Bankowość internetowa dla odważnych?
Bankowość elektroniczna całkowicie odmieniła oblicze współczesnego rynku finansowego. Z usług bankowych można obecnie korzystać o dowolnej porze dnia i nocy z praktycznie każdego miejsca na świecie. To duże ułatwienie dla klientów, którzy nie są już ograniczeni godzinami pracy najbliższej placówki swojego banku. Jak się jednak okazuje wszystkie te zmiany mają też i swoje wady. Jedną z nich jest pojawienie się nowego rodzaju przestępców okradających banki. W XXI wieku taki złodziej nie kryje już swojej twarzy za maską, dzierżąc w ręku pistolet. Próbuje raczej niepostrzeżenie ukraść pieniądze bezpośrednio z internetowych rachunków nic niespodziewających się klientów. Jeśli zaś należy do przestępczej elity, atakuje bezpośrednio systemy bankowe, wyszukując w nich ewentualne błędy. Wszystko to może robić będąc tysiące kilometrów od kraju, w którym ma siedzibę narażony na atak bank. Co gorsze, swobodny dostęp do informacji w internecie powoduje, że z części najprostszych metod okradania rachunków bankowych, może zacząć korzystać praktycznie każdy chętny. Znacząco poszerza to krąg osób, które w nieuczciwy sposób chciałyby się wzbogacić. I chociaż większość z ich prób jest jedynie nieudolnym kopiowaniem wykorzystanych kiedyś pomysłów, to przykłady banków z USA, Australii i Wielkiej Brytanii wskazują, że nawet same próby mogą spowodować straty idące w miliardy dolarów! Do walki z tym problemem stają jednak najlepsi specjaliści z banków i instytucji powiązanych, więc powinniśmy spać spokojnie.Problemy zapewniania bezpieczeństwa użytkownikom bankowości internetowej wysuwają się obecnie na jeden z podstawowych problemów zachodnich instytucji finansowych. Chodzi już nie tylko o dalszy rozwój tego kanału dostępu, ale przede wszystkim o zachowanie jego obecnego stanu posiadania. Według badań firmy Forrester Research same obawy przed nieuczciwymi transakcjami bardzo silnie wpłynęły na zachowanie amerykańskich konsumentów. Zjawisko phishingu sprawiło, że 26 procent internautów w USA przestało ubiegać się o nowe produkty przez internet. W co jeszcze trudniej uwierzyć, aż 14 procent zupełnie zrezygnowało z korzystania z tego kanału dystrybucji lub płacenia rachunków przez sieć! Oznacza to, że jedynie przez obawy o bezpieczeństwo transakcji wykonywanych przez internet, z tego typu usług mogło zrezygnować w USA nawet 12 mln użytkowników. Już sam ten fakt oznacza wymierne straty finansowe, jakie zaczynają ponosić największe banki, narażone na internetowe ataki przestępców. W niektórych krajach można już mówić nawet o realnej groźbie masowego odwrotu klientów od bankowości internetowej. Niektóre banki na zachodzie zostały wręcz zmuszone do ograniczenia funkcjonalności, a nawet czasowego wyłączenia niektórych usług, jak na przykład przelewów do osób trzecich. Pospieszne wprowadzanie zabezpieczeń uwierzytelniających klientów jest na obecnym etapie rozwoju bardzo kosztowne i tworzy wiele problemów. Wszystko to zaś sprawia, że w niektórych komentarzach pojawia się opinia, że korzystanie z bankowości internetowej wymaga często od klientów dużej odwagi i samozaparcia. Banki starają się jak mogą ograniczyć ryzyko, jednak najczęściej odbywa się to kosztem klienta i wygody korzystania. Wydaje się jednak, że jest to obecnie jedyny szybki sposób na zatrzymanie rosnącej w niektórych krajach fali oszustw finansowych. Banki mają świadomość, że obecnie płacą za zaniedbania poprzednich lat. A mają się czego obawiać. Z badania przeprowadzonego przez amerykański Ponemon Institute wynika, że ponad połowa użytkowników bankowości internetowej (57%) opuściłaby swój bank już w przypadku jednorazowego złamania zabezpieczeń!
