nadávky v telefonu. Jako oběť krádeže identity máte na krku pěkný problém. Pro
Marka K. (jméno bylo změněno) začala tato noční můra před dvanácti týdny.
Telefonovali mu rozzuření uživatelé Ebaye, kteří se úspěšně účastnili aukcí,
zaplatili, ale žádné zboží nedostali. Jako nabízející byl uveden Marek K. Jenže
on žádný účet na Ebay nemá. To mu však podvedení uživatelé nevěří a podávají na
něj trestní oznámení. Podvodník, na jehož konto peníze převedli, je dávno za
kopečky. Pomocí zfalšovaného průkazu se mu povedlo otevřít si bankovní konto na
cizí jméno.
Účet na Ebay na falešné jméno
Jak si mohl založit účet na cizí jméno? Úplně jednoduše: oběť před časem bez
většího přemýšlení umístila na svoji webovou stránku životopis včetně adresy a
data narození, jak to bývá běžné. A přesně tato data stačí, aby si člověk mohl
na Ebay otevřít konto. Marek K. nebude nakonec muset materiální škody uhradit.
Ale celý příběh ho stál velké množství času a nervů.
Stav konta: minus osmdesát tisíc
O mnoho lépe to nedopadlo ani v případě Petra M. (jméno změněno). Nevěřil svým
očím, když se na výpisu z jeho konta objevila částka minus 80 000 Kč. Co se
stalo? Matně si vzpomínal, že před několika dny dostal od banky e-mail, ve
kterém ho prosili, aby jako dodatečné bezpečnostní opatření vyplnil tajnou
otázku pro on-line bankovnictví. Kliknul na odkaz obsažený v e-mailu a zadal
požadovaná data, včetně čísla účtu, PIN a jako potvrzení TAN (číslo transakce).
Webová stránka vypadala úplně stejně jako ta, kterou používá jeho banka, takže
nepojal žádné podezření. Ve skutečnosti se však jednalo o přesnou kopii s velmi
podobně znějící webovou adresou, kterou založili podvodníci. Několik minut
poté, co Petr M. zadal data, toho jeden z podvodníků využil a vyprázdnil jeho
konto nebál se ani využít celý kontokorent. Když Petr M. krádež objevil a
informoval banku, účet podvodníků již neexistoval. Peníze byly pryč.
Jak se zachovat v takovém případě?
Co dělat, pokud se stanete obětí takovýchto podvodníků? Jako první byste měli
uvědomit provozovatele služby, v prvním případě Ebay, ve druhém vaši banku. Pak
byste měli podat trestní oznámení na policii. Kontakt na Ebay najdete na
www.ebay.de/kontakt. Zvolte "Sdělení o problémech s ostatními účastníky Ebay,
přestupky ohledně kontaktních dat/identita" a poté "Někdo používá moje jméno a
mojí adresu". Klikněte na "Dále" a na další stránce na "e-mail". Zde se
dostanete k formuláři. Váš e-mail bude zaslán pracovníkům, specializovaným na
takovéto případy. Ebay slibuje: "Pokud nám bude hodnověrně nahlášeno zneužití
identity, budeme postiženého či postižené v rámci našich možností provozovatele
aukcí podporovat, jak nejlépe budeme moci". V takových případech se údajně úzce
spolupracuje s vyšetřujícími úřady, kterým se předávají "v rámci právních
předpisů" všechny potřebné informace.
Tipy proti on-line podvodu
Abyste zůstali ušetřeni podobných hororových scénářů, nabídneme vám několik
tipů, jak se můžete proti podvodům na internetu efektivně bránit. Ať už se
jedná o trojské koně, phishing, krádež dat z osobních stránek, z internetové
kavárny nebo z firemní sítě ukážeme vám, v čem spočívá nebezpečí a co proti
němu podniknout.
Trojské koně
Co jsou trojské koně už asi víte: škodlivé programy, které se tváří jako
užitečný software. Dříve škodily především ničením dat. Dnes se ale jedná stále
častěji o jejich krádež.
Trojané: ochraňte si počítač
Svůj počítač byste měli co nejvíce izolovat. Jako soukromý uživatel sotva
chytíte nějakého specifického trojana (viz strana 68), který by měl jako cíl
přímo vás. Existuje však nepřeberné množství nespecifických trojanů, kteří
slídí po osobních datech. Tito škůdci se často rádi vyskytují ve spojení s
velkými událostmi. Takový byl například mailworm, který předstíral, že pochází
od FIFA a tvrdil, že jeho příloha obsahuje důležité informace ohledně nákupu
vstupenek. Kupodivu dost lidí, kteří si vstupenky skutečně chtěli koupit,
osudnou přílohu otevřelo. Totéž platí pro zfalšované faktury. Kdo dostává účty
on-line, zažije nejprve šok, když se ve fingovaném výpisu dočte něco o účtu za
několik desítek tisíc. A pokud je neopatrný, otevře údajný důkaz v příloze
netuší, že v tu chvíli zrovna aktivoval mailworm. E-mailoví červi a trojští
koni často obsahují keylogger, tedy program, který sleduje a zaznamenává
stisknuté klávesy, jež jste zadali v určité aplikaci. Data následně
nepozorovaně pošle autorovi. Toho pak zajímají všechna hesla, čísla kreditních
karet a osobní údaje.
V každém počítači by tedy měl být nainstalován antivirový program, ať už
placený nebo zdarma dostupný na internetu. Kdo za něj nechce platit, může pro
soukromé účely využít například Antivir Personal Edition Classic 6.31 nebo AVG
Anti-Virus Free Edition 7.
Specifický trojský kůň: malá cílová skupina
Existují i specifičtí trojané, kteří se obrací vždy na určitý okruh osob,
například na lékaře nebo advokáty. Na pracovní počítač často proniknou přes
e-mail. Při první výzvě se špionážní program nenápadně instaluje a od té doby
se spouští společně s Windows. Hledá údaje o pacientech, potažmo klientech na
pevném disku a posílá je autorovi trojana, který tyto informace může
nejrůznějšími způsoby zneužívat. Jedná-li se o údaje o adrese a datu narození,
může si podvodník například otevřít účet na Ebay. Mohl by je prodat i
kriminálním organizacím, které si cíleně vybírají především majetné zákazníky.
Nestačí jen ochránit počítač
Trojští koně se mohou zmocnit vaší identity, i když na vašem počítači vládne
maximální opatrnost. Především firmy a podnikatelé, spravující data zákazníků,
musí dbát na vysokou bezpečnost dat a konfigurovat své systémy tak, aby
počítače, z nichž přistupují k datům o zákaznících, nebyly připojené k
internetu. V případě specifických trojanů mohou být i antivirové programy
bezmocné. Kvůli minimálnímu rozšíření jsou tito škůdci v laboratořích výrobců
antivirů většinou neznámí, takže není možné připravit potřebné popisy. Proti
těmto škůdcům nejlépe pomůže heuristika antivirových programů nebo ještě lépe
technika, která typické chování trojanů rozpozná a zablokuje (viz vlevo). Vy
sami můžete udělat jen jedno: svá data svěřte jen málo firmám. Obzvláště datum
narození byste měli držet pod pokličkou, protože s jeho pomocí se například dá
otevřít konto ve webové aukční síni.
Phishing
Prostřednictvím phishingu (z anglických slov password fishing) číhají datoví
špioni taktéž na osobní a tajné informace uživatelů, ale nepoužívají k tomu
škodlivý program. Jednoduše oběť donutí vyzradit požadované informace
dobrovolně a často s tím slaví úspěch.
Svůdné e-maily
I přes častá varování se stále někteří uživatelé nechají autenticky působícími
e-maily svést ke klikání na linky ve zprávě. Na následujících internetových
stránkách pak zadávají osobní údaje. Příkladů lze bohužel najít až příliš
mnoho. Často se o pozdvižení starají e-maily, které vypadají, jakoby pocházely
od bankovních domů. Paradoxně varují před podvodníky a prosí uživatele, aby
klikli na odkaz a zde "vyplnili způsob doplňkové autorizace". Odkaz vypadá na
první pohled stejně, jako by vedl k webové stránce opravdové banky. Při
důkladném pohledu na URL však zjistíme, že se jedná o trik. Pokud se dostanete
na zmíněné stránky, podvod často ani na první pohled nepoznáte. Všechno je
dokonale napodobeno stránka působí autenticky. Ani originální poznámka "pozor
na podvodníky!" s varováním před zfalšovanými e-maily zde ironicky nechybí. Do
formuláře má zákazník mimo jiné zadat číslo konta, on-line PIN a TAN. Každého
by to mělo zarazit hned při přihlašování, nejpozději při zadávání TAN
každopádně při čtení varování "Pozor! Svůj TAN prosím v budoucnu nepoužívejte,
vedlo by to k zablokování konta".
Phishingové e-maily chtějí údaje o přihlášení na Ebay
Phishingové e-maily často přicházejí jakoby od Ebay. Většinou jsou v
angličtině, někdy ale mohou být i lokalizovány. Vzor je vždy stejný: na základě
obskurních událostí, jako porucha serveru nebo problémy s databankou, se údajně
ztratily informace. Adresát má kliknout na odkaz, který na první pohled vypadá
jako adresa Ebay. Na následující (zfalšované) stránce Ebay se má s uživatelským
jménem a heslem přihlásit a překontrolovat správnost svých osobních dat. Pokud
by to neudělal, bude účastnické konto zrušeno toto varování vytváří ještě
dodatečný tlak. Aby nevzniklo žádné podezření, přesměruje vás hackerská stránka
po zadání údajů na skutečnou stránku Ebay samozřejmě poté, co se zachycená data
uživatele uložila do vlastní databáze. Takto získané účty Ebay využívají
hackeři k nabídce drahého zboží pod cizím jménem, které si sice nechají
zaplatit, ale nikdy jej nedodají.
Efektivní ochrana proti phishingu: neklikat
Nejlepší ochranou proti phishingovým e-mailům je nedůvěra, pokud jste vyzýváni
ověřit zákaznická data u nějaké určité služby. Zásadně byste neměli vyvolávat
stránky s přihlášením přes odkaz v e-mailu, nýbrž zadávat adresu služby ručně
do adresového řádku prohlížeče (nebo stránku načíst přes záložku, kterou jste
sami vytvořili).
Sběrači dat
Říká se, že "Google ví všechno." Trefnější by však bylo tvrdit, že "Google ví
příliš mnoho." Tento vyhledávač totiž pročesává vše, co mu přijde pod ruku. Zda
se přitom jedná o chráněná data nebo ne, je vyhledávacímu robotu jedno.
Podvodníci využívají vyhledávače
Přes vyhledávač Google a podobné služby se dají zachytit datové pakety milionů
lidí: jméno, příjmení, adresa, telefonní číslo a datum narození stačí k získání
identity pro kriminální účely. Před několika lety by bylo ještě těžko
myslitelné, aby měl někdo problémy z toho, že na webu uvedl své datum narození.
Spousta lidí ho naivně dala na svoji vlastní stránku nebo do on-line
životopisu. Dnes s těmito údaji lze založit účet na Ebay, který nenechavcům
může přinést dost peněz a poškozenému pak řadu nepříjemností. Ebay je však
pouze jedním z příkladů, kde mohou podvodníci páchat škody.
Utajte svá data
Na osobních stránkách byste měli zásadně uvádět co nej-méně citlivých dat.
Objevit by se zde neměla především vaše adresa a hlavně datum narození. Adresa
se sice dá získat pomocí služeb jako www.checkdomain.com alespoň však krádež
identity ztížíte. On-line životopisy, u nichž se těmto údajům nelze vyhnout,
byste měli opatřit heslem, které pak uvedete v odpovědi na inzerát.
Jednodušší, i když méně bezpečné, je donutit vyhledávače, aby určité stránky
neiniciovaly. V tom případě si musíte založit textový soubor s názvem
robots.txt v hlavním adresáři vaší webové stránky.
Do prvního řádku napište "User-agent: *", čímž určíte, že instrukce platí pro
všechny vyhledávače. Na dalším řádku následuje příkaz "Disallow: /" s názvem
adresáře, ve kterém jsou uloženy stránky webového serveru, jež nemají být
iniciovány. Na konci řádku bude opět lomítko. Pro každý další adresář založíte
zvláštní řádek s "Disallow: /".
Pokud chcete celou webovou stránku vyjmout z indikace vyhledávači, nezadávejte
za příkazem žádný název adresáře. V následujícím příkladu by měly všechny
vyhledávače iniciovat kompletní webovou stránku s výjimkou adresářů "job offer"
(nabídka zaměstnání) a "database".
