a bűnözők először csak kis összegű (néhány száz forintos) próbavásárlást szoktak elvégezni, mielőtt megpróbálják igazán megcsapolni a számlánkat.
Tetszett a bejegyzés? Lájkolj minket a Facebookon!

Címkék: G Data BankGuard Online bankolás

11 hozzászólás

A bejegyzés trackback címe:

https://virusirto.blog.hu/api/trackback/id/tr548811514

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben és az adatvédelmi tájékoztatóban.

odamondó 2016.06.16. 08:49:07

4es a kedvencem. Konkrétan nincs jelszavam az internetes bankomhoz. És a jövő is ez lesz. A jelszó egy baromság.

qwertzu 2016.06.16. 09:20:23

"de a saját gépünkről se kapcsolódjunk rá nyilvános (például reptéri) internethálózatra az utalások elvégzéséhez."

Miért ne? Ha nincs megtörve a gépünk, akkor titkosított kapcsolat pont arra való, hogy ne lehessen lehallgatni.

Nazareus 2016.06.16. 10:22:23

Én ezzel nem értek egyet: "Ez álljon legalább 12 karakterből, tartalmazzon kis- és nagybetűket, valamint számokat és írásjeleket (például: */-!?)."

Melyiket könnyebb megjegyezni és melyiket könnyebb feltörni?

1. AsZ34!lk4FWR
2. Kiskacsafurdikfeketehobannyaron

A howsecureismypassword.net/
alapján:

Az 1-es feltörési ideje: 34 THOUSAND YEARS
A 2-es feltörési ideje: 124 DECILLION YEARS

És szerintem még könnyebb is begépelni a másodikat :)

G Data 2016.06.16. 12:01:28

@Nazareus: Nem kell feltételnül értelmetlennek is lennie egy ilyen jelszónak.

A KisKacsa-Furd! jelszó például használható.

A Kiskacsafurdikfeketehobannyaron viszont biztonságosabb lenne így:

Kiskacsafurdik/Feketehoban1nyaron

Tehát teljes mértékeben egyet értünk a jelszómondatok használatával, és igazat adunk neked abban, hogy a jelszómondatok jobbak, mint a jelszavak.

Ha valaki hajlandó 20-30 karakteres jelszavakat használni, akkor ezt tegye meg, mert biztonságosabb. Viszont ebben az esetben is növelni lehet a biztonságot az írásjelek és számok használatával.

G Data 2016.06.16. 12:10:15

@qwertzu: Elvileg - elméletben - a titkosított https kapcsolat adatait nem lehetne lehallgatni, hiszen erre van kitalálva.

Azonban ha maga a hotspot fertőzött, használhatóak olyan támadási formák, mint az SSLStrip (moxie.org/software/sslstrip/), melyek képesek eltéríteni a kommunikációt.

Ezért a biztonsági cégek - közöttük mi is - inkább azt az egyszerűbben megjegyezhető szabályt javasoljuk, hogy nyilvános hálózatból ne internetbankoljunk. Mobilon lehet hotspotot létrehozni, ez jóval biztonságosabb.

Ha pedig nyílt hálózaton szeretnénk bizalmas munkát végezni, egy VPN kapcsolat felállítása javasolt.

G Data 2016.06.16. 12:11:50

@odamondó: Egyetértünk azzal, hogy a jelszónál vannak biztonságosabb módszerek. A whitepaperünkből azonban kiderül, hogy ezek közül is sok támadható.

Emellett sajnos nem mi határozzuk meg, hogy jelszót szeretnénk-e használni: ha a bank nem ad lehetőséget más azonosítási módra, akkor ezt kell használnunk.

Sia 2016.06.16. 14:29:31

Az én bankomban nem lehet különleges írásjeleket használni a jelszóhoz, csak betűt meg számot. LOL. Nagyon profi. Pedig nem noname bank.

fordulo_bogyo 2016.06.16. 16:34:46

A bankom 3 vagy 5 sikertelen probalkozas utan 24 orara felfuggeszti az internetes hozzaferest.
Mennyi idobe telik igy feltorni egy negy betubol allo jelszot?

