?Phishing?-napadi opasni za online transakcije

Većina hrvatskih tvrtki ne vodi dovoljno računa o informatičkoj sigurnosti, ne zapošljava kompetentnu osobu koja će se brinuti za zaštitu računalnog sustava i programa, ne angažira vanjskog suradnika, čak ne traži ni sigurnosni pregled. A taj se nemar može vrlo skupo platiti.

Piše DANIELA DUJMOVIĆ OJVAN

Početkom prošlog mjeseca puštena je u prodaju piratska verzija ozloglašenog SpyEyea, programa za ostvarivanje neovlaštenog pristupa bankovnim računima. Dostupna je za manje od 100 američkih dolara, što pruža priliku mnogim kriminalcima da nakon minimalnog uloga ostvaruju profit na štetu nedužnih internetskih korisnika.
- U prvoj polovini godine, kad je cijena tog programa još bila vrtoglavih od šest do 10 tisuća dolara, napadnuto je više od dva milijuna računala diljem svijeta - otkriva Neven Biruški, specijalist za sigurnosna rješenja u informatičkoj tvrtki CROZ koja pruža usluge hrvatskom bankarskom i javnom sektoru. 

Na žalost, antivirusni programi sve teže prate i otkrivaju takve napade. Nakon infekcije računala, SpyEye automatski počinje raditi: najprije čeka da se vlasnik zaraženog računala prijavi u sustav internetskog bankarstva, zatim prikuplja podatke o stanju bankovnog računa te ih šalje napadaču koji zatim procjenjuje hoće li će račun isprazniti ili se koristiti njime za prikrivanje tragova. Istodobno zaraženo računalo svom vlasniku prikazuje lažno stanje računa i stvarne transakcije ne prikazuje u ispisu. Da stvar bude gora, banka dobiva informacije da je novčane transakcije inicirao i autorizirao legitimni vlasnik računa. I sad je na potkradenu vlasniku računa da u dugotrajnom postupku pokuša dokazati svoju nevinost i tako ostvari povrat barem dijela izgubljenog novca.

Što su ‘phishing’-napadi
U CROZ-u ističu da ne samo mali korisnici nego i većina hrvatskih tvrtki ne vodi dovoljno računa o informatičkoj sigurnosti, ne zapošljava kompetentnu osobu koja će se brinuti za zaštitu računalnog sustava i programa, ne angažira vanjskog suradnika, čak ne traži ni sigurnosni pregled. Stoga savjetuju da se osim instalacije antivirusnih programa odredi i posebno zaštiti računalo kojim će se obavljati financijske transakcije i kojem će pristup imati samo ovlaštene osobe.  Bar jedanput na tjedan trebalo bi na računalo postaviti najnovije verzije svih upotrijebljenih programa i odabrati što sigurniji operativni sustav kako bi se smanjili troškovi nabave i održavanja te podignula razina sigurnosti. Do prije nekoliko godina maliciozni softver imao je najveći postotak svih sigurnosnih incidenata na računalima. Danas tu ulogu preuzimaju napadi na korisnike interneta poznati kao ‘phishing’, odnosno lažno predstavljanje ili imitiranje web-stranica raznih institucija i online aukcijskih kuća na kojima korisnik, ne znajući da je riječ o lažnim stranicama, ostavlja osjetljive osobne informacije. Pristup tim stranicama obično dobiva e-porukom, a otvaranjem linka biva preusmjeren na maliciozne web-stranice. Primjerice, nađene su 26 različite konfiguracije Zeusa čiji je cilj napad na Money Bookers, servis koji pruža uslugu online plaćanja. Zeus krade korisničke informacije kao što su korisnička imena i zaporke te drugi osjetljivi podaci. 

Ilegalni softveri
Osim posjećivanja rizičnih web-stranica računalo se može zaraziti uporabom ‘zaraženih’ izmjenjivih medija poput prijenosnih diskova (USB-ova) i stikova, CD i DVD ROM-ova, raznih alata za dijeljenje P2P-sadržaja od kojih su najpoznatiji ‘torrenti’, privici u porukama i slično. Računalo se može inficirati i spajanjem na internet ako softver nije primjereno sigurnosno zaštićen.  Znatna prijetnja sigurnosti računala jest i mnogo ilegalnih softvera instaliranih na računala. Naime, ilegalnom softveru proizvođači ne nude potporu u obliku zakrpa i nadogradnji, stoga je mnogo korisnika izloženo sigurnosnim prijetnjama i rizicima na internetu. Kako bi se zaštitili od zloglasnog Zeusa, korisnici online plaćanja moraju zaštiti svoje računali i koristiti se sigurnim preglednicima s najnovijim zaštitama i zakrpama. Također treba izbjegavati uporabu računala u javnim mrežama ili tuđih računala.  Direktor Direkcije za podršku kartičnom poslovanju u Hrvatskoj poštanskoj banci (HPB) Vlatko Galić savjetuje korisnicima online plaćanja da podatke o karticama ne ostavljaju na interentskim stranicama sumnjiva sadržaja i da je pri plaćanju najbolje zatvoriti sve ‘prozore’ osim onog na kojem se plaća. Poželjno je koristiti se svim dostupnim sustavima zaštite plaćanja (unos troznamenkastog koda najčešće je dovoljan za sprečavanje prijevara, a još veću sigurnost pružaju sustavi SecureCode i VbV), a računalo je najbolje opremiti dobrom antivirusnom zaštitom, vatrozidom i sličnim.  Uza sve to preporučljivo je često pratiti kartični promet. HPB  uskoro planira klijentima ponuditi uslugu plaćanja na internetu i unosom zaporke. Taj sustav nudi najviši stupanj sigurnosti i gotovo je jednako siguran kao unos jednokratne zaporke pri prijavi na internetsko bankarstvo.

Zamke za pametne mobitele
Veći rizik od malicioznog softvera danas je izražen i na mobilnim uređajima, na koje korisnici spremaju povjerljive podatke i kojiima sve više plaćaju račune ili se spajaju na bankarske aplikacije. Miljenko Graovac, voditelj Vipnetova Odjela upravljanja korisničkim uređajima i razvoja proizvoda, ističe da za početak treba izbjegavati instalaciju neprovjerenih aplikacija. To se, prije svega, odnosi na pametne telefone (iPhone, iPad, Android...) kod kojih se može razviti napredne aplikacije čiji sadržaj i način rada mogu prouzročiti uništavanje sadržaja na mobilnom uređaju, nekontrolirano dijeljenje informacija, nabijanje dodatnih troškova radom aplikacije i sl. Stoga u Vipnetu savjetuju da se pri instaliranju aplikacija pozorno pročitaju uvjeti uporabe i prouče kojim sadržajima aplikacija ima pristup. Oni koji posjeduju mobitele starije generacije ne moraju biti toliko zabrinuti jer je mogućnost zaraze softvera virusima manja s obzirom na ograničene mogućnosti uređaja.
U Vipnetu dosad nisu zabilježili specifične viruse koji haraju svijetom mobilnih uređaja. Neželjene učinke najviše izazivaju neprovjerene aplikacije koje korisnici razmjenjuju i skidaju Bluetoothom, MMS-om, e-poštom te pretraživanjem interneta. Slično kao za račune osnovno je pravilo zaštite pri uporabi mobitela neprihvaćanje poruka i sadržaja iz nepoznatih izvora, posebice e-poruka kojima se pojedincu obećava materijalna dobit, sumnjive nagradne igre, apeli za pomoć i slično.