Bezpieczeństwo w bankach internetowych kluczowe dla lojalności klientów
Zaufanie do banków staje się obecnie najważniejszym czynnikiem wpływającym na lojalność klientów i siłę marki banku. Nawet wśród instytucji cieszących się największym zaufaniem klientów wystarczy jedno naruszenie prywatności klienta, by zniszczyć pozytywne relacje. Przykładów nie trzeba szukać za granicą. Niedawno dość poważne problemy z zabezpieczeniem swoich systemów bankowych miały dwa duże krajowe podmioty. Banki muszą stale monitorować systemy bezpieczeństwa internetowych kanałów dostępu lub liczyć się z kosztowną stratą klientów i nadszarpniętą opinią. Problem w tym, że to może i rzutuje jednocześnie na cały sektor i wiąże się z dużymi wydatkami, jakie wszyscy musza ponosić. Jeszcze dziesięć lat temu dla zarządzających bankami, bezpieczeństwo systemów komputerowych znajdowało się gdzieś na samym dole priorytetów. Obecnie jest to dla nich jeden z najważniejszych problemów. Co więcej bardzo kosztowny. W 1998 roku na bezpieczeństwo przeznaczano ok. 2,5 procent budżetów IT amerykańskich banków. Pięć lat później było to już 10 procent i przeznaczone na ten cel kwoty rosną z roku na rok. Niestety nie zmienia się przy tym skala niebezpieczeństw... Zwłaszcza, że problem coraz bardziej dotyczy nie bezpośrednio samych banków, a przede wszystkim ich klientów. To właśnie oni stają się bezpośrednim celem internetowych ataków przestępców, co z kolei zmusza banki do wyjścia poza dotychczasowe definicje bezpieczeństwa bankowego. Obecnie banki chronią nie tylko swoje zasoby i systemy. Coraz częściej widać, że instytucje finansowe dbając o swoją renomę, otaczają opieką i systemami bezpieczeństwa także swoich klientów i to w stopniu wręcz niewyobrażalnym w świecie niewirtualnym. W świecie "realnym" zabezpieczenie mieszkania czy portfela to osobista i wyłączna odpowiedzialność klienta. W świecie "wirtualnym" zabezpieczenie komputera klienta czy jego tokena/karty kodów staje się wspólnym zadaniem klienta i banku. Podobnie wygląda kwestia współpracy z organami ścigania. Owszem, w świecie `realnym' firmy pomagają w dochodzeniach, jeśli zostaną o to poproszone, ale instytucje internetowe idą dalej - jako że są żywotnie zainteresowane wykrywaniem i karaniem przestępców, aktywnie pomagają policji, w każdy legalny sposób. Oczywiście najlepiej wychodzi ta współpraca tym, którzy mają do niej najwięcej powodów, niemniej o ile o `realnych' firmach polska policja nie może wiele powiedzieć, o tyle o firmach internetowych mówi jasno - Allegro, Onet, Wirtualna Polska i Inteligo otrzymały nawet podziękowania za świetną współpracę.Firmy internetowe są już nie tylko providerami usług, ale stają się w pewnym sensie jeśli nie policjantami, to przynajmniej ochroniarzami swoich klientów. Zabezpieczają nie tylko siebie, ale także klientów, a w razie problemów dochodzą nie tylko swoich strat, ale także aktywnie wspierają zwalczanie przestępstw przeciwko swoim klientom. .
Ofiarami najczęściej padają Amerykanie
Jeśli mowa o bezpieczeństwie bankowości internetowej należy podkreślić, że zagrożenie nie rozkłada się po równo na wszystkich. Europejczycy powinni czuć się bezpieczniej. Wiąże się to z zaszłościami historycznymi, związanymi z wyborem w niektórych krajach najprostszego systemu zabezpieczeń. Początkowo rozwiązanie takie przynosiło bardzo duże efekty - łatwość obsługi wpłynęła na szybką akceptację bankowości internetowej. W krajach anglosaskich do tej pory najczęściej używanym zabezpieczeniem przed pełnym dostępem do konta jest jedynie login i ustalane przez klienta hasło. W niektórych bankach dla ułatwienia wprowadzono kiedyś system, w którym za identyfikator użytkownika wykorzystuje się numer karty płatniczej, a hasłem jest jej numer PIN. System ten z punktu widzenia użytkownika był bardzo wygodny, a przy okazji tani we wdrożeniu dla banku. Mimo formułowania licznych zastrzeżeń, banki stosujące takie systemy zlekceważyły je i nie wprowadziły na czas stosownych zabezpieczeń. Efekty widać obecnie w masowym zjawisku phishingu. Amerykańskie, australijskie, czy angielskie banki próbują szybko wdrażać rozwiązania, które w Europie, w tym i w Polsce są od dawna standardem. Przy tak dużej liczbie klientów i starych systemach centralnych jest to jednak i kosztowne i długotrwałe. Banki te płacą obecnie wysoką cenę za wcześniejsze zaniedbania. Niestety ma to wpływ na cały światowy sektor bankowy - również i w Polsce. Obecnie jedną z największych barier rozwoju bankowości internetowej wcale nie musi być brak dostępu do sieci. Jest nią przede wszystkim zaufanie, czy raczej jego brak. Aż 40 procent europejskich internautów, którzy nie korzystają z bankowości online twierdzi, że głównym tego powodem jest właśnie obawa o bezpieczeństwo swoich danych i pieniędzy. W wielu krajach, takich jak Niemcy, Hiszpania, Włochy, Francja czy Holandia, klienci czują się zupełnie bezpiecznie, dając kelnerowi w restauracji swoją kartę kredytową, podczas gdy jednocześnie mają duże obawy w korzystaniu z bankowości internetowej! Co gorsza mimo tych wszystkich obaw, nie robią prawie nic, by poznać sposoby zabezpieczenia komputerów i swoich danych. A z badań Forrester Research wynika, że jedynie ok. 30 procent Europejczyków jest pewna bezpieczeństwa podawanych w sieci informacji finansowych, takich jak numer karty płatniczej. Czy to wszystko może oznaczać, że po masowej ekspansji, czeka nas równie spektakularna ucieczka od tego kanału dystrybucji usług bankowych? Na całe szczęście wydaje się, że nie - przynajmniej w Europie. Podczas gdy Amerykanie postawili na wygodę, na naszym kontynencie banki skupiły się na zachowaniu bezpieczeństwa. Głównie wynika to z opóźnień we wdrażaniu internetu w bankach - co jak się teraz okazuje wyszło na korzyść. W większości krajów europejskich dwuskładnikowe metody uwierzytelniania to obowiązujący standard. Coraz częściej pojawiają się nawet dodatkowe (potrójne) metody zabezpieczeń. Stosowanie systemów silnego uwierzytelnienia nie rozwiązuje wszystkich problemów bezpieczeństwa, rodzi też przy zwiększeniu skali działania nowe. W długim terminie zabezpiecza jednak interesy zarówno instytucji finansowych jak też i samych klientów. To wszystko zaś sprawia, że najczęściej wykorzystywane w USA sposoby zdobywania od klientów poufnych danych, a tym samym kradzieży ich pieniędzy, w Europie po prostu się nie sprawdzają. Co najciekawsze polskie banki można uznać przy tym za jedne z najlepiej dbających o bezpieczeństwo swoich internetowych klientów, a przy tym najdociekliwiej ścigające osoby, które chciałyby tą drogą nielegalnie się wzbogacić. Chociaż większość informacji na temat szczegółów takich operacji nie wychodzi zazwyczaj na jaw, to wiadomo na przykład, że wśród instytucji finansowych wyróżnionych przez polską policję za bardzo dobrą współpracę, znajduje się Inteligo - internetowe ramię PKO BP. Takie przynajmniej są wnioski z wyników badań nad przestępczością teleinformatyczną, opublikowanych na początku lipca w Wyższej Szkole Policji w Szczytnie. I rzeczywiście coś w tym musi być, skoro według nieoficjalnych informacji, autor zeszłorocznych prób phishingowych, którego celem było właśnie Inteligo, bardzo szybko znalazł się w rękach policji. Śledztwo niestety ostatecznie umorzyła prokuratura, a jednym z powodów był fakt, że żaden z klientów nie poniósł materialnej szkody. Bardziej spektakularną sprawą było zatrzymanie w wyniku współpracy z Inteligo Kamila D. i Renaty J., którzy "namówili" wrocławskiego fiskusa na przelanie należących do spółki EFL 4,8 mln zł nie na rachunek firmy, a na konto przestępców. Pech dla nich chciał, że do przestępczego procederu chcieli wykorzystać właśnie konto w Inteligo. Nie pomogło podanie fałszywych danych - obie osoby siedzą już w areszcie. Podobnie jak osoba, która w lipcu zadzwoniła na infolinię banku informując o podłożeniu bomby w "oddziale" banku. Dzięki współpracy z Inteligo sprawca fałszywego alarmu został aresztowany już następnego dnia. Przestępcy - idąc za powszechnym przekonaniem - uważają, że są w internecie anonimowi, a tym samym bezkarni. W istocie okazuje się, że jeśli natrafią "po drugiej stronie" na odpowiednich specjalistów, nie mają większych szans. Fakt ten nie zwalnia co prawda klientów z obowiązku ostrożności, ale może uspokoić, że jeśli przestępca ukradnie nam coś w internecie, ma małe szanse na bezkarną ucieczkę. Potwierdzają to inne głośne w ostatnich miesiącach przypadki bankowych przestępstw dokonanych przez internet. Większość sprawców znajduje się już w aresztach, a tylko niechęć banków do informowania o takich sytuacjach sprawia, że nie mogą one posłużyć jako element odstraszający innych przestępców. Wpływ na to ma również chęć zachowania przez policję w tajemnicy stosowanych przez nią technik operacyjnych. Jedno jest jednak pewne - mimo, że tego na co dzień nie widać, banki w różny sposób dbają o bezpieczeństwo naszych pieniędzy.Czego powinni obawiać się klienci?
Najbardziej rozpowszechnionym obecnie zagrożeniem dla konsumentów jest masowe wykorzystanie oszukańczych e-maili (phishing). Na skutek takich ataków przestępcy zdobywają informacje o hasłach i loginach do kont internetowych, numery kart płatniczych, czy szczegółowe dane osobowe. Poprzez podszywanie się pod ogólnie znane i rozpoznawalne marki przestępcy są w stanie przekonać do przekazania tego typu informacji nawet 5 proc. odbiorców tego typu wiadomości! Bez wątpienia jest to najpoważniejszy kryzys zaufania, przed jakim stanęła do tej pory bankowość internetowa.Przykład fałszywego e-maila
Co musi martwić, przestępcy wciąż doskonalą swoją skuteczność. O ile kiedyś najczęściej podstawiano fałszywe strony, to obecnie coraz częściej stosowane są bardzo wyrafinowane sposoby, łącznie z kupowaniem kradzionych baz danych. Niestety w wielu przypadkach, również w Polsce, złodziejom pomagają sami klienci, podając wszystkie najważniejsze dane w internecie. Jak się okazuje ten najprostszy sposób zdobywania poufnych danych jest przy okazji najskuteczniejszy. Dlatego też liczba ataków rośnie z miesiąca na miesiąc, osiągając nawet kilkusetprocentową dynamikę w okresie rok do roku. Do niedawna wydawało się, że banki bagatelizują to zagrożenie. Taki stan miał jednak swoje ekonomiczne wytłumaczenie. Pomimo nasilenia się zjawiska phishingu, straty spowodowane działalnością internetowych przestępców wciąż są znacznie niższe, niż koszty wdrożenia nowych, bardziej skomplikowanych systemów zabezpieczeń, czy masowej edukacji klientów. Mimo zaleceń amerykańskich urzędów sugerujących zmianę dotychczasowych reguł dostępu do systemu bankowego, bankom w USA nadal opłaca się naprawiać ewentualne szkody finansowe jakie ponoszą klienci. Dzieje się tak zwłaszcza przy stosowaniu zaawansowanych limitów transakcyjnych. Wprowadzenie nowych zabezpieczeń wiąże się bowiem z ingerencją w dotychczasowe systemy, które często nie są przystosowane do ich obsługi. Dodatkową przeszkodą, prawdopodobnie największą w tym momencie, jest zmiana przyzwyczajeń klientów, a także koszty zakupu, dystrybucji i obsługi nowych systemów zabezpieczeń opartych np. o tokeny, czytniki kart chipowych, czy kodami jednorazowymi. Są to na tyle duże kwoty, że nawet największe i najbogatsze instytucje nie decydują się na masową operację, ograniczając się jedynie do najbogatszych klientów. Podejście to może się jednak wkrótce zmienić. W ostatnich miesiącach największym zagrożeniem staje się nie phishing, do którego klienci zdążyli się już przyzwyczaić i nauczyć rozpoznawać, a keyloggery. Te nowe, dużo skuteczniejsze metody dokonywania oszustw są wyjątkowo niebezpieczne i mogą zagrozić nawet bankom, które stosują zaawansowane wydawałoby się systemy zabezpieczeń. Wykorzystując takie niewidoczne dla użytkownika komputera programy, przestępcy mogą przechwycić i przekazać do zdalnego komputera informacje związane z wszelką aktywnością użytkownika - prywatną korespondencję, wpisywane znaki z klawiatury czy odwiedzane strony. Nie trudno sobie wyobrazić, jak jest to niebezpieczne dla wszelkich poufnych danych finansowych. Najbardziej niepokojące jest natomiast to, że złodzieje w celu rozpowszechniania takich programów wykorzystują sztuczki, których nauczyli się przy masowym wysyłaniu spamu czy oszukańczych maili.
Zgodnie z raportem firmy Websense i grupy Anti-Phishing Working Group obecnie powstają setki nowych witryn próbujących zarazić komputer użytkownika przy pomocy szkodliwego oprogramowania. Jeszcze pod koniec ubiegłego roku każdego tygodnia pojawiało się zaledwie 15 tego rodzaju stron WWW. Intruzom chodzi przy tym głównie o zminimalizowanie udziału użytkownika w procesie zarażania. Obecnie nie trzeba już nawet pobierać zarażonego programu! Wystarczy tylko korzystać z niezałatanej wersji przeglądarki lub systemu i wejść na odpowiednio spreparowaną stronę WWW. Co gorsza profity z tego sposobu działania zauważyły zorganizowane grupy przestępcze.
Jak bronią się banki?
Rozwój metod zabezpieczeń jest stały i być może nawet coraz szybszy - nawet dające gwarancję pełnego bezpieczeństwa sposoby wykorzystujące token czy hasła jednorazowe są ciągle ulepszane. Przykładem mogą być te ostatnie. Do tej pory w dwóch największych bankach wirtualnych standardem było wykorzystanie haseł po kolei oraz fakt, że system mógł poprosić o to samo hasło więcej niż raz, na przykład w sytuacji, gdy połączenie nagle zostało przerwane, a klient nie zdążył go podać. Taka sytuacja nie jest możliwa na przykład w Nordea Banku czy Raiffeisen Banku - tam raz wywołane przez system hasło, zostaje uznane za zużyte. Uniemożliwia to wykorzystanie tzw. ataku man-in-the-middle. Wiąże się to z pewną niewygodą dla klientów. Duża część z nich wciąż korzysta z zawodnych połączeń modemowych, które mają tendencję do rozłączania się w najmniej oczekiwanych momentach. Dlatego niektóre banki, jak np. ostatnio Inteligo, poszły jeszcze dalej i zapamiętują w systemie wszystkie szczegóły transakcji zlecanej przez klienta i jeśli sesja zostanie zerwana, system oferuje klientowi kontynuację zlecania operacji i poprosi o nowe hasło tylko jeśli zostały wprowadzone jakieś zmiany w swoim zleceniu. Te techniczne szczegóły nie zmieniają jednak faktu, że wciąż najsłabszym elementem w całym systemie zabezpieczeń są ludzie. Szacuje się, że za ponad 80 procent wszystkich włamań odpowiadają pracownicy samych banków. Tak szeroko opisywane zjawiska jak phishing czy wirusy to wciąż mały, chociaż szybko rosnący procent przypadków. Jeszcze do niedawna z bankowości internetowej korzystali jedynie bardzo doświadczeni internauci. Obecnie wraz z demokratyzacją sieci przybyło osób, które komputer traktują jedynie w sposób użytkowy. One również zachęcone przez same banki lub swoich znajomych korzystają z zalet kanału internetowego. Niestety jak się okazuje - to właśnie przede wszystkim tacy mało świadomi czyhających na nich niebezpieczeństw klienci, są najczęściej ofiarami włamań na bankowy rachunek. W Polsce na całe szczęście zjawisko to jest marginalne. Wszystko dzięki dobrym zabezpieczeniom i procedurom stosowanym przez rodzime instytucje. Mimo wszystko banki nadal niechętnie podchodzą do możliwości edukowania w tym zakresie klientów, wychodząc z założenia, że może to zniechęcić mniej obeznanych użytkowników przed korzystaniem z ich systemów bankowości internetowej. Ważnym argumentem jest również fakt, że takie działanie w istotny sposób może wpłynąć na poziom wiedzy ewentualnych domorosłych przestępców, którzy znając stosowane zabezpieczenia i porady banków, mogą opracować skuteczniejsze sposoby nielegalnego zdobycia informacji od klientów. Z tego powodu przyszłość bezpieczeństwa bankowości elektronicznej widziana jest w systemach eliminujących ewentualny błąd ludzki. Do najbardziej obiecujących pod tym względem (oprócz podpisu cyfrowego) należą zabezpieczenia wykorzystujące techniki biometryczne. Zainteresowanie tą techniką wynika z szybkiego rozwoju i spadku ceny tej technologii. Obecnie tego typu systemy stosuje się eksperymentalnie w wybranych bankomatach, niektórych placówkach, a także pierwszych systemach komputerowych (czytnik linii papilarnych przyłączany do klawiatury lub myszki, czytniki siatkówki oka itp.). Wciąż jednak jest to pieśń przyszłości. Dlatego stosowane są środki zastępcze, które chociaż nie eliminują całkowicie zagrożeń, to w znaczny sposób je ograniczają. Do takich technik można zaliczyć:- wprowadzanie dodatkowych pól przy logowaniu się do systemu,
- wprowadzanie dodatkowych zabezpieczeń przy transakcjach dokonywanych drogą telefoniczną,
- wprowadzanie limitów transakcyjnych,
- wprowadzania powiadomień na telefon komórkowy i pocztę e-mail,
- stały monitoring i telefoniczne potwierdzanie podejrzanych transakcji,
- systemy wykrywające nielegalne strony czy ataki na serwery,
- edukację klientów w zakresie unikania najpowszechniejszych ataków,
- ścisłą współpracę z zewnętrznymi organizacjami czy organami państwowymi, takimi jak policja, dostawcy usług internetowych, producenci oprogramowania, itp.
Trzeba przy tym pamiętać, że wiele spośród tych technik banki stosują bez informowania o tym swoich klientów. Ma to na celu ochronę całego, skomplikowanego systemu bankowych zabezpieczeń.
Bezpiecznie jak w polskim banku?
Polacy tu urodzeni pesymiści. Widać to również w przypadku bankowości. Narzekamy na wysokie koszty prowadzenia rachunku, niskie oprocentowanie depozytów, czas trwania przelewów czy zabezpieczenia stosowane w bankach internetowych. Jak się jednak okazuje wiele z tych zarzutów jest czasem niesłuszna. Lata zapóźnień pozwoliły w Polsce wdrożyć od razu najbardziej zaawansowane technologie, o których wielu klientów z innych krajów może tylko pomarzyć. Takie proste zdawałoby się zabezpieczenie jak kody jednorazowe są w USA czymś praktycznie jeszcze niespotykanym. W Polsce są zaś powszechnym sposobem uwierzytelnienia nie tylko transakcji, ale również innych dyspozycji klienta. Na przykład w Inteligo oprócz standardowej akceptacji przelewu internetowego na inny rachunek, kodów jednorazowych używa się także przy potwierdzaniu użytkownika poprzez kanał telefoniczny, ale również za ich pomocą można w prosty sposób korzystać z nowych usług i funkcjonalności, które w innych bankach wymagają formy pisemnej. Jak się okazuje - wystarczy jedynie dobry zapis w regulaminie rachunku. Malkontenci stwierdzą natychmiast, że kody kodami, a i tak najlepszym zabezpieczeniem jest token. W pewnych hipotetycznych warunkach istotnie tak jest. Problem w tym, że token to bardzo konkretny koszt, który musiałby ponieść bank, a w ostatecznym rozrachunku klient. Rachunek ekonomiczny pokazuje jednoznaczne zwycięstwo haseł jednorazowych - żaden z banków, który oferuje te małe urządzenia, nie należy do czołówki instytucji z największą liczbą klientów internetowych. Nawet BZ WBK, który udostępnia dostęp do konta również bez potrzeby wykupywania tokena, wdrożył niedawno alternatywny sposób dostępu, wykorzystujący hasła jednorazowe przesyłane na komórkę. Można zresztą policzyć jakie ogromne koszty byłyby to w przypadku największych polskich banków internetowych. Koszt tokena to ok. 10-15 dolarów. Oznaczałoby to, że raz na ok. 3 - 5 lat PKO BP czy BRE Bank musiałby wydawać 10-15 milionów dolarów! A przecież w międzyczasie wciąż rosłaby liczba obsługiwanych użytkowników! Doliczywszy do tego koszty dystrybucji i aktywacji, wychodzi dość