G Data 2016.06.16. 16:47:58

@fordulo_bogyo: sokáig. :)

Ugyanakkor minden más weboldalt - például PayPal - érdemes erős jelszóval védeni, ahol a fizetési adatainkat eltároljuk.

fordulo_bogyo 2016.06.16. 18:37:49

Amikor egy webes feluletre probalok belepni, 1-2 masodperc mire visszajon a valasz, hogy hibas a jelszo.
Ezt is beleszamoljak a feltores idejebe (szerintem nem), vagy csak azt, hogy milyen sebesseggel tudnak elvileg kuldeni a generalt jelszavakat?
Erdekelne egy valos kiserlet, amikor egy jelszoval vedett weblapra valaki megprobal veletlen talalgatassal belepni, valos idoben, nem csak elvileg.
Ismertek ilyet?

Értesülj az új átverésekről a Facebookon!

Címkék

adatbiztonság (1) adathalászat (10) adatvédelem (36) Adobe (1) alkalmazás (13) amazon (1) android (36) android market (1) anonymus (1) apple (8) arcfelismerés (2) arcfelismerési technológia (1) átverés (41) Audi (1) bank (1) BankGuard (1) bankkártya (4) biometrikus azonosító (1) bitcoin (1) biztonság (21) blizzard (1) botnet (1) bouncer (1) celeb (1) cenzúra (1) chat (1) Chrome (1) cnn (1) csalás (8) csoport (1) cyberbullying (1) ddos (1) dnt (1) domén (1) e-book (1) e-mail (1) email (4) emoji (1) engedély (1) esemény (1) EU (1) europol (3) facebook (129) Facebook (10) Facebook hangulatjelek (1) fbi (3) felhő (1) felmérés (17) féreg (2) fiók (1) Flame (1) foci (1) frissítés (1) gdata (1) geotagging (2) Gmail (1) google (9) gps (1) gyermek (2) G Data (35) G data (3) g data (6) G Data BankGuard (1) G Data jelszómenedzser (1) G Data TotalProtection (1) hack (2) hacker (36) híresség (1) hoax (1) Hotmail (1) hozzáférés (2) hummer (1) idővonal (2) információbiztonság (2) instagram (4) intel (1) internet (4) internetbiz (1) internetbiztonság (62) ios (1) iOS (2) ipari kémkedés (1) jelszó (2) Jelszókezelő (1) jogok (3) kártevő (47) katasztrófa (1) kémkedés (1) kémprogram (1) keresés (1) kéretlen program (1) kiberbűnözés (2) kiberháború (3) kínai közösségi média (1) komment (1) közösségi média (1) közösségi portál (1) kriptobányászat (1) lájk (1) like (4) Linux (1) linux (1) mac (1) macintosh (1) maya (1) média (1) megosztás (6) metaadat (1) Microsoft (2) mobiltelefon (5) napló (1) Nigéria (3) okosóra (1) okostelefon (2) olimpia (1) online (3) Online bankolás (1) online bankolás (1) Ötven Cent Csoport (1) password (1) phising (1) Pokémon Go (1) Popcorn TIme (1) poszt (1) ransomware (13) rendőrség (2) rootkit (1) sérülékenység (9) Skype (1) skype (2) smart tv (5) spam (10) személyi (3) születésnap (1) szülői felügyelet (1) tartalomszűrés (1) tartózkodási hely (1) ThyssenKrupp (1) törlés (1) torrent (3) trójai (19) twitter (1) update (1) usb (5) vásárlás (1) védelem (2) végítélet (1) videó (1) vírus (2) virusirtó (1) vírusirtó (12) VirusTotal (1) visszaélés (1) Vista (1) vízjel (1) vodafone (1) warcraft (1) Weibo (1) whatsapp (1) wifi (3) Windows (2) windows (1) wordpress (1) World of Warcraft (1) WoW (1) Yahoo (1) Yahoo! (1) zaklatás (1) Zeus (1) zsaroló kártevő (5) Címkefelhő