User-agent:*
Disallow: /job offer/
Disallow: /database/
Pokud chcete, aby vyhledávače do indexu nezahrnuly nic, pak musí robot.txt
vypadat následovně:
User-agent: *
Disallow: /
Pokud se vaše webová stránka již v indexu Googlu nebo jiných vyhledávačů
nachází, musíte chvíli vydržet, než se změna projeví. Vyhledávače zpravidla
zjišťují každé čtyři až osm týdnů, zda nedošlo k nějakým změnám. Adresáře pak z
indexu vymažou.
Metoda s robots.txt je jednodušší, avšak méně bezpečná. Vyhledávače totiž
nejsou povinné držet se instrukcí v souboru robot.txt, i když většina jich to
dělá. Kvůli chybám v softwaru se může v určitých případech stát, že soubor
robot.txt bude ignorován. Určité adresáře lze ochránit heslem zpravidla z
konfiguračního menu vaší webové stránky.
Zanechte co nejméně stop
Nad vlastní webovou stránkou máte kontrolu. Těžší je to ale v případech, kdy
zadáváte údaje na web tam, odkud je pak již sami nemůžete vymazat. Jedná se
například o webová fóra a návštěvní knihy. Mnozí lidé zde zanechají jméno,
e-mailovou adresu a další data, aniž by pomysleli na to, že i tyto údaje se
dají pomocí vyhledávačů najít. U Usenet-Newsgroups můžete alespoň zabránit
tomu, aby je Google Groups (http://groups.google.com) ukládal navěky a byly tak
přístupné pomocí vyhledávání. Toho dosáhnete příkazem "X-No-Archive: yes" v
prvním řádku zprávy.
Vedete-li blog, který je hostován poskytovatelem, jenž nenabízí přístup přes
FTP, nelze zabránit tomu, aby vyhledávače příspěvky neindikovaly. Soubor
robots.txt zde totiž není možné založit. Někde však lze použít heslo pro čtení.
Datové pasti
Chcete anonymně surfovat a použijete k tomu určený speciální nástroj. Přesně
tím ale můžete hackerům zprostředkovat svá data. Nebezpečí hrozí i při
používání internetu v kanceláři nebo v internetové kavárně.
Proxys: hackeři mohou naslouchat
Je mnoho programů, které by vám měly zaručit anonymní surfování po internetu.
Kvůli tomu vedou data přes proxy server. Server na druhé straně tak získá pouze
IP adresu proxy.
Někteří výrobci prohledávají pravidelně síť kvůli obecně přístupným proxy
serverům a vytvářejí seznamy, které pak automaticky nebo ručně ukládají.
Otevřené proxy servery tedy bez přihlašování mají tu nevýhodu, že vlastně nikdo
neví, komu patří a jak jsou konfigurovány. Některé z těchto serverů jsou
nastaveny tak, že průběžně ukládají všechny požadované obsahy. Ty se pak při
příštím zobrazení musí ukládat pouze v případě, že byly změněny. Když se
například chcete dostat ke svým e-mailům přes proxy server webmailu, může se
stát, že bude přečtené zprávy průběžně ukládat. Administrátor proxy nebo
hacker, který se do serveru nabourá, si je může přečíst nebo přímo
odposlouchávat datový provoz. Podvodník může vytvořit i vlastní proxy a doufat,
že se dostane do seznamů proxy serverů určitého programu, aby mohl odchytávat
datový provoz mezi uživateli.
Pro anonymní surfování je lepší používat takový software, jehož výrobce
garantuje důvěryhodnost používaných proxy serverů. Jedním z nich je například
neplacený nástroj JAP 00.05.007 (najdete na našem CD).
Nebezpečí v kanceláři: kolegové čtou také
Zvláště vysoké nebezpečí špionáže hrozí v sítích, kde všichni účastníci sdílejí
jeden přístup k internetu. Některé neplacené programy (jako Ethereal 0.10.12
společně s ovladačem Winpcap 3.0) stačí k tomu, abyste mohli odposlouchávat, na
které aukci na Ebay kolega něco nabízí nebo ve kterém chatu se pohybuje.
Jediným předpokladem je síť spojená pomocí hubů. Naštěstí se huby již tolik
nepoužívají. Lepší volbou dnes jsou switche. Od hubů se totiž odlišují v jednom
zásadním bodě: všímají si, na jakém portu switche je počítač s určitou síťovou
adresou připojen. Počítač B tak nepozná na rozdíl od hubu když si počítač A
vyměňuje data s počítačem C.
Existují způsoby, jak jednotlivé počítače v sítích se switchi odposlouchávat.
Program Ettercap změní routovací pravidla napadeného počítače tak, že všechna
data běží přes mezistanici, kterou je počítač špiona a na níž je tak možné data
rovněž přečíst. I bezpečná spojení HTTPS se dají s určitou snahou zmanipulovat
tak, aby špion viděl data v nešifrovaném textu. Takovým útokům se jako
jednotliví uživatelé nemůžeme bránit, může nás ochránit pouze síťový
administrátor, který vše permanentně hlídá pomocí speciálního softwaru.
Své e-maily však můžete před zvědavými pohledy uchránit: používejte kódovací
nástroj jako třeba PGP Desktop 9.0. Program je k dispozici i v sharewarové
verzi, u niž se po třiceti dnech řada funkcí vypne, ale kódování e-mailů
funguje dál.
Datoví špioni číhají v internetových kavárnách
Jisté riziko představuje zadávání přihlašovacích údajů na cizím počítačí v
internetové kavárně. Jen málo internetových kaváren používá speciální software,
který po každé session vrátí systém do předem definovaného základního stavu a
smaže přitom všechna osobní data.
Internet Explorer (IE) může být nastaven tak, aby ukládal všechny hodnoty
zadané do polí formulářů včetně hesel. Již při zadání prvního písmene se v
rámečku s uživatelskými jmény u populárních služeb jako třeba GMX otevře lišta
se všemi uloženými identifikacemi, které začínají tímto písmenem. Související
heslo je sice maskováno hvězdičkami, log-in ale umožňuje. Všechna uživatelská
jména včetně hesel uložená v IE se dají rozšifrovat freewarovým programem
Protected Storage Passview (najdete jej také na našem CD). Můžete jej vyzkoušet
na svém prohlížeči.
U počítače umístěného v internetové kavárně navíc nikdy nevíte, nakolik vážně
bere provozovatel bezpečnostní update. Některé z těchto veřejně přístupných
počítačů jsou přehlceny spywarem. Často jsou zde i keyloggery, které
protokolují všechny stisknuté klávesy. Pokud si nejste jisti, zda se po vašem
sezení všechna data smažou, měli byste se vyhnout přihlašování na webové služby.
Ti z vás, kteří se ani na cestách nechtějí vzdát prohlížení e-mailu, si mohou
zdarma založit další účet a nechat si na něj zprávy ze své hlavní poštovní
schránky převádět. Ne všichni provozovatelé ale tuto funkci nabízejí bezplatně.
Pět podlých triků a jak se proti nim bránit
1Phishing: Podvodníci rozesílají e-maily, které vypadají jako by pocházely od
banky nebo od Ebay. Adresáti jsou pod nějakou záminkou vyzývání, aby kliknuli
na uvedený odkaz. Ten je pak zavede na webovou stránku, která vypadá podobně
jako ta pravá. Zde mají oběti zadat svoje přihlašovací údaje.
Ochrana: Neklikejte na odkazy v e-mailech, ale zadávejte vám známou adresu
služby do prohlížeče ručně.
2Trojské koně: Trojské koně neposílají na vaši adresu jen nakažené e-maily.
Spolupracují s keyloggery, které zaznamenají heslo a pošlou ho zadavateli.
Ochrana: Nainstalujte si antivirový program a stále ho udržujete v
aktualizovaném stavu.
3Obsah homepage: Podvodníci pátrají po osobních stránkách, na nichž autor uvádí
adresu a datum narození. Tyto údaje pak využijí při zakládání různých kont a
jménem oběti draží věci, které nevlastní.
Ochrana: Adresu a datum narození zadávejte pouze tehdy, pokud je to
bezpodmínečně nutné a pouze v oblasti chráněné heslem.
4Krádež dat v internetové kavárně: Na špatně chráněných počítačích v
internetových kavárnách číhají bezpečnostní mezery a trojské koně navíc zde
prohlížeč může ukládat identifikační údaje.
Ochrana: Nepoužívejte v internetových kavárnách webové služby, k nimž se musíte
přihlašovat.
5Odposlouchávání proxy-serverů: Podvodníci napadnou proxy servery, vyhodnocují
dočasně uložená data a odposlouchávají datový provoz.
Ochrana: Nezadávejte žádná osobní data a identifikační údaje, pokud používáte
proxy například v případě anonymního surfování.
PŘEDPLATNÉ
ČLÁNKY DO MAILU