astronomiczna kwota, która zostałaby oczywiście przerzucona na klienta. To właśnie jest najpoważniejszy problem dla wszystkich instytucji bankowych na całym świecie. Klienci domagają się lepszych zabezpieczeń, jednak jednocześnie nie chcą za to ponosić dodatkowych kosztów. Przyszłością mogą być zatem zintegrowane systemy zabezpieczeń, które można stosować w wielu miejscach - takim miał być teoretycznie podpis elektroniczny. Czy jednak oznacza to, że korzystanie z banków internetowych jest obecnie niebezpieczne? Zdecydowanie nie! Warto tylko pamiętać o kilku podstawowych zasadach tzw. higieny korzystania z komputera. Niestety w wielu przypadkach włamań, klienci są po prostu sami sobie winni. Nie chodzi tu już o posiadanie programu antywirusowego czy firewalla, ale prostej zdawałoby się aktualizacji systemu operacyjnego, czy unikanie wizyt na niektórych witrynach internetowych. Jak się okazuje ciekawość zawartości specjalnie spreparowanych przez przestępców "różowych" stron kosztowała klientów jednego z polskich banków kilkaset tysięcy złotych. Na witrynie znajdował się trojan, który instalował się na niezabezpieczonych komputerach. W przypadku innego, ostatnio głośnego włamania wykorzystano prawdopodobnie pocztę elektroniczną, co umożliwiło instalację złośliwego oprogramowania. Jednak i w tym przypadku, gdyby klienci mieli na komputerach zainstalowane zalecane przez bank oprogramowanie - z pewnością ich pieniądze byłby bezpieczne. Pozostaje zatem pytanie - w jaki sposób można uchronić się przed takim niebezpieczeństwem? Odpowiedź jest dość prosta - wystarczy korzystać z porad i stosować się do zaleceń umieszczanych na stronach banków. Tu jednak okazuje się, że nie wszystkie banki podchodzą do tego problemu w podobny sposób. W wielu przypadkach zdarza się bowiem, że temat jest opisany powierzchownie, lub w sposób bardzo skrótowy. Takie opracowanie jest zatem zupełnie nieprzydatne dla większości internautów. Ci bowiem, którzy się znają - takich stron po prostu nie odwiedzają. Dlaczego banki stosują taką strategię? Powszechnym problemem jest obawa przed kryptoreklamą oprogramowania jakiejś firmy, braki kadrowe i chęć uniknięcia edukacji potencjalnych przestępców. Jest to widoczne zwłaszcza w tym ostatnim przypadku. Banki opisują zagrożenie dość ogólnie. Jest to po części zrozumiałe. Pomysłowość ludzka nie zna granic i stosowane są wciąż nowe techniki. Dokładne ich wymienianie na stronie banku mogłoby zniechęcić do korzystania z usług banku i stanowiłoby świetny instruktaż, który można byłoby wykorzystać na części klientów, którzy nie widzieli takiej strony i pozostali nieświadomi zagrożeń. Jak zatem radzą sobie z tym banki? Wspomniana już wcześniej firma Forrester zaleca bankom edukowanie swoich klientów w zakresie zagrożeń i środków ochrony danych. Według niej banki powinny pomagać swoim klientów w ochronie przed najczęściej spotykanymi zagrożeniami, ponieważ są one dużo trudniejsze do namierzenia, niż bezpośrednie ataki na systemy bankowe. Zachodnie banki podchodzą do tego problemu z coraz większą powagą. Powstają podserwisy poświęcone jedynie tematowi bezpieczeństwa. Są one często tworzone przy współpracy z producentami oprogramowania lub najpopularniejszymi czasopismami komputerowymi. Doskonale spełnia to swoje zadanie - z jednej strony pojawiające się tam informacje są zawsze aktualne, z drugiej opracowywane są przez fachowców. Co ciekawe najchętniej na taki krok decydują się banki, które można zaliczyć do dobrze chronionych. W Polsce za dobry przykład może posłużyć