Jak bank uchronił klientkę przed nią samą oraz przed przestępcami

dodał 17 lutego 2018 o 19:09 w kategorii Wpadki  z tagami: • • •
Jak bank uchronił klientkę przed nią samą oraz przed przestępcami

Lubimy czytać Wasze historie. Ich lektura jest dla nas bardzo pouczająca. I mimo że przeczytaliśmy ich naprawdę sporo, to ciągle potraficie nas zaskakiwać i pokazywać, że rzeczywistość wyprzedza naszą wyobraźnię. Tak było także i tym razem.

Gdy opisujemy ataki na polskich internautów, często krótko po publikacji zgłasza się do nas kilka osób z informacją, że też padli ofiarami podobnego lub identycznego oszustwa. Nie inaczej było po naszym artykule o atakach podszywających się pod markę Dotpay.

„Trochę to było podejrzane”

Napisała do nas Czytelniczka. Pierwszego emaila cytujemy poniżej w całości. Zanim jednak skomentujecie artykuł, przeczytajcie go do końca.

Dzień dobry. Pisze ponieważ jakiś czas temu chciałam coś kupić przez olx. Umówiliśmy się że sprzedającym na kuriera i on go zamówił ja miałam tylko opłacić , dostałam link ale przy próbie otwarcia włączyły się zabezpieczenia antywirusowe. Spróbowałam że starego komputera którego do niczego nie używam mimo tego że trochę to było podejrzane i udało się strona dotpay się wyswietlila. Niestety był problem że zrobieniem przelewu więc odpuściłam. Jakiś czas po tym zdarzeniu próbowałam zalogować się na swoje konto bankowe a tu niespodzianka , nie mogłam się zalogować mimo tego że nigdy nie pomyliłam hasła do konta a taka właśnie informacja się wyswietlala. Jeszcze go nie odblokowalam choć minęło dwa miesiące , loguje się przez profil męża do tego konta żadne pieniądze nie zginęły , bo bym to zauważyła ale podejrzewam że konto ktoś zhakowal. Jak je teraz zabezpieczyć w banku ?

Po lekturze tej wiadomości kilka razy przecieraliśmy oczy i szczypaliśmy się w ramię, by upewnić się, że ta wiadomość się nam nie przyśniła i dobrze ją przeczytaliśmy. Niestety jak widzicie treść wiadomości nie pozostawiała wiele wątpliwości. Czytelniczka była ofiarą jednego ze znanych scenariuszy ataku. Oszust wystawia atrakcyjną ofertę w serwisie OLX, ofiara chce skorzystać, kontaktuje się z oszustem i następnie otrzymuje link do „opłacenia kuriera”, gdzie przestępca, identycznie jak w innym oszustwie, próbuje wyłudzić dane do logowania do banku oraz kod zatwierdzający zdefiniowanie przelewu zaufanego dzięki fałszywej stronie Dotpay.

Zrzut ekranu analogicznego scenariusza oszustwa

„Przy próbie otwarcia włączyły się zabezpieczenia antywirusowe”

Tu następuje kulminacja opowieści. Ofiara klika w linka i system antywirusowy lub przeglądarka sygnalizują, że strona, na którą próbuje wejść, jest niebezpieczna. Taki alert mógł wyglądać na przykład tak:

Nie mogąc pokonać przeszkody (dobrze zaprojektowany mechanizm bezpieczeństwa, który nawet w miarę zdeterminowanemu klientowi nie pozwala zrobić sobie krzywdy), ofiara postanowiła zalogować się z drugiego komputera, gdzie nie miała systemu antywirusowego. Jak sama mówi „trochę to było podejrzane” albo udało się i strona „Dotpay” się wyświetliła. Horror zatem trwa dalej. Ofiara podjęła próbę realizacji „przelewu”, oddając przestępcom prawdopodobnie dane uwierzytelniające do rachunku, a być może także kod jednorazowy. Nie podjęła żadnych dalszych działań. Gdy jakiś czas później próbowała zalogować się na konto, okazało się, że jej hasło nie działa. Tym też nieszczególnie się stresowała, ponieważ z konta męża mogła zweryfikować sytuację na swoim rachunku i nie zauważyła by środki z konta zniknęły.

„Zawsze wszystko dokładnie sprawdzam”

Poradziliśmy Czytelniczce jak najszybszy kontakt z bankiem i zapytaliśmy, czy możemy podzielić się z Wami jej historią. Odpowiedziała:

Jak najbardziej, właśnie dzięki takim wpisom w internecie wpadłam na to że ktoś mógł zhakowac moje konto bankowe. Zawsze wszystko dokładnie sprawdzam a tym razem głupio się przyznać ale dałam się chyba podejść.

Gdy dążyliśmy do wyjasnienia dalszych okoliczności zdarzenia dowiedzieliśmy się, że:

osoba od której chciałam kupić ta rzecz (to była rzecz dla dziecka), podała mi niby swój adres bo podejrzewam teraz że nie był prawdziwy. Mało tego proponowałam że mogę podjechać odebrać osobiście, ale zero odezwu na ta prośbę tak samo jak na prośbę podania numeru konta osobistego do normalnego przelewu( czyli robię wplate bezpośrednio do kupującego jak na allegro a on opłaca kuriera). Po tym już wogole nabrałam podejrzeń, ale pewnie już było za pozno.  Jak po tygodniu czy dwóch, po próbie zalogowania na konto okazało się że jest błędne hasło, mimo tego że wpisywałam prawidłowe to zadzwoniłam do banku i okazało się że konto faktycznie jest zablokowane. Jedyny plus to taki że do jednego konta mam kartę kodów a do innego tokena być może dlatego nie zginęły pieniądze z konta bo nie posiadam kodów SMS.

Wygląda zatem na to, że zbieg okoliczności (inna metoda uwierzytelnienia) mógł szczęśliwie utrudnić zadanie złodziejowi. Zapytaliśmy, jak wyglądała reakcja banku i usłyszeliśmy, że:

Jeśli chodzi o bank to pko bo sa. Jak poszłam do nich to jedynie nowe hasło do konta dostałam i to wszystko, mimo tego że powiedziałam o wszystkim.

Najwyraźniej Czytelniczka udała się do oddziału, gdzie udzielono jej jedynie pomocy w odblokowaniu konta i nikt nie był zainteresowany analizą historii kradzieży. Trzeba jednak oddać honor bankowi, który konto Czytelniczki zablokował – i to prawdopodobnie mogło także przyczynić się do uratowania jej środków na rachunku.

Co robić z takimi ludźmi?

Długo myśleliśmy nad tą sprawą. Nie da się ukryć, że ofiara maksymalnie ułatwiła zadanie przestępcy:

  • zignorowała wyraźne sygnały oszustwa (brak możliwości odbioru osobistego, unikanie zwykłego przelewu)
  • zignorowała ostrzeżenie przeglądarki / antywirusa (!!!)
  • zignorowała incydent i zgłosiła go dopiero gdy okazało się, że ma zablokowane konto w banku.

Czy to znaczy, że jest sama sobie winna? Tak. Czy to znaczy, że powinniśmy pozwalać na to, by została okradziona? Zdecydowanie nie. Pozwalając osobom zachowującym się tak jak w powyższym przykładzie na bycie ofiarami przestępstwa napędzamy zyski złodziei i motywujemy ich do dalszych wysiłków w dokonywaniu kolejnych oszustw. Jeśli faktycznie mamy dążyć do poprawy bezpieczeństwa transakcji finansowych w sieci, to musimy walczyć o bezpieczeństwo każdego użytkownika – nawet tego, który bardzo chce zrobić sobie krzywdę.

Nie wiemy, czy w tym scenariuszu ostatecznie o wyniku ataku zadecydował przypadek (inna metoda uwierzytelnienia), niekompetencja atakującego (być może popełnił jakiś błąd) czy interwencja banku (prawdopodobna ze względu na zablokowany rachunek). Wiemy, że mechanizmy bezpieczeństwa zadziałały. Komputer nie chciał pozwolić na wejście na stronę oszusta, a bank konto zablokował. Powyższy przykład pokazuje, że musimy rozwijać takie mechanizmy bezpieczeństwa, których klient, nawet mimo nieświadomie złych intencji, nie będzie w stanie sam ominąć. Wiele pracy jeszcze przed nami.

Jedno z rozwiązań

Oprócz opisywania takich incydentów na stronie, przekazujemy także wiedzę o tym, jak wyglądają ataki, na spotkaniach z pracownikami firm w całej Polsce. Często dopiero demonstracja ataku na ekranie przemawia do wyobraźni potencjalnych przyszłych ofiar. Zrób prezent sobie, swojej firmie i pracownikom i zaproś nas na wykład – przyjedziemy, opowiemy, nauczymy i ostrzeżemy.

Podobne wpisy