Kampanie phishingowe stały się już niemal codziennością. Zazwyczaj o ich skutkach nie słychać zbyt wiele, a dwustopniowe zabezpieczenia okazują się skutecznym hamulcem dla oszustów. Ostatni atak na klientów Banku Zachodniego WBK okazał się jednak groźniejszy niż wiele poprzednich podejść przestępców. Wszystko przez rezygnację z potwierdzania niektórych płatności jednorazowymi hasłami.
W ostatni weekend na skrzynki mailowe polskich internautów trafiła kolejna fala maili phishingowych. Tym razem oszuści podszywali się pod Bank Zachodni WBK. Wiadomości informowały o rzekomej blokadzie konta i konieczności zalogowania się na stronie. Link prowadził do podrobionego serwisu, w którym użytkownik miał podać numer klienta, hasło i dane karty płatniczej.
Kampania nie różniła się znacząco od poprzednich tego rodzaju ataków. Jednak serwis Niebezpiecznik.pl ustalił, że tym razem z kont niektórych klientów banku zniknęły pieniądze. Osoby, które podały na podrobionej stronie swoje dane do logowania, odnotowały nieautoryzowane transakcje na rachunkach. Teoretycznie powinien je chronić drugi poziom zabezpieczeń, czyli jednorazowe hasła przesyłane SMS-em lub wskazania tokena. Tym razem jednak przestępcy wykorzystali, nie do końca chyba przemyślaną, decyzję banku.
Bank wyłączył dodatkową weryfikację
Bank kilka miesięcy temu wprowadził nową opcję – rezygnację z konieczności podawania hasła jednorazowego przy zakupach w sieci opłacanych przelewem pay-by-link (w BZ WBK noszącym nazwę Przelew24). „Potwierdzenia smsKodem/tokenem nie wymagały płatności Przelewem24 w większości sklepów i serwisów aukcyjnych w przypadku, gdy dana transakcja nie przekraczała dziennego limitu transakcji niewymagających autoryzacji smsKodem/tokenem. Ułatwienia dotyczyły zweryfikowanych sklepów oraz serwisów aukcyjnych, gdzie płatności są dostarczane przez współpracujących z bankiem integratorów płatności lub sklepy internetowe. Rozwiązanie miało ułatwić klientom płatności Przelewem24, zwłaszcza w środowisku mobilnym” – wskazuje Katarzyna Prus-Malinowska, dyrektor bankowości internetowej i mobilnej w Banku Zachodnim WBK. Oszuści mogli więc dokonać zakupów w sieci, jeśli udało im się wyłudzić login i hasło do bankowości internetowej.
Przeczytaj także
„Bank przykłada dużą wagę do przestrzegania klientów przed podawaniem danych do logowania, systematycznie prowadzi akcje informacyjne. Pomimo tego rzeczywiście odnotowaliśmy incydenty, w których klienci nieostrożnie podali swoje dane na fałszywych stronach. Każdą taką sytuację bank rozpatruje w trybie indywidualnej reklamacji. Przestępcy rzeczywiście wykorzystali brak konieczności potwierdzania sms lub tokenem Przelewu24” – informuje Katarzyna Prus-Malinowska. „Z uwagi na atak phishingowy i podanie przez klientów danych do logowania, wczoraj bank przywrócił konieczność potwierdzania Przelewu24 smsKodem/tokenem" – dodaje.
Rekomendacja KNF dotycząca bezpieczeństwa transakcji płatniczych w Internecie opublikowana przez nadzór w zeszłym roku zaleca, aby inicjowanie transakcji w sieci było chronione silnym uwierzytelnieniem. Oznacza to, że powinny być stosowane dwa (lub więcej) stopnie zabezpieczeń. KNF dopuszcza jednak w pewnych sytuacjach odstępstwa od tej zasady, np. przy transakcjach niskiej wartości. Niewykluczone, że bank skorzystał z tej furtki, uznając niektóre transakcje za niosące ze sobą niższe ryzyko. Należałoby oczekiwać, że teraz zwróci ofiarom phishingu utracone przez nie środki.