Inteligo. Instytucja ta podchodzi do tych kwestii w sposób wielotorowy, dzięki czemu spełnia oczekiwania zarówno tych niedoświadczonych internautów, jak i bardziej zaawansowanych użytkowników. Udostępnia na przykład dość szczegółowe informacje na temat zalecanych sposobów zabezpieczenia komputera (opracowane przez CERT Polska), ale także rozbudowany system pytań i odpowiedzi na temat bezpieczeństwa, używanego do korespondencji podpisu cyfrowego czy w końcu stosowanej polityki bezpieczeństwa. Ostatnim elementem, który można określić jako wizerunkowy, jest współpraca z serwisem internetowym "Komputer w firmie", prowadzonym przy współudziale takich firm jak Intel, Microsoft, czy TP S.A.. Na łamach tej witryny odnaleźć można wiele interesujących artykułów i porad na temat bezpieczeństwa. Przydadzą się one nie tylko osobom prowadzącym własną firmę, ale także każdemu zainteresowanego tym tematem internaucie. Własne, rozbudowane serwisy o podobnej tematyce posiada też coraz więcej banków. Warto pamiętać, że umieszczone tam porady są uniwersalne, czyli nie ograniczają się jedynie do użytkowników danego rachunku. Z tego też względu warto również odwiedzić stronę mBanku, ING BSK lub firm i czasopism, które na co dzień zajmują się tego typu zagadnieniami.Na koniec można spróbować odpowiedzieć, czy zabezpieczenia stosowane przez polskie banki są wystarczające? Jeszcze jakiś czas temu można było praktycznie bez wahania (jeśli nie liczyć jednego wyjątku) odpowiedzieć twierdząco na to pytanie. Obecnie odpowiedź może być trudniejsza, a to ze względu na ostatnie przykłady włamań na rachunki klientów, wykorzystujące sposoby, na które banki nie były przygotowane. Trzeba tu jednak zaznaczyć, że nie ma tu bezpośrednio ich winy. W internecie trwa nieustanny wyścig zbrojeń pomiędzy przestępcami, a policją i instytucjami finansowymi. System, który był bezpieczny przez kilka ostatnich lat (jak na przykład klucz prywatny przechowywany na serwerze w banku) może nagle okazać się nieprzystosowany do wykrytych nagle luk np. w przeglądarce internetowej lub nowych sposobów włamań takich jak pharming, czyli ukrywanie wirusów w przesyłanych e-mailach i na specjalnie spreparowanych witrynach. Banki zdają sobie sprawę, że są to bardzo ważne kwestie, od których zależy nie tylko ich reputacja, ale również wyniki finansowe. Z tego względu cały czas modyfikują stosowane systemy bezpieczeństwa - w systemie transakcyjnym trudniej podejrzeć pełny numer karty płatniczej, system czasami prosi o inny kod jednorazowy, nie wykorzystując następnego w kolejności, czy w końcu wdrażane są nowe zabezpieczenia. Jednak nawet w ten sposób nie da się w pełnie uchronić klienta, jeśli on sam nie będzie stosował się do wszystkich zaleceń. Obecnie (a zapewne i w dużym stopniu i w przyszłości) klucz do zapewnienia bezpieczeństwa leży właśnie nie w technicznych zabezpieczeniach, a przede wszystkim w podejściu klientów, którzy zbyt często zachowują się w sposób niefrasobliwy. Ten stan może się zmienić dopiero po tym, kiedy wszystkie banki zaczną wspólnie bardziej angażować się we własne i zewnętrzne kampanie edukacyjne. Ostatnie wydarzenia zapewne zmuszą niektóre banki do zrewidowania dotychczas prowadzonej polityki informacyjnej. Daje to nadzieję, że dzięki temu klienci będą świadomi nie tylko zagrożeń, ale przede wszystkim w pełni poznają zalety oferowanych przez nich internetowych kont i będą mogli wybierać banki, które się najbardziej starają i są najbardziej aktywne w ochronie klienta, bo one w tym wyścigu zawsze będą z przodu.
Źródło:
