Autor príspevku v posledných pár dňoch dostal niekoľko phishingových emailov upozorňujúcich klientov Tatra banky na vypršanie platnosti prístupu do elektronického bankovníctva. Zaujímavé je vidieť vývoj troch po sebe idúcich podvodných emailov.
Phishing je podvodná technika na internete, ktorá sa snaží od dôveryhodných ľudí získať citlivé prístupové údaje napríklad do elektronického bankovníctva cez napodobovanie originálnej služby. Často ide o emaily, ktoré sa tvária ako oficiálne emaily od banky vyzývajúce na zadanie citlivých prístupových údajov na podvodných stránkach, ktoré sa podobajú na originálne internetové stránky internetového bankovníctva. Treba hneď podotknúť, že finančné inštitúcie takto s klientami nikdy nekomunikujú a nikdy nebudú komunikovať.
Poďme sa teraz pozrieť podrobnejšie, ako také rhybárčenie na neopatrných klientov Tatra banky vyzeralo v tomto špecifickom prípade.
Tatra banka je najinovatívnejšou bankou na Slovensku. Viac či menej pravidelne prichádza s novými službami pre svojich klientov. V týchto dňoch predstavuje elektronické bankovníctvo pre chytré hodinky ako Apple Watch a hodinky s operačným systémom Android Wear, ktoré spustí pre verejnosť čoskoro. Aké funkcie ponúknu svojim užívateľom bankové chytré hodinky? Aké funkcie by klienti od banky uvítali?
Tatra banka je častým cieľom rhybárov, ktorí sa snažia od nepozorných a dôverčivých klientov banky získať prístup k elektronickému bankovníctvu a následne aj k bankovému účtu. Útočník začína zaslaním emailu s odkazom na podvodnú webovú stránku s formulárom, ktorý vyžaduje od užívateľa prihlasovacie údaje. Po vyplnení formulára útočník získa prístup k elektronickému bankovníctvu a užívateľa presmeruje na skutočnú stránku Tatra banky.
Všetci sme zvyknutí z bankomatu vyberať hotovosť pomocou platobnej karty a zadaním PINu ku karte. Niektoré banky ako Air Bank v Českej republike alebo Tatra banka na Slovensku umožňujú výber hotovosti pomocou jednorazového časovo obmedzeného výberového kódu, ktorý klient banky použije miesto karty a PINu. V zahraničí, v Japonsku alebo Poľsku (Bank BPS), je už možné dostať sa k hotovosti bez karty len pomocou prstu alebo dlane, teda pomocou biometrických údajov. Ako to funguje?
Keď sa rhybárči, tak sa rhybárči naraz na viacero bánk. Kvantita má u útočníkov prednosť pred kvalitou. Ukázali sme, ako prebieha phishing na klientov Tatra banky. Ten istý útok a ten istý útočník útočí aj na ostatné banky. Útok tak prebieha naraz na klientov viacerých bánk v jednej krajine. V našom prípade je druhou obeťou, a zrejme nie poslednou, OTP banka.
Rhybári v týchto dňoch postupujú na Slovensku systematicky a zrejme každý deň rozpošlú várku falošných emailov, ktorá cieli na klientov jednej konkrétnej banky. Tento krát je na muške Sberbank. Ide o ten istý typ útoku ako u Tatra banky a OTP banky.
Česká spořitelna v týchto dňoch spustila novú online službu Friends24 na posielanie peňazí medzi ľuďmi navzájom bez toho, aby odosielateľ musel poznať číslo účtu príjemcu peňazí. Odosielateľovi stačí nejaký kontaktný údaj na príjemcu, cez ktorý dostane príjemca návod, ako sa k peniazom dostať. Obdobná služba Viamo funguje na Slovensku už niekoľko rokov.
