Интернет-банк – это безопасно?

• Чулан *

В последнее время я все чаще стал слышать от своих знакомых вопросы: “А ты пользуешься интернет-банком?”, “А это безопасно?” и т.д.

Да, я пользуюсь интернет-банкингом уже около 6 лет, от года к году все больше и к этому быстро привыкаешь. Банки предоставляют возможность не только делать платежи через свои онлайн системы, но и открывать вклады, брать кредиты и, самое главное, экономить нервы и время, избегая посещения отделений.

Подробно описывать удобства и преимущества интернет-банков, наверное, не стоит, они и так понятны. Но почему появляются такие вопросы и почему не все еще пользуются этими системами?

Ответ простой - это страх. Мы боимся за свои накопления, за конфиденциальность информации. И это понятно. Используя пластиковую карту (кредитную карту) или интернет-банк, Вы потенциально “открываете” злоумышленникам лазейку к Вашим сбережениям.

Что безопаснее: интернет-банк или пластиковая карта? Я могу сказать однозначно: интернет-банк безопаснее. Дело в том, что для совершения оплаты с помощью пластиковой карты в интернете Вам (или злоумышленнику) достаточно знать номер карты, имя владельца, дату закрытия карты и CVV код. Фактически достаточно у Вас её сфотографировать, чтобы в дальнейшем с неё списать деньги через любой интернет-магазин. Хотя у карт тоже есть способы себя обезопасить (дневные лимиты, запрет на операции в интернете, не доставать карту в публичных местах).

Современные интернет-банки используют целый комплекс мер для обеспечения безопасности ваших сбережений:

Как видите, системы для управления финансами имеют достаточно сильные и разнообразные средства для борьбы с хищением средств. Я перечислил наиболее популярные, которые, считаю, должны быть в любом интернет-банке. Крупные банки постоянно ведут разработку и исследования, связанные с повышением безопасности, поэтому этот список в дальнейшем обязательно будет расширяться, а я буду стараться рассказывать Вам о таких средствах и их эффективном применении.

Самое главное помнить, как бы банки не старались нас защитить, важно самим быть бдительными и как минимум использовать элементарные правила:

1. Заходя на сайт интернет банка, проверять сертификат этого сайта. Как правило, если сертификат верный и главное он есть, поле для ввода адреса выглядит зеленым. На него нужно нажать и во всплывающем экране проверить название банка.
2. Никогда не сохранять логин и пароль в браузере.
3. Обязательно установить на компьютер антивирус.
4. Для серфинга по интернету используйте последние версии браузеров.
5. Регулярно устанавливайте обновления безопасности для операционной системы.

Теги: интернет-банкинг, безопасность, управление финансами

/ Безопасность интернет-банкинга

Вконтакте

Одноклассники

Андрей Бирюков , специалист по информационной безопасности

Безопасность интернет-банкинга

С 1 января 2013 года вступают в силу требования Федерального закона №161 «О национальной платежной системе». Как это повлияет на услуги интернет-банкинга?

Сегодня никого уже не удивишь возможностью мгновенного выполнения банковских операций удаленно. Оплата счетов, денежные переводы – все это можно сделать сидя за компьютером благодаря системам интернет-банкинга. Но вместе с удобством пришли и проблемы. Прежде всего они касаются безопасности платежных операций.

Удаленные платежи

Интернет-банкинг для организаций – это услуги по управлению их счетами через глобальную сеть Интернет и веб-браузер. Типовые решения позволяют корпоративным клиентам отправлять в банк различные финансовые документы, такие как аккредитивы, платежные поручения, заявления и требования. При этом в интернет-банкинге предусмотрена возможность обмена между клиентами и банком информационными сообщениями с прикрепленными файлами.

Во многих современных решениях также предусмотрены функции обмена документами с бухгалтерскими программами клиентов, поддерживаются импорт и экспорт всех типов документов и отчетов через обмен файлами в текстовом и XML-формате, встроена поддержка «1С:Бухгалтерии».

Удобный банкинг

Стоит отметить, что интернет-банкинг – это не новая услуга, оказываемая банком, а лишь изменение формы обслуживания клиентуры.

Здесь можно провести аналогию с обслуживанием по телефону или пейджеру. Операции, осуществляемые банком в сети, те же самые, которые он оказывает в своих стандартных отделениях.

Вот основные преимущества интернет-банкинга:

• Интернет – наиболее конкурентная среда, поскольку позволяет совершать операции в режиме реального времени (мощные поисковые системы помогают клиенту анализировать условия услуг, предоставляемые различными банками, и выбирать наиболее оптимальное предложение);
• работает интерактивная среда, т.е. банк-робот, функционирующий без участия человека либо с минимальным участием;
• банк имеет возможность снижать издержки на содержание стандартных отделений и максимально оптимизировать стандартные банковские операции.

Системы интернет-банкинга позволяют не только автоматизировать прохождение платежей в режиме реального времени, но и повысить долю безналичных расчетов в денежном обороте, таким образом, уменьшить долю наличных платежей и всевозможных денежных суррогатов (бартер, взаимозачеты, налоговые освобождения).

А это в свою очередь будет способствовать увеличению налогооблагаемой базы.

Однако в отличие от живого общения здесь возникает целый ряд вопросов, связанных с обеспечением информационной безопасности.

