Vlad Andriescu„Mai departe în business” este un podcast realizat de start-up.ro și ING Bank România care-și propune să abordeze simplu subiecte ce pot părea complicate. Discutăm cu specialiștii din banking din România pentru a sparge mituri, pentru a explica simplu concepte necunoscute pentru antreprenori.
În fiecare ediție invităm un specialist și podcastul se împarte între întrebările jurnalistice, dar și întrebările publicului, pe care le-am colectat în ultimele luni.
Scopul e să traducem bankingul și economia pentru cei care sunt la început de drum, un obiectiv comun al start-up.ro și ING Bank România. Dar dacă ai întrebări în continuare, ți-am lăsat mai jos în formular și ne poți lăsa o întrebare. Din toate curiozitățile antreprenorilor facem noi episoade de podcast.
Episodul cu Alin Becheanu, Head of Fraud Monitoring & Prevention la ING Bank România, pornește de la o realitate incomodă. Înșelătoriile care circulă prin telefoane, laptopuri și rețele sociale nu se bazează, de cele mai multe ori, pe trucuri tehnice complicate, ci pe multă psihologie.
Ultimele înșelătorii se folosesc de numele ANAF
Cel mai des întâlnit scenariu din ultima perioadă este vestea că ANAF dă banii înapoi. Pentru un antreprenor, mesajul sună a ajutor la momentul potrivit. „Și pentru orice antreprenor e o gură de oxigen chestia asta”, explică Alin Becheanu.
Cel care sună se prezintă drept inspector ANAF și spune că are nevoie doar de datele bancare, ca banii să intre mai repede. Apoi cere acces la dispozitiv, o tranzacție de test sau codurile OTP primite prin SMS, sau îl roagă pe antreprenor să se autentifice în aplicația bancară și să lase controlul în mâinile lui.
Diferența dintre a primi și a plăti este, în opinia lui Alin Becheanu, cea mai importantă.
„În momentul în care trebuie să primești bani, primești în contul bancar și dai contul bancar”, spune el. „N-ar trebui să dai informațiile fie că e user-ul, parola sau poate codurile acelea OTP pe care le primești”, adaugă acesta.
IBAN-ul pe site-ul firmei poate inspira atacatorii
IBAN-ul în sine nu e periculos, spre deosebire de datele cardului, dar Alin recomandă o igienă simplă, adică să te întrebi de ce dai o informație și cui. Nu ar publica IBAN-ul pe site-ul firmei, de exemplu. Banca a văzut cazuri de oameni sunați de atacatori după ce își puseseră contul pe Facebook sau în alte locuri. Atacatorul se prezenta ca fiind de la ING și anunța că li s-a aprobat un credit. Oamenii se întrebau de unde știe că au cont la ING, iar povestea căpăta credibilitate. „Deci siguranța vine și cu modul în care avem grijă de datele noastre”, menționează Alin Becheanu.
Pentru antreprenori miza este mai mare. Dacă nu ai reflexele potrivite ca persoană fizică, pierderea poate fi dublă, pentru că atacatorul ajunge și la conturile personale, și la cele ale firmei. Dacă introduci datele cardului sau dai acces la dispozitiv, „o să se golească atât conturile tale personale, cât și conturile companiei”, spune Alin Becheanu.
O fraudă care arată ca un business real
De ce nu poate fi oprită o plată deja făcută? Răspunsul ține de plățile instant. Schema cu ANAF a mers pe transferuri către un cont IBAN, iar banii ajung dintr-o parte în alta în câteva secunde. Înainte de plățile instant, spune Alin Becheanu, antreprenorii cădeau adesea victime unui ordin de plată sau unui extras de cont fals, cu promisiunea că banii intră în două-trei zile, dar marfa trebuia livrată imediat. Plățile instant au rezolvat problema aceea, dar au adus alta.
„Banii pot ajunge la atacator la nivel de câteva secunde”, explică Alin Becheanu.
Mai mult decât atât, atacatorii lucrează pe paliere bine stabilite. Unii dau telefoanele, alții deschid conturile în care ajung banii, alții îi retrag sau îi mută în alt cont, înainte ca banca să poată bloca sumele.
Imaginea hackerului dintr-o cameră întunecată e depășită. În cazurile prezentate de Poliția Română se vede un call center, cu obiective de trei-patru victime pe zi pentru cei care sună, și cu oameni care îi instruiesc pe ceilalți cum să deschidă conturile.
Nu mai vorbim de cineva cu o cagulă, ci de „business care nu-ți dai seama că e vreo diferență față de un business real”, spune Alin Becheanu.
Într-unul dintre aceste cazuri, call center-ul se afla chiar în spatele clădirii poliției, în Republica Moldova. Alin Becheanu spune că așa se întâmplă de obicei, atacatorii nu deschid centrul în țara în care atacă, ci într-una apropiată, ca investigația să fie mai grea pentru autorități.
Scenariile sunt construite din timp. Victimei i se spune că banca o va suna și că va încerca să oprească tranzacția, pentru că nu vrea ca ea să câștige cât câștigă băncile. Tot atacatorul îi dă și justificarea pe care să o folosească, un transfer către un prieten, o nuntă sau o mașină. „Atacatorii sunt atât de bine pregătiți încât au niște scenarii și niște povești atât de bine conturate pentru victime”, explică Alin Becheanu.
Banca încearcă să acopere un gol pe care îl vede mai larg. În școli, de la gimnaziu la facultate, nu există educație financiară care să includă și securitatea, iar vidul se vede în numărul de victime.
ING vorbește direct cu clienții și cu publicul, apare în mass-media și merge în școli și universități. În aplicație, clientul își poate bloca singur contul prin butonul de siguranță, poate proteja cardul și poate folosi geolocalizarea, iar un robot îl sună pentru reconfirmare când detectează o tranzacție suspectă. Alin compară aplicația cu un castel care rezistă doar dacă nu are o ușă în spate, iar ușa aceea este, de multe ori, lipsa educației clientului.
Educație, teste și reguli interne pentru un IMM
Pentru un antreprenor la început de drum, securitatea e de obicei ultimul lucru la care se gândește.
„Cred că se întâmplă să te împarți în multe locuri și să fii un pic și de avocat, să fii un pic și de vânzători, și de marketing, și de multe alte chestii”, spune Alin Becheanu.
Totuși, un antreprenor răspunde pentru datele pe care le deține, iar o bază de date spartă poate duce chiar la închiderea companiei, pentru că clienții și furnizorii nu mai au încredere.
Alin Becheanu recomandă un test de penetrare, prin care o firmă specializată verifică dacă site-ul e sigur și ce riscuri are. „Deci asta ar fi o chestie pe care aș recomanda-o s-o faci cât mai repede cu putință, pentru că e o primă imagine a interacțiunii pe care o ai tu în mediu digital cu clienții tăi”, explică el.
„Cred că partea de testare e cea mai importantă, astfel încât să fii sigur că ceea ce s-a obținut e o chestie de calitate”, spune el. Iar pentru firmele fără departament de IT, cine gândește aceste teste? „E musai, nu e o chestie de ar fi bine, trebuie să mergi către o companie specializată care să-ți facă această strategie”, adaugă Alin Becheanu.
Lipsa de atenție, la fel de periculoasa ca lipsa de informație
Din cazurile pe care le-a văzut banca, problema nu a fost lipsa informației, ci lipsa de atenție. Multitasking-ul și oboseala fac ca cineva să uite, pe moment, ceva ce știa deja. De aceea recomandă o comunicare recurentă, săptămânală sau lunară, în care angajații povestesc despre mesajele de phishing primite.
„Pentru că avem această rușine de câteodată de a povesti, fie că am căzut în capcană, fie că am prevenit”, menționează el. Testele interne de phishing merită făcute indiferent de dimensiunea firmei.
„E un lucru care ajută să înțelegi cam care e nivelul în cadrul companiei și pe ce ar trebui să insiști”, explică Alin Becheanu. Angajații trebuie să știe și ce fac după un click greșit, cui raportează, dacă blochează contul, dacă opresc stația, dacă anunță colegul de la securitate informatică.
Și plățile au nevoie de reguli. În cadrul ING se pot seta doi aprobatori pentru o plată, iar Alin recomandă o procedură internă cu praguri, de exemplu un singur aprobator pentru sumele mici și două semnături peste anumite valori. Regula ajută și la o fraudă frecventă, în care atacatorul se dă drept furnizor și trimite o factură cu un IBAN nou. Dacă știi că furnizorul are alt cont, „ar trebui să pui mâna pe telefon”, spune Alin Becheanu, să îl suni și să-l întrebi dacă și-a schimbat banca.
În privința datelor, recomandă roluri separate, astfel încât doar un număr restricționat de oameni să aibă acces la datele clienților, și un audit al accesărilor. Mai cere un al doilea factor de autentificare, pe lângă user și parolă, și un VPN pentru accesul la distanță, de exemplu atunci când lucrezi dintr-o cafenea.
Laptopul personal ar trebui separat de cel de serviciu, iar soluția de securitate cibernetică e obligatorie, pentru că în caz contrar un click pe un link poate aduce un ransomware sau un program care fură date. Nici alegerea dintre laptop și aplicația de pe telefon nu schimbă mult. „Ambele sunt la fel de sigure atâta timp cât persoana care le utilizează e suficient de bine informată cu privire la riscuri”, spune Alin Becheanu.
Cine este Alin Becheanu?
Alin Becheanu are o experiență de peste 20 de ani în gestionarea riscurilor de fraudă și spălare a banilor. Și-a început cariera ca ofițer de poliție în cadrul Direcției de Combatere a Criminalității Organizate. Ulterior, a trecut în sectorul privat, unde a coordonat echipe de prevenire a fraudei și spălării banilor în diverse instituții financiare (Citibank, Volksbank, BCR).
În prezent, coordonează echipa de prevenire a fraudei din cadrul ING Bank România.
Alin este președintele APCF – Asociația pentru Prevenirea și Combaterea Fraudelor, iar de peste 10 ani deține funcția de Președinte al Comisiei Antifraudă din cadrul Asociației Române a Băncilor.
Obiectivele sale principale sunt: digitalizarea procesului penal și consolidarea parteneriatului public-privat în domeniul prevenirii și combaterii fraudei și spălării banilor.
