Jak (ne)bezpečné může být elektronické bankovnictví?

Je to sice pohodlnější a rychlejší, ale je to také bezpečné?

Ve spleti dnešních informačních technologií je totiž pár skulin, kterými vám může někdo během pár minut vykrást bankovní účet, sebrat vaše data nebo vás třeba „jen“ ztrapnit či zdiskreditovat před rodinou, přáteli a kolegy rozšiřováním pochybných videí z vašeho profilu na sociální síti (tzv. clipjacking).

Přes distribuci falešných aplikací na mobilní telefony, jejichž počet hlavně díky smartphonům stále stoupá, lze poměrně jednoduše rovněž provádět podobné operace včetně zasílání zpoplatněných prémiových SMS. Stačí, aby vám útočník nasadil do počítače, telefonu nebo třeba tabletu tzv. malware, což je „škodlivý software“ různého druhu, který používají dnešní kyberzločinci pro nezákonné aktivity. To vše v globálním měřítku.

Jednou z nejzávažnějších bezpečnostních hrozeb, které se na internetu dnes a denně vyskytují, je právě krádež přihlašovacích údajů do internetového bankovnictví. K jejímu provedení nejsou třeba vysoká programátorská odbornost ani znalosti hackera, který se umí nabourat do sítě Pentagonu.

Nebezpečný banker

Programové vybavení pro získávání cizích přihlašovacích údajů se nazývá „banker“, a čím je propracovanější a věrohodnější, tím spíše se mu podaří uživatele infikovat. Tvůrci bankerů se proto nejčastěji zaměřují na země, kde není příliš vysoká počítačová gramotnost nebo vědomí antivirové ochrany počítačů. Velké množství případů bylo zaznamenáno v Brazílii a Rusku.

V České republice AVG VirusLabs zachytily zatím pouze bankery v neohrabané češtině, která zjevně pochází z automatického překladače, a je proto pro uživatele snadno rozpoznatelná jako malware. To ale neznamená, že po síti neputují bankery, které by si své oběti nenašly. Čeští uživatelé však bohužel tuhle možnost podceňují, někteří ji dokonce vylučují jako nepravděpodobnou.

Jak konkrétně vypadá útok bankerem? Možností je spousta, ale časté jsou tři následující scénáře. Může dojít k přesměrování na podvržený server, k otevření podvrženého linku nebo k „odposlechu hesel“ pomocí tzv. keyloggeru.

K přesměrování může dojít například ve chvíli, kdy uživatel otevře e-mailovou přílohu, do níž je banker vložen. Může se například jednat o upozornění na potřebnou bezpečnostní či programovou aktualizaci. Malware pak začne využívat systém počítače hostitele a uživatele přesměruje na jinou stránku, která vypadá zcela identicky jako ta, kterou by si uživatel otevřel.

Tato identická stránka je ale vytvořena útočníkem a v momentě, kdy se uživatel přihlašuje do svého internetového bankovnictví, poskytuje zároveň nevědomky své údaje útočníkovi. Fiktivní přihlášení se jakoby nezdaří, většinou se objeví informace o probíhající údržbě serveru či jakákoliv smyšlená chyba. Pro útočníka to je jednoduchá a snadno proveditelná záležitost.

Další typy ataků na bankovnictví

Na podobném principu funguje i zaslání podvrženého linku. V tomto případě najde uživatel ve své e-mailové schránce konkrétní link, na který má kliknout, pokud chce provést například opět nějakou aktualizaci, kontrolu apod.

Link ale vede jinam, než se uživateli zobrazí. Uživatel se opět přihlásí na stránku, která zdánlivě vypadá jako pravá webová stránka konkrétní banky. Stejně jako v předešlém případě je ale vytvořena útočníkem, který takto dostane vaše přihlašovací údaje. Tato metoda je ještě jednodušší než ta předchozí. Naštěstí už některé (aktualizované) webové prohlížeče a klienti elektronické pošty umějí falešné linky rozpoznat, uživatele upozornit anebo je z e-mailu odstranit.

Třetím nejčastějším způsobem, který může útočník použít, je tzv. keylogger. Hacker vloží do souboru nebo na určený internetový server, například server s finančními službami, škodlivý kód, který začne uživatele monitorovat. Hacker má tak perfektní přehled o tom, co v které chvíli uživatel na síti provádí, jakou aplikaci kdy otevře a hlavně jaké klávesy použil.

Ukládat se mohou dokonce i náhledy obrazovky v okamžiku kliknutí myši. Cesta k přihlašovacímu heslu je volná! Uživatel se mezitím přihlásí do svého internetového bankovnictví a vůbec netuší, že je takto sledován.

Účinná ochrana

Lze se proti těmto zákeřných útokům nějak bránit? Určitě ano, receptů existuje hned několik. Pravidelně aktualizujte svůj antivirový program doma i ve firmě (což většina Čechů podle ankety, kterou v srpnu prováděla společnost AVG, nedělá), kontrolujte své telefonní účty, pečlivě si pročítejte jednotlivé odkazy, na které chcete kliknout (někteří kyberzločinci sázejí na nepozornost uživatele a používají odkazy téměř shodné s legitimně existujícími stránkami, důležité je zde ovšem slovo téměř).

Ve svém internetovém bankovnictví nastavte nejlepší možné zabezpečení a také zaznamenávání všech operací (je-li to možné). Než si nainstalujete novou aplikaci, zjistěte si o ní a jejím původu více informací, čtěte uživatelská fóra.

Pokud objevíte neobvyklé chování svého počítače nebo telefonu, nebojte se to konzultovat s odborníky, případně to nahlásit na policii. Pokud vám totiž chce útočník „vyluxovat“ kapsu, nemusí na to vždycky jít jen přes nabourané internetové bankovnictví.

Konkrétním případem právě z Česka mohou být podvržené webové stránky mistrovství světa ve fotbale, kde se s neinformovanými uživateli z neoficiálních stránek uzavíraly smlouvy na služby za úplatu a zasíláním výhružných e-mailů z nich poté peníze vymáhaly. Zakoupené služby přitom byly ve stejné době na oficiálních stránkách mistrovství zdarma.

Malware z nás proto umí vytáhnout peníze, i když nemáme internetové bankovnictví a chodíme raději muchlat papírky s pořadovým číslem do banky.

Autor pracuje jako manažer VirusLab ve společnosti AVG Technologies