Sunt ani buni de când România este renumită pentru atacurile prin care sunt furate baze cu datele a mii de carduri bancare, iar posesorii acestora se trezesc fără bani în cont. În ultimii ani, însă, şi românii au devenit ţinta atacurilor de phishing. Numai la Tribunalul Bucureşti capital.ro a găsit cazuri cu zeci de păgubiţi în atacuri care se foloseau fraudulos de numele Raiffaisen Bank. Alertată de proporţiile fenomenului, instituţia bancară a schimbat recent procedurile de autentificare şi autorizare a tranzacţiilor derulate prin sistemul de online banking.
Specialiştii de la Bitdefender au identificat doar de la începutul anului 350 de atacuri de phishing, faţă de doar şapte atacuri în 2007. În cazul atacurilor identificate anul acesta, o proporţie covârşitoare (86%) vizau clienţii serviciului de online banking de la Raiffeisen.
Numărul mare de atacuri este şi unul din motivele pentru care Raiffeisen a modificat, începând cu 16 august, metoda de autentificare şi autorizare a tranzacţiilor.
Însă varianta oficială a reprezentanţilor băncii este că „modificarea marchează practic trecerea treptată a portofoliului de carduri Raiffeisen Bank de la suport cu banda magnetică la cele cu cip”. Clienţilor care utilizează serviciile de online banking li se înmânează un dispozitiv de autentificare – token – şi un card cu cip, diferit de cardul bancar. Urmează ca, în viitor, şi cardurile de debit să fie înlocuite cu carduri cu cip, pe măsură ce acestea expiră.
Siguranţă, în loc de comoditate
Radu Georgescu, un tânăr programator stabilit acum în Statele Unite explică: „Am multe conturi la mai multe bănci din America şi din România. Sistemul de autentificare (cel vechi) de la Raiffeisen este diferit de tot ce am văzut eu. Mi se cereau doar user şi parolă şi cifrele de pe card”, spune el.
Noul sistem este printre cele mai „complexe” disponibile pe piaţa românească. Dacă până acum Raiffeisen prefera comoditatea, acum balanţa s-a înclinat în partea cealaltă: a securităţii. Securitatea sporită provine din faptul că, pentru realizarea unei tranzacţii, sunt folosite atât mediul online – pentru transmiterea tranzacţiilor, cât şi cel offline – pentru generarea codurilor.
De exemplu, pentru a efectua o singură tranzacţie un utilizator trebuie să introducă în browserul de Internet suma de tranferat, beneficiarul şi contul IBAN al acestuia. Acum, suma şi o parte din contul bancar se introduc separat şi pe token. Pentru fiecare dintre cele două variabile se generează un cod – care trebuie copiat în browserul de Internet. În varianta anterioară, la o tranzacţie nu se cerea decât confirmarea parolei. Codurile generate de token sunt sincronizate cu cele pe de un server securizat.
Primele victime şi primii inculpaţi
Numărul utilizatorilor serviciului de online banking de la Raiffeisen se ridica, la sfârşitul lui iunie, la aproape 250.000 de persoane. Banca şi-a propus ca, până la mijlocul lui octombrie, să finalizeze distribuirea noilor mijloace de autentificare către toţi aceştia. Pe unii însă, măsura nu-i mai poate apăra: au căzut deja victime ale atacurilor de phishing.
Phishingul presupune trimiterea de e-mailuri în masă (numărul destinatarilor ajungând în unele cazuri la milioane) care par să provină de la o bancă. Mailurile se adresează clienţilor. Dacă aţi primit un astfel de e-mail nu înseamnă că baza de date a băncii respective a fost spartă. Pe diferite căi – ilegale – chiar şi în România se pot cumpăra baze de date cu milioane de adrese de email cu sume sub 500 de lei noi. Riscul să vă treziţi fără bani în cont există doar în cazul în care daţi curs solicitărilor din e-mail: să daţi click pe un link şi să completaţi datele de acces la contul bancar.
Mesajele atacatorilor au fost, pentru unii, suficient de convingătoare. Pe rolul Tribunalului Bucureşti apar peste 60 de persoane – părţi vătămate -, alături de Banca Raiffeisen, într-un dosar penal care are la bază chiar unul dintre atacurile de phishing. Potrivit unui comunicat al DIICOT, instituţia care a instrumentat dosarul, numărul păgubiţilor a fost de 40, iar sumele sustrase au depăşit 200.000 de lei. Doi tineri – din Târgovişte şi din Giurgiu – au fost arestaţi preventiv în urmă cu aproape un an în acest dosar, fiind eliberaţi pe 21 iunie.
În cazul în care o persoană furnizează datele de acces la Internet banking unor terţi, banca nu are nicio responsabilitate. Reprezentanţii Raiffeisen susţin însă că fac demersuri pentru recuperarea sumelor: „Imediat ce suntem anunţaţi de client că a răspuns unui mesaj de phishing, furnizând datele, blocăm contul. De asemenea, monitorizăm contul destinaţie şi, în multe astfel de cazuri, am reuşit să recuperăm banii clientului, acţionând înainte ca phisherul să ridice sumele. De asemenea, sesizăm imediat Poliţia şi contribuim cu toate informaţiile şi dovezile astfel încât cercetarea să ducă la prinderea vinovaţilor. În multe cazuri, am putut fi şi proactivi, în sensul ca am contactat clienţii şi i-am sesizat că sistemele de monitorizare au detectat tranzacţii suspecte în contul lor”.
COMENTARIU CAPITAL.RO:
