#NOHACK Podcast - Cum îți protejezi banii online și atunci când faci plăți?

Am discutat despre Safe Banking și despre cum ne ținem în siguranță banii și informațiile bancare de atacatorii cibernetici alături de Bogdan Botezatu, Director of Threat Research & Reporting, Bitdefender, și de Alin Becheanu, Head of Fraud Monitoring and Prevention, ING Bank România.

Pentru că tentativele de phishing sunt din ce în ce mai numeroase, dar și din ce în ce mai sofisticate și greu de detectat, ING și Bitdefender au lansat un parteneriat pentru a încuraja utilizatorii să folosească soluții de securitate pentru a-și proteja datele și a preveni fraudele.

Toți clienții ING vor putea testa gratuit soluția Bitdefender Total Security timp de 30 de zile. Oferta poate fi accesată direct în Home’Bank. Ulterior, clienții ING pot achiziționa soluția Bitdefender Total Security, disponibilă pe 5 dispozitive, la un preț preferențial. 

Am povestit pe larg cu Bogdan Botezatu și Alin Becheanu despre phishing bancar, cum îl recunoaștem, despre importanța de a folosi soluții de securitate cibernetică pentru a ne proteja atât dispozitivele de pe care facem online banking. Am aflat de la cei doi experți în securitate cibernetică sfaturi pentru a ne asigura că ne păstrăm în siguranță banii, datele cardurilor și ale conturilor bancare.

Poți urmări discuția în video-ul de mai sus sau principalele declarații mai jos. 

Ce este phishing-ul și cum identificăm phishing-ul în domeniul bancar

Bogdan Botezatu:

În spatele numelui este așa foarte înfiorător se află de fapt un hacker, un atacator informatic, care încearcă să afle informații confidențiale despre tine impersonând o autoritate.

”Introduceți numele, prenumele, datele cardului respectiv. Dacă nu introduci datele astea, vei avea contul suspendat și nu mai poți face plata”. În momentul în care completăm formularul respectiv, tocmai am căzut pradă unei tentative de phishing. 

Alin Becheanu:

Eu aș începe cu o scurtă poveste, a Mariei, o cunoștință care este genul de persoană care știe peste tot unde sunt reduceri, obține discount-uri, obține vouchere, obține absolut tot ceea ce se poate obține atunci când e vorba să faci shopping și e tot timpul la curent cu toate noutățile.

Însă ea de fiecare dată când obține voucherele respective, uită că introduce și niște detalii. Date personale poate data nașterii, nume, prenume, date de contact, număr de telefon, adresă de email.

Și acesta este și motivul pentru care primește mai departe acele reduceri, pentru că își da datele sale mai departe acelui furnizor.

Ce s-a întâmplat într-o zi însă este faptul că printre mesajele alea cu atât de multe reduceri a primit și un SMS care scurt anunța acolo că este din partea unei firme de curierat, pachetul este pe drum, trebuie să intre repede pe link-ul respectiv, să achite o sumă modică de 2 lei astfel încât să poată să obțină și pachetul respectiv, să ajungă în timp.

Astfel poate să finalizeze tranzacția respectivă, deși dacă stătea câteva minute să se gândească nu avea niciun pachet, nu făcuse nicio comandă, însă pachetul respectiv era pe drum. 

Ce s-a întâmplat mai departe? Intri pe link-ul respectiv, introduci datele cardului, codul CVV2, numărul cardului, data expirării și bineînțeles că a crezut că totul e în regulă și că mai departe urmează să vină pachetul.

De fapt, a primit o serie de notificări din partea băncii în care vedea că face foarte multe tranzacții, deși ea nu era nici măcar autentificat în aplicația bancară, motiv pentru care, bineînțeles, a făcut primul pas a să sune la bancă și să vadă ce se întâmplă cu contul ei și să-și blocheze, bineînțeles, carduri, respectiv e pe care se făceau tranzacții.

Ei bine, acesta e un exemplu cât se poate de simplu despre cum ne poate afecta pe noi phishing-ul. 

Și că dacă ne gândim puțin, nimic nu este gratis. Atunci când obținem acele discounturi sau acele reduceri, plătim de fapt datele noastre și s-ar putea să fie un preț mult prea mare pe care îl plătim pentru pentru securitatea noastră și pentru securitatea datelor.

Atacuri phishing rafinate 

Bogdan Botezatu: 

Una dintre tentativele la care se lucrează foarte atenți sunt cele care vizează conturile de Office 365, de exemplu.

