Kolejna firma skarży się, że ktoś podmienił jej numery rachunków zdefiniowanych odbiorców w systemie bankowości internetowej powerNET. Deutsche Bank nie planuje jednak wprowadzić dodatkowej autoryzacji przy modyfikacji przelewów zdefiniowanych.
Modyfikacja szablonów odbiorców zdefiniowanych w systemie bankowości internetowej w większości banków wymaga zatwierdzenia narzędziem autoryzacyjnym. Ale nie wszędzie. I tę lukę wykorzystują hakerzy włamujący się na konta klientów. Za pomocą specjalnych programów szpiegujących pozyskują login i hasło klienta, a następnie logują się do systemu i modyfikują szablony odbiorców zdefiniowanych. Zmieniają tylko numery kont - w miejsce prawdziwych podstawiają inne rachunki (założone na słupy). Nieświadomy tego faktu klient dalej realizuje przelewy do odbiorców zdefiniowanych i w ten sposób wysyła pieniądze złodziejom. Nikt nie sprawdza przecież numerów rachunków, które już wcześniej zdefiniował w systemie bankowości internetowej.
To bardzo sprytny atak, bo później oszukany klient w żaden sposób nie może odzyskać pieniędzy od banku. Przecież to on wybrał odbiorcę, któremu zleca przelew i na dodatek zatwierdził dyspozycję własnym narzędziem autoryzacyjnym. Z punktu widzenia banku zrealizował przelew poprawnie. A to, że ktoś podmienił numery kont, to już problem klienta. – Zmiana danych odbiorcy jest zupełnie inną dyspozycją niż zlecenie przelewu. O ile do dyspozycji złożenia przelewu mają zastosowanie przepisy ustawy o usługach płatniczych (z wszelkimi tego konsekwencjami), o tyle możliwość zdefiniowania odbiorcy stałego jest jedynie opcją ułatwiającą użytkownikowi usługi bankowości internetowej realizowanie zleceń płatniczych – tłumaczą się banki.
Zobacz także
Co więcej, zgodnie z obowiązującym prawem bank nie musi sprawdzać, czy numer rachunku przypisany jest do konkretnej osoby. Żeby zlecić przelew, wystarczy podać numer konta, a w pole odbiorcy wpisać chociażby Kaczora Donalda. Bank taki przelew zaksięguje i dostarczy pieniądze na wskazany numer konta.
Już kilkukrotnie na łamach Bankier.pl i PRNews.pl opisywałem podobne włamania na konta klientów. W ten sposób okradziono m.in. klientów PKO BP czy Banku Spółdzielczego we Wschowie. Złodzieje próbują także oszukać m.in. klientów firmowych Deutsche Banku. W systemie powerNET, na którym pracują przedsiębiorcy, również nie ma potrzeby zatwierdzania zmian w zdefiniowanych szablonach. Opisywałem już przypadek jednej z wrocławskich firm, która uważa, że padła ofiarą podobnego ataku i straciła 170 tys. zł. Niedawno zgłosiła się do mnie kolejna firma, tym razem z Lublina. Z dokumentów, które mi przedstawiła wynika, że doszło do podobnego zdarzenia.
– Wspomniana kradzież dokonywana była poprzez podmienianie numerów kont w przelewach (5), głównie tych spakowanych w paczki, wprowadzonych do systemu po zalogowaniu się przy pomocy stałego loginu i hasła i przed ich zaakceptowaniem z wykorzystaniem hasła i karty z mikroprocesorem. W sumie ponieśliśmy stratę w wysokości 58.407,23 zł – pisze właścicielka firmy.
Czytaj dalej >>>
