Csússzunk át az adathalászok hálóján!

Csak Nagy-Britanniában évente 650 milliárd forint értékű kár éri a pénzintézetek ügyfeleit adathalászat miatt. Magyarországon eddig alig okoztak kárt adathalászok, az utóbbi két hétben azonban megszaporodtak a támadások, ráadásul továbbiak is várhatók. Az [origo] összegyűjtötte, mit tehetnek az ügyfelek és mit tesznek a bankok a csalások megelőzése érdekében.

A bankok többféle módon is igyekeznek megakadályozni az adathalász akciók eredményessé válását. A Raiffeisen Bank az adathalász e-mailek megjelenésekor sms-ben és e-mailben figyelmeztette ügyfeleit az adatlopás veszélyére. Ezzel egyidejűleg leállította az internetes bankszolgáltatást, hogy ezzel is figyelmeztesse az ügyfeleket. A bank honlapján azóta is tájékoztató olvasható a Raiffeisen DirektNet biztonságos használatáról.

A pénzintézet emellett az ügyfelek érdekében a magánszemélyek internetes bankolásánál csökkentette a napi tranzakciós limiteket, a vállalati ügyfelek kiemelt tranzakcióit telefonos visszahívással is ellenőrzi. A telefonos tranzakciók esetén az azonosítók megadásán túl további 3 személyes adattal történik az ügyfelek azonosítása.

Az eredményes adathalász támadások megelőzésében kiemelt szerepet tulajdonít a tájékoztatásnak a CIB Bank. Az adathalászok ugyanis gyakran egyszerű módszereket alkalmazva a felhasználó megtévesztésével és jóhiszeműségével élnek vissza.

A pénzintézet honlapján ezért tájékoztató található a CIB Internet Bank biztonságos használatáról. Emellett a napokban biztonsági figyelmeztetést is elhelyeztek az oldalon és a CIB Internet Bank nyitó felületén is, valamint sms-értesítést küldtek az internetbank felhasználóinak, amelyben felhívták figyelmüket az esetleges veszélyre.

Az Erste Bank is folyamatosan figyelmezteti az ügyfeleit. A bank honlapján, valamint az Erste NetBank bejelentkező oldalán is fent van egy üzenet, hogy az Erste Bank semmilyen körülmények között nem kér azonosítást, illetve titkos azonosítókat elektronikus levélben.

Az Erste Bank és az [origo] klikkbank ügyfeleinek biztonságát fokozza, hogy az Erste NetBankból csak egy sms-ben küldött, egyszer felhasználható, időzáras aláíró jelszóval lehet aktív tranzakciót indítani, így önmagában a NetBankba történő jogosulatlan belépéssel nem lehet kárt okozni az ügyfeleknek.

A HVB Bank ügyfeleinek az elektronikus úton adott megbízások hitelesítésére saját személyes azonosítójuk mellett egy egyedi, egyetlen alkalommal és akkor is csak korlátozott ideig használható jelszót is meg kell adniuk. Ezt a bank sms-ben küldi el az ügyfél mobiltelefonjára, vagy egy kódgneráló eszköz állítja elő.

Mivel a jelszó előállítása független az internettől, és az ügyfél is csak a banktól értesülhet róla, így ha a csalók elvben meg is tudnák szerezni az ügyfelek azonosítóját, a számlákhoz mégsem férnének hozzá, mert az ehhez szükséges egyedi, egyszer használatos és "rövid életű" jelszót nem ismerhetik meg.

Az Inter-Európa Bank a BankoWEBŐr szolgáltatással igyekszik megakadályozni, hogy illetéktelenek hozzáférhessenek ügyfeleik számlájához. A pénzintézet mobiltelefonra küldött sms-üzenetben értesíti a sikeres bejelentkezésről az ügyfelet, aki pedig egy meghatározott banki szám felhívásával úgynevezett időablakot nyithat, melynek keretében csak meghatározott ideig végezhet olyan banki műveleteket, mint átutalás vagy betétlekötés.

Magyarországon eddig alig okoztak kárt adathalászok

A BankoWEBŐrnek köszönhetően egy tranzakció indításához nem elég bejelentkezni, hanem még az ügyfél regisztrált mobiltelefonjáról indított hívását is azonosítja a rendszer. Így a csaló hiába adja meg az ügyfél felhasználó azonosítóját és jelszavát, tranzakciókat sosem fog tudni kezdeményezni.

Az ügyfél szokásaihoz igazodó napi átutalási limitek beállításával is védekezik az OTPdirekt szolgáltatásánál az OTP Bank. Ez azt jelenti, hogy az ügyfél idegen számlákra csak a napi limit erejéig utalhat át pénzt. A napi limiteket csatornánként lehet meghatározni és megváltoztatni.

A napi limiten túl létezik bank által szabott limit is, ami jelenleg 50 ezer forint. A banki limitet meghaladó összegű tranzakciók végzésére kizárólag akkor van az ügyfélnek lehetősége, ha igénybe veszi a Mobil Aláírás elnevezésű szolgáltatást. A Mobil Aláírás használatával az ügyfél az internetes szolgáltatásba történő bejelentkezéskor a bank egy egyszer használatos számsort küld, melyet a bejelentkezéshez és a tranzakciók végzéséhez meg kell adni.

Az e-bank szolgáltatásnál alkalmazott chipkártyás technológián és elektronikus aláíráson alapuló azonosítási eljárás védi leginkább a K&H Bank e-banking ügyfeleit az adathalász támadások ellen. Egy másik azonosítási eljárás során az ügyfél sms-üzenetben felhasználói azonosítót és egy egyszer használatos jelszót kap, melyek segítségével beléphet és tranzakciókat végezhet.

A Citibank idén januárban újította meg lakossági és kisvállalati internetes banki rendszere, a Citibank Online belépési folyamatát. Ennek lényege, hogy a belépés az ügyfél által kiválasztott tetszőleges felhasználónévvel és jelszóval történik, melyet a számítógép képernyőjén megjelenő virtuális billentyűzeten, az egér segítségével kell beírni.

Az egyik védekezés a NASA által is használt jelszó- generáló rendszerre épül

A felhasználónév és a jelszó egy legalább 6, legfeljebb 30 betű- és számkarakterből álló kombináció lehet, melyek a virtuális billentyűzet alkalmazásának köszönhetően láthatatlanok és nyomon követhetetlenek a számítógépre esetlegesen letöltött billentyűzetkövető szoftverrel, hiszen a számítógép billentyűzetét gyakorlatilag nem kell használni.

A pénzintézet további fejlesztéseket is tervez. A közeljövőben a Citibank rendszeren keresztül kizárólag a "kedvezményezettek listáján" megjelölt személyek részére lehet majd átutalást kezdeményezni. Bevezetik az "online aktiválási kódot". Új kedvezményezettet csak ennek a kódnak a segítségével lehet majd feltenni a "kedvezményezettek listájára". A kódot a bank sms-ben küldi az ügyfél mobiltelefonjára.

A kis- és középvállalkozásoknak nyújtott CitiBusiness átutalásait hasonló módon tervezik biztonságosabbá tenni. Az átutalásokat tartalmazó fájl feltöltését követően szükség lesz egy "Online Tranzakciós Kód" megadására. A bank csak ezt követően dolgozza fel a megbízásokat. A pénzintézet ezt a kódot is az ügyfél mobiltelefonjára küldi ki.

A bank közép- és nagyvállalati ügyfeleit kiszolgáló CitiDirect Online a NASA és az amerikai kormány által is használt egyedileg kódolt dinamikus jelszógeneráló rendszerre épül. A módszer a magyar bankrendszerben egyedülálló titkosítással biztosítja az elérhető legnagyobb biztonságot a felhasználó azonosításában.

Giczi József