Cum puteţi preveni atacurile de tip phishing

▲ Tot mai mulţi clienţi ai băncilor devin victimele atacurilor de tip phishing ▲ Potrivit Inspectoratului General al Poliţiei Române, numărul acestora a crescut în mod semnificativ de la începutul anului, Symantec, furnizor de soluţii de securitate, anunţând că 5% din totalul site-urilor de tip phishing au fost detectate în România, ceea ce face ca ţara noastră să se claseze a treia în lume, după China şi Statele Unite, şi prima în Europa ▲

De la începutul acestui an, fraudele cu cărţi de credit au cunoscut o creştere exponenţială, înregistrându-se numeroase cazuri de persoane, depistate la bancomate în România, care folosesc cărţi de credit în mod fraudulos. De asemenea, s-a constatat o creştere a atacurilor tip phishing îndreptate împotriva instituţiilor bancare din România, precum şi a numărului de cazuri semnalate de autorităţi străine, în care cetăţeni români sunt depistaţi comiţând astfel de fraude la bancomate. Potrivit Inspectoratului General al Poliţiei Române, principalele moduri de operare ale infractorilor sunt skimmingul, care constă în instalarea de dispozitive la bancomate sau POS-uri, prin care sunt copiate datele de pe benzile magnetice ale cărţilor de credit care, ulterior, sunt folosite pentru inscripţionarea unor noi cărţi de credit, şi phishing-ul, care reprezintă crearea unor pagini web false şi transmiterea de mesaje către diverse persoane, în scopul obţinerii unor date de identitate pentru internet sau cărţi de credit. Informaţiile despre cărţile de credit, conturile de utilizatori, conturile de e-banking, obţinute prin cele două metode, pot fi folosite pentru plata unor servicii sau achiziţionarea de bunuri prin internet, efectuarea de transferuri de bani sau folosirea identităţii celui ale cărui date au fost furate.

Metode de combatere a phishing-ului

O modalitate de combatere a atacurilor pe internet constă în explicarea şi instruirea utilizatorilor cu privire la modul de reacţionare la astfel de atacuri. O altă măsură eficientă constă în verificarea autenticităţii mesajului electronic cu persoana sau instituţia comercială sau financiară în cauză.

Astfel, la primirea unui mesaj în care sunt solicitate informaţii referitoare la codul PIN sau date cu caracter personal, este esenţială verificarea sursei şi contactarea telefonică a instituţiei bancare, cerând date suplimentare. De asemenea, nu executaţi „click“ niciodată pe linkuri din mailurile ce par că vin de la vreo bancă fără să verificaţi dacă adresa de internet corespunde site-ului real al băncii.

Potrivit companiei BitDefender, în acest fel de atacuri, sistemul informatic al băncii nu este nici o clipă în pericol şi banii clientului sunt în siguranţă atât timp cât nu vor introduce numele de utilizator şi parola decât pe site-ul băncii. De asemenea, există şi modalităţi tehnice anti-phishing prin folosirea unui soft special. Potrivit BitDefender, noile versiuni ale navigatoarelor Microsoft Internet Explorer şi Mozilla Firefox includ deja module anti-phishing.

Mesajele electronice sunt trimise în numele băncilor

Tentativele de furt de date personale s-au înmulţit în ultima perioadă extrem de mult, aproape săptămânal clienţii băncilor fiind ţinta atacurilor de phishing.

De cele mai multe ori, infractorii trimit mailurile prin care solicită informaţiile de identificare nu doar clienţilor băncii. Phishing-ul are mai multe feţe, metodele de păcălire ţinând atât de limbajul utilizat, cât şi de grafica site-urilor, ca, în final, să se ajungă la solicitarea datelor personale. După câteva ore, site-urile false sunt închise.

Spre exemplu, clienţii Raiffeisen Bank au primit mailuri prin care li se cerea să aplice un nou program pentru securitatea conturilor lor, însă, pentru acest lucru, trebuiau introduse datele personale de identificare.

Clienţii Piraeus Bank au fost înştiinţaţi printr-un mesaj, aparent trimis de angajaţii băncii, că au „3 rate restanţe la linia de credit cu ipotecă CASAcum“. Clienţii erau, apoi, informaţi că, în cazul neîndeplinirii obligaţiilor contractuale, „banca este în drept să declare scadenţa anticipată a creditului“. În final, era postat un link prin care clienţii erau invitaţi să contacteze Piraeus Bank „privind linia de credit cu ipotecă“, însă adresa nu avea nici o legătură cu instituţia bancară.

Alte două atacuri de tip phishing asupra clienţilor BCR şi Raiffeisen Bank au arătat multe similarităţi, de la mesaj până la elemente grafice comune, şi au folosit o nouă metodă, „originală pentru piaţa din România, mult mai greu de depistat de produsele anti-phishing“, susţin specialiştii BitDefender. În ambele cazuri, conţinutul mesajelor informează utilizatorii serviciilor bancare electronice despre suplimentarea măsurilor de securitate, solicitându-le, totodată, să confirme anumite date confidenţiale, pentru a-şi putea accesa conturile on-line. „S-a renunţat la metoda deja clasică a introducerii unui simplu hyperlink către un site unde se cer detaliile despre numărul cardului, PIN-ul şi data expirării, preferându-se anexarea unei pagini HTML care trimite datele către un server. În acest fel, utilizatorul nu mai accesează un site aflat la distanţă (caz în care ar putea observa că domeniul încărcat e diferit), ci trimite datele prin intermediul unui script PHP (referinţa către script este vizibilă doar din codul-sursă al paginii HTML anexate)“, susţin specialiştii BitDefender, pe site-ul oficial al companiei.

Succesul atacurilor depinde atât de metodele de manipulare folosite de phisheri, cât şi de numărul cât mai mare de clienţi care au primit astfel de mesaje.

▲ Recomandările IGPR pentru protecţia informaţiilor personale:

- nu accesaţi linkul transmis în conţinutul e-mailului;

- verificaţi în browser numele site-ului, pentru a observa diferenţa faţă de site-ul original al acestei instituţii; se va accesa site-ul original direct şi nu prin accesarea linkului fraudulos;

- contactaţi banca sau instituţia financiară pentru a verifica dacă au transmis astfel de mesaje; în politica băncilor nu se practică astfel de procedee pentru solicitarea datelor confidenţiale;

- nu divulgaţi niciodată datele confidenţiale despre conturile de card (număr de card, data expirării, codul PIN) sau user-ul şi parola aferentă conturilor de e-banking;

- nu divulgaţi codul PIN nimănui; persoanele care se pretind a fi angajaţi ai băncii şi solicită astfel de date, telefonic sau prin e-mail, sunt nişte impostori.