Давайте узнаем, какова же типовая защита услуги интернет-банкинга?

Защищенный банк

Обычно банк обеспечивает гарантированный уровень безопасности, который содержит механизм ЭЦП (электронная цифровая подпись) под финансовыми документами.

Все данные шифруются с использованием национальных криптографических алгоритмов, осуществляется контроль целостности передаваемых данных.

В решении используется сертифицированная ФСБ криптобиблиотека, обеспечивается юридическая значимость электронного документооборота.

Предусмотрено гибкое управление правами организаций и их сотрудников. Для каждого корпоративного клиента по каждому типу документа настраивается необходимое количество ЭЦП.

Для проверки компьютеров, которые работают с интернет-банкингом, на наличие вирусного ПО предлагается использовать антивирусное программное обеспечение.

Для работы с интернет-банкингом необходимо иметь веб-браузер с установленной виртуальной машиной Java.

В общем, набор средств защиты типовой: электронная подпись, шифрование, целостность, рекомендации по использованию антивирусов.

Однако даже самые надежные средства защиты могут оказаться бессильными, если пользователи не выполняют требования по обеспечению информационной безопасности.

Поэтому, помимо чисто технических средств защиты, должны использоваться также и организационно-юридические средства, о которых и поговорим.

Закон есть закон

Федеральный закон №161 «О национальной платежной системе» определяет порядок деятельности «национальной платежной системы». В частности, определяются права и обязанности сторон, участвующих в деятельности системы.

Согласно этому Федеральному закону, субъектами национальной платежной системы являются банки, кредитные организации, выполняющие роль операторов при организации перевода денежных средств, а также юридические и иные лица, привлекаемые банками и кредитными организациями.

Кроме того, к субъектам относятся платежные агенты, которые имеют право принимать платежи от физических лиц, операционные организации и почтовые организации.

Закон определяет требования к этим субъектам, а также устанавливает регламентацию осуществления процедуры денежного перевода.

Законом устанавливаются и определенные ограничения, к примеру, ограничение на суммы, которые могут быть переведены с использованием электронных платежных систем.

Наибольший интерес сейчас вызывает статья №9, ее подпункты 11-16, которые вступают в силу с 1 января 2013 года. Кратко суть их сводится к тому, что в случае хищения денежных средств со счета клиента банк обязан возместить полную сумму похищенных средств. Поэтому банк заинтересован в успешном обнаружении мошенников и возмещении понесенных убытков.

Юридические тонкости

При этом не учтен ряд юридических моментов. Например, на законодательном уровне не определено место совершения преступлений с использованием ДБО.

Учитывая правоприменительную практику, местом совершения преступления часто считается место физического получения мошенником денежных средств (например, банкомат, находящийся в другой стране). При этом дело расследуется местными правоохранительными органами.

Если похищенные деньги выводят в нескольких регионах или даже государствах, то эффективно расследовать данное преступление практически невозможно.

В качестве решения эксперты предлагают законодательно закрепить, что местом совершения преступления должен быть определен оператор по переводу денежных средств или счет клиента, с которого деньги были похищены.

Другая проблема в том, что не существует принятого всеми порядка действий в случае выявления хищений денежных средств в системах ДБО.

В них расписан порядок для каждого субъекта, однако в существующей нормативной базе рекомендации малоприменимы, в частности, нет оснований требовать от клиента выполнения указанного порядка действий.

Необходимо доработать данные документы, приблизив их к реальности и снабдив юридическими инструментами влияния на клиентов.

Наконец, законодательством не определены основания для приостановления потенциально мошеннических платежей. Прежде всего для корпоративного сектора это может означать следующее: при осуществлении крупной сделки была произведена попытка оплаты, однако платеж был приостановлен по подозрению в мошенничестве. Сделка сорвалась. Клиент в судебном порядке потребовал от банка возместить убытки. Сейчас банк может сослаться только на ФЗ № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма». Но других оснований для приостановления платежа нет.

Если не будет поправок

Если до конца 2012 года не выйдет новых поправок к закону, то банки должны быть готовы к следующему.

Если банк не отправляет уведомления о платежах (например, через sms), то он будет обязан возместить мошеннический платеж в любом случае.

Если банк отправляет уведомление, то есть всего два основания для отказа.

• Первое основание – если банк докажет, что клиент нарушил порядок использования электронного средства платежа, что повлекло совершение операции без согласия клиента.
• Второе основание – если клиент не направил в банк уведомление о несанкционированном платеже или отправил его позднее дня, следующего за днем получения от оператора по переводу денежных средств уведомления о совершенной операции.

Как видно, с юридической стороны вопросами в обеспечении безопасности интернет-банкинга дела обстоят не так хорошо, как хотелось бы.

Таким образом, по крайней мере в ближайший год-полтора, пока не будет внесена ясность в закон, финансовым организациям придется рассчитывать прежде всего на технические и организационные меры по обеспечению безопасности интернет-банкинга.

Как происходит хищение

Основной задачей мошенников в банковской сфере является хищение и вывод средств. Для осуществления этого используют различные мошеннические схемы.

Для проведения нелегитимной транзакции обычно используют цепочку банков, расположенных в различных регионах. Операционист в банке может отслеживать счета, на которых имеются значительные средства, но по которым давно не было операций, и переводит, как правило, небольшие суммы в другие банки.

Применительно к интернет-банкингу такая схема, казалось бы, мало пригодна, ведь такой платеж осуществляется автоматически, без участия человека. Случаи с переводами значительных сумм, требующих дополнительных подтверждений со стороны плательщика, мы пока не будем рассматривать.

В крупных компаниях с интернет-банкингом работают сотрудники бухгалтерии. Как уже упоминалось, программное обеспечение, используемое для осуществления транзакций, хорошо защищено в соответствии с требованиями регуляторов, в отличие от компьютера бухгалтера. Очень часто это ноутбук, который сотрудник забирает домой, например, чтобы работать в выходные.

Как правило, у пользователя на домашнем компьютере есть административные права. Кроме того, немаловажным моментом является и тот факт, что клиентское рабочее место и программное обеспечение не подконтрольны банку, они находятся на территории клиента, физическая безопасность, техническое обслуживание и контроль также осуществляются у клиента. Банк может лишь давать рекомендации и предоставлять преднастроенное программное обеспечение.

В таких условиях вероятность заражения вредоносным кодом значительно возрастает. Если злоумышленники намерены осуществить адресную атаку, то есть похитить деньги со счетов данной компании, то они могут заранее выяснить, какое антивирусное программное обеспечение, персональный межсетевой экран и другие средства защиты используются на машинах сотрудников, и доработать свой вирус так, чтобы для этих приложений он был незаметен.

В результате троян спокойно живет на компьютере бухгалтера, злоумышленники беспрепятственно просматривают информацию о транзакциях, изучают, когда, какие суммы, в какие регионы проводятся платежи, и в определенный момент осуществляют несанкционированный перевод на нужный счет.

Затем украденные деньги быстро проводятся по цепочке левых банков и обналичиваются в другой стране.

Защита типовая и не очень

Типовая атака на интернет-банкинг – достаточно распространенная угроза. Например, в одной крупной российской компании сейчас расследуются три уголовных дела, связанных с хищением средств с корпоративных счетов через систему дистанционного банковского обслуживания посредством вирусов. Посмотрим, как банки защищаются от этих угроз.

При попытке осуществления транзакции операция проверяется по нескольким критериям:

• Доверенные/недоверенные контрагенты.
• Черные/белые списки.
• Платежи с юридических на физические лица.

Проверка на доверенность или недоверенность контрагента заключается в следующем: крупный платеж юрлицу, зарегистрированному менее месяца назад, будет подозрительным по определению. Однако небольшой платеж, например, меньше 100 000 рублей, проведенный злоумышленником, вполне может пройти.

Черные списки – это аналог рекомендаций ФЗ №115, здесь тоже блокируются все платежи юрлицами, замеченными в незаконной деятельности. Злоумышленникам достаточно зарегистрировать фирму-однодневку и использовать методы, описанные в предыдущем абзаце.

Платежи со счетов юрлица на счет физлица традиционно являются приемом ухода от налогов и незаконного обналичивания денежных средств. Поэтому такие операции по определению находятся под особым вниманием службы безопасности, и злоумышленники все реже используют этот метод.

Перейдем к более интеллектуальным средствам защиты и контроля операций интернет-банкинга.

В описании мошеннической схемы я упомянул, что злоумышленники могут некоторое время вести мониторинг операций, выполняемых юрлицом. Зачем это нужно?

Ведь чем дольше вредоносный код находится на машине, тем больше вероятность, что его обнаружат. Это действительно так, потому троян должен быть написан так, чтобы не определяться средствами защиты.

Но, с другой стороны, если сразу же после заражения произвести транзакцию, есть большая вероятность, что эта операция будет отклонена.

Поэтому, если хотя бы две недели последить за тем, кто из сотрудников осуществляет платежные операции, в какое время, по каким дням недели, в какие банки и на счета каких юрлиц, будет легче замаскировать нелегитимные транзации среди настоящих, а системам мониторинга банка сложнее их определить.

Профессиональные взломщики всегда знают меру. Поэтому после осуществления нескольких нелегитимных транзакций вредоносное программное обеспечение удаляется с компьютера. Таким образом, уничтожается, как правило, единственная улика, доказывающая факт нелегитимной транзакции.

Если впоследствии экспертиза не обнаружит на машине клиента никакого вредоносного кода, то в соответствии с вступающими в силу пунктами ФЗ банку придется возмещать клиенту украденные средства.

Если антивирус и другие средства защиты неэффективны в борьбе с такими угрозами, то необходимо больше внимания уделять средствам мониторинга.

Всевидящее око

При осуществлении мониторинга банковских транзакций, помимо описанных выше простых защитных мер, ключевым является анализ.

Здесь имеется в виду не только описанный ранее анализ надежности, черных списков и прочего, речь идет об интеллектуальном мониторинге процесса удаленных транзакций.

Принятие решения об отклонении проведения платежа складывается из множества факторов. Каждому такому платежу назначается некоторая цена. При наличии нескольких факторов цены суммируются. Если превышается некоторый порог, платеж отклоняется. Цена каждого фактора определяется опытным путем в соответствии с моделью рисков, используемой банком.

Приведу небольшой пример. Первый вариант. Пусть транзакция проводится в понедельник в 12 часов на счет юрлица, которому до этого никаких платежей не осуществлялось.

Второй вариант. Если транзакция производится в пятницу в 17 часов тоже юрлицу, с которым до этого не работали. Сумма в обоих случаях одинаковая и не слишком большая.

Казалось бы, действия одинаковые, но при анализе транзакций цены факторов должны быть разными.

В первом случае платеж проводится в понедельник в середине рабочего дня, вероятность того, что для проверки подтверждения платежа банк предпримет какие-либо дополнительные действия (например, перезвонит в бухгалтерию плательщика) довольно велика.

А вот вечером в пятницу это вряд ли будут делать, поэтому здесь цена соответствующих факторов – день недели и время – будет выше.

Доверенная среда

Давайте рассмотрим еще одно не совсем стандартное средство защиты, которое может использоваться на стороне клиента.

Итак, мы уже договорились, что у клиента все плохо: на компьютере бухгалтера административные права, есть доступ в Интернет, антивирус обновляется не регулярно. И самое главное, администраторы и специалисты ИБ клиента не хотят/не могут ничего с этим сделать. Казалось бы, единственный вариант действий в такой ситуации – банку отказать данному юрлицу в предоставлении услуг интернет-банкинга: слишком велика вероятность хищения средств с его счетов.

Однако с развитием ИТ появились новые варианты решения данной проблемы. Например, существуют специальные USB-накопители, произведя загрузку с которых, пользователь оказывается в безопасной среде.

Выглядит это следующим образом. После инициации загрузки с USB на рабочее место будет произведена загрузка эталона операционной системы, в которой пользователю предоставляется доступ только к целевому приложению. Доступа к операционной системе пользователь в ходе сеанса не получает. Среда выгружается сразу после выхода пользователя из целевого приложения, причем никаких следов работы пользователя в системе (cash-, swap-, временные файлы) не остается. При этом сам образ ОС на USB-накопителе хранится в блоке памяти, доступном только для чтения.

Таким образом, гарантируется целостность данных и программного обеспечения. Даже если на машине есть какой-либо вредоносный код, после загрузки с данного носителя он не сможет перехватывать информацию о действиях пользователя.

Практическим примером реализации такого решения является среда построения доверенного сеанса МАРШ! . Это средство ориентировано не только на интернет-банкинг, но и на другие области, где требуется доверенная среда.

Другое, аналогичное, решение с говорящим названием ТЕЛЕБАНК ориентировано именно на банковскую среду. Оно также базируется на использовании USB-носителя и эталонной ОС, но после загрузки в ней доступен лишь браузер Microsoft Internet Explorer с заранее записанным URL Web Server системы интернет-банкинга. Решение не позволяет ввести пользователю URL, отличный от заданного, при конфигурировании доверенной среды.

Контроль доступа

Еще одним способом не допустить к работе с сервером интернет-банкинга являются решения по обеспечению контроля доступа на сетевом уровне Network Admission Control.

Общий принцип таких систем в контексте интернет-банкинга заключается в следующем. На рабочее место клиента устанавливается агент, который при соединении с сервером банка сообщает ему, какие средства защиты установлены на компьютере: есть ли антивирус, когда его база последний раз обновлялась, какие обновления ОС установлены. На основании этой информации принимается решение, подключать ли данного пользователя к серверу или потребовать устранения выявленных недостатков в защите.

Вконтакте

Система «Home Banking» является Интернет системой, и обеспечивает максимальную гибкость и простоту взаимодействия Клиента и Банка. При реализации системы мы опирались на общепринятые мировые стандарты и методы информационной безопасности:

• 1. Аутентификация (подтверждение подлинности) взаимодействующих сторон: Интернет-клиента и Банка. Аутентификация основана на проверке подлинности цифровых сертификатов (X509).
• 2. Конфиденциальность передаваемой информации. Обеспечивается шифрацией данных (SSL).
• 3. Целостность передаваемой информации. Целостность данных обеспечивается хешированием каждого SSL пакета, а также электронной подписью документов. Электронная цифровая подпись (ЭЦП) Клиентом и Банком каждого документа и ее проверка другой стороной позволяет сделать заключение о происхождении документа и его не искаженности при передаче.
• 4. Доступ к данным для разбора и анализа конфликтных ситуаций. Обеспечивается возможностью ведения архива всех отосланных и принятых клиентом и банком документов с электронными подписями и использованными при их подписи ключами.
• 5. Журналирование действий пользователей в системе.

Система использует алгоритмы шифрования в соответствии с ГОСТами и сертифицированные ФАПСИ системы криптозащиты. Это позволяет обеспечивать высокий уровень безопасности при использовании Интернета в течение всего процесса обработки и хранения информации.

На практике безопасность работы системы «Home Banking» реализуется следующим образом:

Клиент, используя обычный браузер, выполняет соединение с ответной банковской частью. Осуществляется авторизация по заданным реквизитам сертификатов и SSL-шифрация трафика между браузерами. SSL соединение, обеспечивает безопасную передачу данных между клиентом и сервером Банка.

Протокол SSL хорошо зарекомендовал себя как метод для защиты от несанкционированного доступа в телекоммуникационных каналах и является de-facto промышленным стандартом. Технология SSL поддерживается всеми основными браузерами и операционными системами.

Протокол SSL защищает документ только в процессе передачи документа по коммуникационным каналам. После передачи документа в Банк, при хранении документа в базе данных банка, в качестве защиты и средства идентификации документа используется технология Электронной Цифровой Подписи.

В том случае если Клиенту необходим облегченный вариант взаимодействия с банком, например, только просмотр состояния счетов, то можно отрегулировать процедуры обеспечения безопасности на работу в ограниченном режиме, например, использование только парольной идентификации. Пароль в таком случае хранится в виде хеш-слепка на сервере Банка, что гарантирует клиенту невозможность использования пароля Клиента сотрудниками Банка, и в то же время как минимум формально гарантирует Банку, что лицо, использующее пароль, уполномочено на дальнейшие действия самим Клиентом. При необходимости, парольная авторизация может быть усилена другими технологиями, например биометрической, карточной контактной, или карточной бесконтактной.

Сертификат X.509 является электронным аналогом удостоверения личности (паспорта) и позволяет идентифицировать пользователей Интернета. В то же время, пользователи, подключившиеся к сертифицированному серверу, могут быть уверены, что попали именно в искомую организацию. У каждого пользователя существует открытый ключ с некоторой дополнительной информацией о его владельце. Открытый ключ подписан еще одним ключом, принадлежащим центру сертификации системы «Home Banking» (как правило, соответствующая служба в Банке или официальные Удостоверяющие Центры). Отправитель с помощью открытого ключа шифрует данные, устанавливает сертификат подписи клиента и отправляет этот пакет в центр сертификации. Получив данные, система «Home Banking» с помощью своего закрытого ключа расшифровывает их и проверяет информацию владельца сертификата (срок действия, имя владельца, и т.п.). Математически ключи подобраны так, что, имея один, почти невозможно восстановить другой. Это позволяет относить методы сертификации X.509 к надежным криптографическим средствам, что подтверждено ФАПСИ.

Существующая регистрация событий в системе «Home Banking» фиксирует все случаи подключений, смены пароля и других действий. Система позволяет просматривать эту историю, что дает возможность определить попытку несанкционированного подключения. В случае многократного ввода неверных данных (идентификатор и пароль) доступ к системе блокируется.

Настраиваемый механизм резервного копирования гарантирует сохранность данных. Резервные копии хранятся на отчуждаемых носителях. Тем самым исключается возможность несанкционированного доступа к резервным копиям.

Используемые криптографические технологии на основе идентификатора и пароля, защищенного соединения SSL, а также сертификата X.509, в комплексе позволяют свести риски использования соединения через Интернет к минимуму. Условия поставки, внедрения и сопровождения системы «Home Banking» предусматривают возможность настройки и расширения существующего функционала под индивидуальные требования заказчика.

По утверждениям экспертов, основная и самая главная угроза, подстерегающая любого пользователя Интернет-банкинга - это риск мошеннического взлома и несанкционированного доступа к средствам на счете. «Единственной существенной опасностью, которая может подстерегать пользователей этих систем, является риск противоправного завладения их денежными средствами злоумышленниками, с использованием возможностей систем «Интернет-банкинга», впрочем, как и любых иных типов систем дистанционного обслуживания», - рассказывает Егор Изотов, начальник отдела информационно-технической защиты Пивденкомбанка.

А потому банки стараются использовать различные системы и механизмы, призванные если не гарантировать, то, по крайней мере, повысить безопасность использования онлайн банкинга.

Шифрование данных

На сегодня уже всеми или почти всеми банками, предоставляющими услугу Интернет-банкинга, применяется SSL-шифрование данных, передаваемых от компьютера пользователя в систему банка и обратно. Эта мера безопасности позволяет исключить распространенный ранее вид мошенничества. «Раньше часто использовалась схема «man in the middle»: данные о платеже перехватываются на этапе, когда они отправлены от клиента, но еще не дошли в банк. Мошенник меняет данные и только после этого отправляет их в банк», - рассказывает Борис Косяков, начальник управления информационной безопасности Астра Банка.

Чтобы воспользоваться всеми преимуществами защищенной передачи данных, следует соблюдать элементарные меры безопасности в Интернете - не реагировать на подозрительные сообщения (полученные якобы от вашего банка) и не переходить по неизвестным ссылкам.

Одноразовые пароли, получаемые в банкомате

При такой системе защиты, кроме обычного логина и пароля, для входа в систему и подтверждения операций пользователь должен ввести одноразовый пароль, список которых он может получить в банкомате своего банка.

С точки зрения безопасности такая система имеет преимущество - чтобы совершать операции по карточному счету через интернет-банкинг, лицо должно как минимум иметь в наличии непосредственно саму карту, а также знать ПИН-код, чтобы получить список паролей в банкомате.

Вместе с тем нельзя не отметить ряд недостатков такой системы защиты. Во-первых, список паролей, распечатанный в виде чека из банкомата, вам придется хранить для подтверждения будущих операций. А это значит, что если вы случайно потеряете или выбросите чек (или просто используете все пароли), вам придется идти за новым. Зачастую список паролей можно получить далеко не в каждом банкомате банка, и вполне вероятно, что вам придется ехать за ним на другой конец города. К тому же, списком могут завладеть злоумышленники.

Если ваша система интернет-банкинга предусматривает использование списка одноразовых паролей, постарайтесь придерживаться простых правил. Во-первых, не выбрасывайте список паролей и по возможности старайтесь его не терять. Во-вторых, не храните список одноразовых паролей вместе с логином и паролем от вашей учетной записи. Последний вовсе не рекомендуется записывать, лучше запомнить.

Одноразовые СМС-пароли

Этот способ аутентификации пользователя в системе интернет-банкинга является едва ли не самым распространенным в предложениях украинских банков. При такой системе каждая операция, которую вы совершаете с помощью онлайн банкинга, должна быть подтверждена одноразовым паролем, который вы получите в СМС-сообщении на ваш мобильный телефон. При этом ваш мобильный номер должен быть «привязан» к номеру счета.

Такая система имеет ряд преимуществ. Во-первых, она достаточно проста в использовании - вам не нужно специальное оборудование, а процедура подтверждения операции занимает всего пару минут. Во-вторых, она позволяет обезопасить вашу учетную запись от использования злоумышленниками - даже если мошенникам станет известен ваш логин и пароль для входа в систему, они не получат доступ к вашим деньгам, а вы узнаете о попытке провести несанкционированную операцию из СМС-сообщения. Кроме этого, вам не нужно хранить список одноразовых паролей, а значит, вы не сможете его потерять, и у вас его не украдут.

На этом преимущества системы заканчиваются. Действительно, злоумышленникам довольно сложно завладеть одноразовым паролем, действующим в течение короткого времени. Если только они не завладели вашим мобильным телефоном. И совсем бесполезной система будет в том случае, если вы пользуетесь интернет-банкингом с мобильного телефона и сохраняете пароли в браузере. Тогда, украв у вас телефон, мошенник получит ваш счет в полное распоряжение.

Если ваш банк использует аутентификацию пользователя по СМС, постарайтесь придерживаться таких правил:

• · не пользуйтесь Интернет-банкингом с мобильного телефона;
• · не сохраняйте пароль от учетной записи в браузере;
• · в случае потери или кражи мобильного телефона - немедленно обратитесь в банк с просьбой заблокировать вашу учетную запись Интернет-банкинга.

Электронная цифровая подпись (ЭЦП)

Этот механизм чаще используется при обслуживании банками компаний, но иногда его предлагают и индивидуальным клиентам. Плюс ЭЦП в том, что она позволяет однозначно идентифицировать пользователя. Недостаток же заключается в том, что ЭЦП также может быть уязвима для мошенников. Злоумышленники могут добраться до ключа от вашей цифровой подписи, заразив ваш компьютер вредоносным программным обеспечением. «Существуют «трояны», умеющие находить и красть на зараженном компьютере аутентификационные данные (идентификаторы, пароли и даже ключи ЭЦП) пользователей для доступа к различным сервисам (в том числе и серверам удаленного обслуживания клиентов банков)», - рассказывает Борис Косяков.

Если для подтверждения ваших финансовых операций через интернет вы используете ЭЦП, не забывайте пользоваться антивирусными программами и регулярно проверять ваш компьютер на предмет заражения компьютерными вирусами. Также эксперты не советуют оставлять ключ ЭЦП подключенным к компьютеру, если вы его не используете.

Внешние электронные устройства

Некоторые банки предлагают пользователям онлайн банкинга приобрести (или взять в аренду) специальное устройство - генератор одноразовых паролей. Генератор подключается к компьютеру через usb-порт и не требует специального программного обеспечения.

Другие учреждения предлагают использовать внешний электронный ключ, который генерируется при первом подключении к системе Интернет-банкинга, записывается на внешний носитель и затем используется при проведении операций в системе.

Такие системы, по сути, являются упрощенной версией ЭЦП. Среди недостатков их можно выделить то, что вы не сможете получить доступ к своему счету, не имея под рукой «ключа», а всегда носить его с собой может быть не очень удобно и безопасно.

Помимо перечисленного выше, банки зачастую применяют дополнительные меры для обеспечения безопасного пользования интернет-банкингом:

• · ограничение использования личного сертификата - система некоторых банков позволяет использовать электронный ключ (электронный сертификат) только на том компьютере, на котором он был сгенерирован. Таким образом, осуществлять платежи через Интернет-банкинг вы сможете только со своего личного компьютера (хотя просматривать выписки по счету можно и на других устройствах);
• · виртуальная клавиатура - предназначена для того, чтобы мошенники не могли «считать» ваши регистрационные данные при вводе их с обычной клавиатуры с помощью компьютерных вирусов («троянов»);
• · ограничение длительности сессии - в случае неактивности пользователя, сессия в системе Интернет-банкинга через определенное время (обычно 10-15 минут) будет закрыта. После этого для возобновления работы потребуется заново пройти аутентификацию;
• · история подключений - с помощью этой функции пользователь Интернет-банкинга узнает, если кто-то кроме него подключался к системе, а также сможет отследить все несанкционированные операции, если они были произведены.

Многое зависит от пользователя

Эксперты отмечают, что чаще всего причиной мошеннического доступа к счету пользователя Интернет-банкинга является невнимательность и неосторожность самого пользователя. А потому, чтобы избежать возможных проблем, владельцу учетной записи следует беречь данные доступа к ней. Во-первых, эксперты советуют периодически изменять пароли для доступа в систему, желательно делать это раз в месяц и не использовать Интернет-банкинг на непроверенных компьютерах (например, в Интернет-кафе).

Помимо этого, следует соблюдать осторожность при работе в Интернете. «Мошенники широко используют приемы «социальной инженерии» для того, чтобы выманить аутентификационные данные (логин, пароль и т.д.) клиентов. Наиболее старый метод - «фишинговые» письма электронной почты, которые провоцируют получателей отправить свои аутентификационные данные злоумышленникам или предлагают пройти по ссылке на мошеннический сайт. С ростом популярности социальных сетей («Одноклассники», Twitter, Facebook) мошенники тут же начали использовать для «фишинга» сообщения социальных сетей. Также злоумышленники создают подложные копии сайтов для Интернет-банкинга с именами, очень похожими на настоящие», - поясняет Борис Косяков. И если вы введете на таком сайте данные своей учетной записи, то они тут же попадут в руки к мошенникам.

Если у вас возникли опасения, что мошенники получили доступ к вашему счету через Интернет-банкинг, эксперты советуют предпринять следующие действия:

• · отключить компьютер от Интернета;
• · обратиться в контакт-центр (а при необходимости - в отделение) вашего банка, изложить проблему и попросить заблокировать вашу учетную запись;
• · проверить компьютер на предмет заражения вредоносным программным обеспечением;
• · возобновить работу с системой онлайн банкинга только тогда, когда вы убедились, что угроза отсутствует;
• · сменить пароль от учетной записи.

Если ваши подозрения оправдались, и со счета были списаны несанкционированные вами платежи, следует составить заявление о произошедшем в банк и в правоохранительные органы. В этом случае не рекомендуется совершать никаких действий на вашем компьютере (устанавливать или удалять программное обеспечение и т.п.) до прибытия сотрудников правоохранительных органов или специалистов банка, поскольку любые изменения могут помешать расследованию инцидента.

С развитием инновационных технологий возможности всемирной сети становятся шире и сегодня затрагивают практически все сферы жизни человека. Так, в последнее время довольно активно многими используется интернет-банкинг, представляющий собой программу определенного банка, посредством которой пользователь может осуществлять финансовые операции с любого компьютера, подключенного к интернету. Однако такие услуги доступны только клиентам банков. Пользуясь подобными программами, многие обеспокоены , ведь встречаются ситуации, когда деньги пропадают с карты либо не поступают на нужный счет. Чтобы избежать действий мошенников и не бояться несанкционированного доступа к своим счетам, необходимо ознакомиться с основными правилами пользования интернет-банкингом.

Какие существуют средства защиты счетов от мошенников?

Главное правило безопасности интернет-банкинга предусматривает использование программ только известных и проверенных банков, которые постоянно совершенствуют средства защиты счетов своих клиентов. Сегодня практически каждый банк применяет SSL-шифрование информации, которой обменивается компьютер пользователя и банковская система. Этот современный метод позволяет избежать перехвата и изменения данных на пути от ПК клиента к банку. Однако следует помнить, что при совершении финансовых операций в онлайн-системе ни в коем случае нельзя реагировать на подозрительные сообщения, якобы пришедшие из банка, и переходить по незнакомым ссылкам на другие страницы.

С целью повышения уровня безопасности, клиентам предлагается получить одноразовые пароли, выдаваемые банкоматом.

В таком случае при входе в систему интернет-банкинга, помимо постоянных логина и пароля, понадобится ввести еще и одноразовый шифр, который подобрать злоумышленникам практически невозможно. Преимуществом такого варианта защиты является то, что получить чек с одноразовыми паролями может только человек, имеющий платежную карту и знающий пин-код. Пользуясь паролями чека для входа в систему, рекомендуется придерживаться следующих простых правил:

• Не выбрасывать список шифров и стараться не терять его;
• Не хранить чек вместе паролем и логином от учетной записи.

Еще одним распространенным методом для подтверждения личности при входе в онлайн-банк считается запрос одноразовых СМС-паролей. То есть при каждой операции, выполняемой пользователем, на его телефон приходит СМС-сообщение с кодом, который необходимо ввести. Известно, что обязательным условием подобных операций является привязка определенного номера телефона к банковскому счету. Среди достоинств такой системы безопасности можно выделить простоту процедуры и минимальное количество времени на осуществление операции. К тому же, даже если злоумышленник знает логин и пароль учетной записи, выяснить код ему не представляется возможным. Применяя одноразовые СМС-пароли, следует учитывать такие нюансы:

• Нельзя пользоваться интернет-банкингом с мобильных устройств;
• Не нужно сохранять пароль в браузере;
• При потере телефона следует незамедлительно обратиться в банк для блокировки учетной записи, чтобы ею никто не мог воспользоваться.

Что представляет собой электронная цифровая подпись?

Вышеперечисленные способы обеспечения защиты счетов пользователей являются самыми распространенными, однако существуют и другие методы идентификации клиентов. Особое внимание стоит обратить на электронную цифровую подпись, которая применяется чаще всего для компаний, но иногда предлагается и индивидуальным пользователям. ЭЦП предоставляет возможность однозначно идентифицировать личность, но не стоит исключать опасности завладения ключом от цифровой подписи мошенниками, которые могут заразить ПК вирусными файлами специального предназначения.

На видео – о безопасных платежах в интернете:

Известно, что существует целый ряд троянских программ, направленных на обнаружение индивидуальных паролей, ключей ЭЦП и других аутентификационных данных. Поэтому необходимо устанавливать антивирусные программы и регулярно проверять ПК на наличие вирусов. Также стоит выключать программу ЭЦП, если она не используется.

Дополнительные способы обеспечения безопасности пользования интернет-банкингом

Клиентам банка предлагается приобрести (купить или взять в аренду) генератор паролей для одноразового пользования. Прибор подсоединяется посредством USB-порта к компьютеру, и для него не нужно устанавливать специальное ПО. Также возможна вероятность использования электронного ключа, генерирующегося при первом подключении механизма. Среди дополнительных способов защиты электронных счетов следует выделить:

• Ограничение применения индивидуального сертификата, то есть воспользоваться электронным ключом для входа в учетную запись можно только с одного компьютера;
• Виртуальную клавиатуру. Она предназначена для защиты от вирусов, которые могут считывать информацию при наборе данных на обычной клавиатуре;
• Ограничение продолжительности сессии. Если пользователь в течение 10 – 15 минут не производит никаких операций, то система автоматически блокируется, и для входа в нее нужно заново ввести данные;
• Историю защиты. С помощью данной функции пользователь может проверить, подключался ли кто-нибудь к его учетной записи, а также проведение несанкционированных операций.

На видео – об электронных деньгах:

Что делать в случае взлома учетной записи интернет-банкинга?

Если все-таки мошенники смогли добраться до учетной записи онлайн-банкинга, то рекомендуется предпринять следующие меры:

• В первую очередь следует отключить ПК от интернета;
• Заблокировать личную учетную запись, обратившись в банк либо контактный центр;
• Сменить пароль и логин для входа в интернет-банкинг;
• Работу возобновлять следует, убедившись, что угроза устранена.

По мнению экспертов, жертвой мошенников становятся клиенты, не соблюдающие осторожность при пользовании интернет-банкингом. Клиентам банка рекомендуется с периодичностью раз в месяц менять постоянный пароль доступа в систему, а также не входить в онлайн-банкинг с чужих компьютеров, особенно из интернет-кафе. Известно, что мошенники могут воспользоваться доверчивостью пользователей и заразить вирусами компьютер посредством электронной почты и через различные социальные сети. В случае кражи денег со счета, нужно отправить заявку в банк и правоохранительные органы для разбирательства.

Основные угрозы для онлайн-операций

Несмотря на защищенность систем интернет-банкингов и онлайн-магазинов - используются такие методы защиты, как двойная аутентификация, системы одноразовых динамических SMS-паролей, дополнительные список одноразовых паролей или аппаратные ключи, защищенное протоколом SSL-соединение и так далее - современные методы атак позволяют обходить даже самые надежные защитные механизмы.

На сегодня у злоумышленников можно выделить три наиболее распространенных подхода для атаки на финансовые данные интернет-пользователей:

Заражение компьютера жертвы троянским программами (кейлоггеры, скринлоггеры и т.д.), использующими для перехвата вводимых данных;
- использование методов социальной инженерии - фишинговые атаки через электронную почту, веб-сайты, социальные сети и т.д;
- технологические атаки (сниффинг, подмена DNS/Proxy-серверов, подмена сертификатов и т.д.).

Как защитить интернет-банкинг?

Пользователь не должен надеяться только на банк, а использовать защитные программы для усиления безопасности электронных платежей в Интернете.

Современные решения Internet Security помимо функций антивируса предлагают инструменты безопасных платежей (изолированные виртуальные среды для онлайн-операций), а также сканер уязвимостей, веб-защиту с проверкой ссылок, блокировку вредоносных скриптов и всплывающих окон, защиту данных от перехвата (антикейлоггеры), виртуальную клавиатуру.

Среди комплексных решений с отдельной функцией защиты онлайн-платежей можно выделить Kaspersky Internet Security и компонент "Безопасные платежи", avast! Internet Security с avast! SafeZone и Bitdefender Internet Security с Bitdefender Safepay. Данные продукты позволяют не беспокоиться о дополнительной защите.

Если у вас другой антивирус, можно присмотреться к средствам дополнительной защиты. Среди них: Bitdefender Safepay (изолированный веб-браузер), Trusteer Rapport и HitmanPro.Alert для защиты браузера от атак, плагины и приложения Netcraft Extension , McAfee SiteAdvisor , Adguard для защиты от фишинга.

Не стоит забывать о фаерволе и VPN-клиенте, если приходится выполнять финансовые операции при подключении к открытым беспроводным Wi-Fi сетям в общественных местах. Например, CyberGhost VPN использует шифрование трафика AES 256-bit, что исключает использование данных злоумышленником, даже в случае перехвата.

А какие методы защиты онлайн-платежей используете вы? Поделитесь своим опытом в комментариях.

Нашли опечатку? Выделите и нажмите Ctrl + Enter