Atacatorii care vizează conturile acestea vor acces în organizații. Nu vor acces la banii tăi de buzunar, nu-i interesează parola de la contul tău de Netflix, vor acces în organizație pentru că de acolo pot lansa un atac cu ransomware, pot compromite zona de active directory și pot compromite securitatea unei întregi companii, nu a unui utilizator.

La atacurile acestea se lucrează săptămâni întregi. Paginile sunt atent aduse, sunt strecurate în niște mesaje de e-mail foarte atent puse la punct, cu puține sau zero greșeli gramaticale.

Totul este foarte cizelat în așa fel încât un potențial angajat să poată pica în plasa acestora.

Alin Becheanu:

De fiecare dată când vedem un link într-un mesaj care ne cere să ne autentificăm în aplicația bancară sau să ne introducem datele noastre de card, numărul cardului, codul CVV2 de pe spate sau data expirării, trebuie să înțelegem cumva că e o problemă.

Nicio bancă din lume ne ne va trimite un link, fie el într-un mesaj email, WhatsApp, SMS sau orice altă formă de comunicare.  Chiar și dacă banca ne cere să ne actualizăm datele, ceea ce e obligație legală pe care o avem, tot ar trebui să mergem la bancă, într-un mediu securizat. 

Furtul de date personale în corelație cu activitatea noastră bancară 

Bogdan Botezatu: 

Cu niște informații scrise pe un card de credit poți aduce complicații mari și băncii, și vieții tale financiare.

Am văzut creșterea aceasta semnificativă a atacurilor de phishing în zona bancară strict din cauza faptului că, probabil, phishing-ul bancar este unul dintre cele mai lucrative tipuri de phishing în România. De la zero, la avem bani să dăm petrecere trec câteva minute. 

Cum își protejează ING clienții de fraude bancare

Alin Becheanu:

Sunt produse și funcționalități noi pe care băncile le-au adus pentru a ajuta utilizatorul să fie mai responsabil.

De exemplu, în momentul în care vrem să facem o plată avem posibilitatea să vedem și numele persoanei către care trimitem suma de bani respectivă. 

La ING am reușit să facem acest lucru împreună cu alte 2 bănci, în cadrul unui pilot, astfel încât atunci când transferi bani din ING într-o altă bancă, să te asiguri că banii ajung către cine trebuie. Vezi, bineînțeles, numele persoanei respective. Și atunci știți sigur că nu ai fost păcălit și că banii au ajuns într-o altă parte.

Sfaturi pentru un comportament online responsabil

Bogdan Botezatu:

Eu cred că cei trei stâlpi ai securității sunt oamenii, tehnologia și procesele. Cred că ar trebui să acoperim toate cele trei sfere mari de securitate în așa fel încât să ajungem la tranzacții care sunt bulletproof și care nu pot fi deturnate. Începem cu oamenii. Aici e vorba de atenție și educație.

În cazul unei tranzacții oamenii trebuie să știe că, în general, pentru plăți, dacă vrei să le efectuezi, ai nevoie de datele de card. Dacă vrei să le primești, ai nevoie de contul IBAN. 

Partea de procese: fă-ți un proces mental prin care cumperi întotdeauna de la un o companie cu care ai mai interacționat.

Tehnologia: aici intervin furnizorii de servicii de securitate, cum suntem noi. Să ai o soluție de securitate pe telefonul mobil, pe laptop-ul de acasă este absolut necesar pentru că te scutește de foarte multă fricțiune și distribuire a atenție în diverse zone să vezi dacă linkul e OK, legitim sau nu.

Alin Becheanu: 

Pentru utilizatorii obișnuiți  le-aș recomanda să țină de un singur acronim: SAFE.

S - sisteme actualizate. Fie că folosim un dispozitiv, fie că folosim mai multe, întotdeauna sistemul de operare trebuie la zi. De ce? Pentru că prezintă mai departe riscuri, astfel încât să creeze breșe de securitate și să obțină date din sistemul nostru.

A – antivirus. O soluție care să te ajute atunci când ai orice dispozitiv pe care îl folosești în online. Navighezi de la simplele spam-uri pe care le primești, până la acele link-uri, mesaje sau orice altceva care îl primești cu propuneri de afaceri pot fi detectate de o aplicație antivirus care îți poate spune ”uite, acesta e un mesaj spam”.

F – fii informat. Ce înseamnă asta?, ce facem noi la ING? În primul rând, partea asta de conștientizare pe care noi o facem în mod constant are rolul de a aduce cumva utilizatorilor această informație de care au nevoie. 

E – educație. Sunt funcționalități pe care le dezvoltăm în mod constant, astfel încât clienții să se simtă din ce în ce mai mult protejați și informați și răspunzători și responsabili de ceea ce se întâmplă cu conturile lor.

De exemplu, poți să-ți setezi din aplicația bancară să-ți setezi limite de tranzacție. Poți să nu faci nici o tranzacție online, să setezi limita zero pentru o anumită perioadă de timp. Totodată, poți să-ți blochezi cardul dacă ai suspiciuni într-un anumit moment și să-l blochezi până când elucitezti ce se întâmplă acolo ai posibilitatea să verifici unde au fost înregistrate cardurile tale.

Parteneriat Bitdefender – ING 

Alin Becheanu:

Foarte importantă pentru noi este securitatea clienților în mediul online. Și de cele mai multe ori, un client nu folosește dispozitivul doar ca să navigheze în aplicația bancară, ci folosește ca să intre și pe diverse rețele de socializare, pe web.

Alăturii de colegii de la Bitdefender am reușit să facem acest parteneriat pentru că ne dorim să oferim clienților ING un mediu cât mai sigur, astfel încât să poată să-și navigheze pe într-un mod în care le face plăcere pe internet, dar în același timp să fie și în siguranță cu dispozitivul lor, să fie safe pe internet.  

Cum te poate ajuta banca după ce ți-au fost furate datele bancare 

Alin Becheanu:

Primul pas este să suni la bancă, în funcție de canalul prin care s-a făcut tranzacția respectivă. De exemplu, ai observat că e o fraudă cu cardul. Poți să intri tu direct în aplicația bancară și să-ți blochezi cardul respectiv.

Sau suni în call center-ul băncii și acolo un operator te va ghida, îi vei spune exact ce s-a întâmplat, că nu recunoști anumite tranzacții și te va ghida cu tot procesul, astfel încât să poți să-ți blochezi cardul respectiv definitiv, să-ți remită un nou card și să verifice toate acele tranzacții pe care în mod normal tu nu le recunoști.

Cel mai important lucru pe care trebuie să-l ținem minte este că e bine să sesizăm cazurile respective și către autorități, către poliție, către Directoratul Național pentru Securitate Cibernetică, pentru că în felul acesta reușim să protejăm și alte persoane. 

Cum te ajută o soluție de securitate bună?

Bogdan Botezatu:

O soluție de securitate bună ar încerca să oprească un atac în toate stadiile lui de viață.

Pornește ca un mesaj pe care îl primim în email. O soluție de securitate bună va identifica acel mesaj ca fiind spam și îl va trece în folderul de spam, undeva unde noi nu mai putem da click pe link-ul respectiv, pentru că tot ce este în folderul de spam link-urile dezactivate.

Să zicem că ignorăm chestia asta și continuăm să mutăm în inbox, de unde putem da click pe link momentul respectiv. Modulul de anti-phishing din soluție va intra în alertă și va încerca să blocheze pagina respectivă, pentru că detectăm anumite elemente care nu sunt 100% în conformitate cu felul în care ar trebui să arate o pagină.

Dacă totuși ignorăm respectivul mesaj din nou și completăm formularul respectiv, nu ni se va da voie să trimitem formularul respectiv mai departe, pentru că intră în categoria credențiale sensibile pe care nu le putem trimite chiar către orice altă pagină.

Sfaturi pentru a te proteja de atacatorii cibernetici

• Nu transmite codul primit de la bancă prin SMS altor pesoane prin orice canal și nu îl introduce într-o pagină web;
• Evită accesarea linkurilor și a fișierelor atașate provenite din surse nesigure;
• Nu furniza niciodată datele cardului tău, banca nu îți va cere niciodată date confidențiale pe e-mail;
• Nu cumpăra produse promovate prin e-mailuri nesolicitate;
• Folosește conexiunea de date mobile a telefonului sau a tabletei în defavoarea rețelelor Wi-Fi publice;
• Folosește o soluție antivirus actualizată și scanează periodic dispozitivele, mai ales înainte de a efectua tranzacții/ plăți online;
• Nu intra în aplicația bancară din linkuri primite pe e-mail sau SMS sau tastând în motorul de căutare numele aplicației;
• Asigură prin back-up datele de pe terminal, fie în cloud sau pe un dispozitiv extern.