{"id":2440,"date":"2015-01-17T12:13:51","date_gmt":"2015-01-17T11:13:51","guid":{"rendered":"http:\/\/preventista.sk\/info\/?p=2440"},"modified":"2015-01-17T12:20:37","modified_gmt":"2015-01-17T11:20:37","slug":"ako-hacknut-e-banku","status":"publish","type":"post","link":"https:\/\/preventista.sk\/info\/ako-hacknut-e-banku\/","title":{"rendered":"Ako \u201ehackn\u00fa\u0165\u201c e-banku?"},"content":{"rendered":"

Alebo, ako pou\u017e\u00edva\u0165 e-banku a nesta\u0165 sa obe\u0165ou podvodn\u00edkov<\/span><\/h2>\n

<\/h2>\n

Ako som u\u017e uviedol v inom \u010dl\u00e1nku<\/a>, v dne\u0161nej dobe sa za vlastn\u00edctvo, okrem hmotn\u00fdch statkov,\u00a0 pova\u017euj\u00fa aj nehmotn\u00e9 statky a\u00a0pr\u00e1va. V\u00a0digit\u00e1lnej \u00e9re\u00a0 s\u00fa to \u0161pecificky tzv. \u00a0\u201cinforma\u010dn\u00e9 akt\u00edva\u201d.<\/p>\n

Ak sa \u010das od \u010dasu vyskytla snaha podvodn\u00edkov z\u00edska\u0165 finan\u010dn\u00fd prospech z\u00a0informa\u010dn\u00fdch akt\u00edv, ktor\u00e9 pre ich vlastn\u00edkov, svojich klientov, spravuj\u00fa banky, tak mi novin\u00e1ri, ako \u0161\u00e9fovi bezpe\u010dnosti nemenovanej ve\u013ekej banky, \u010dasto kl\u00e1dli ot\u00e1zku, ako sa konkr\u00e9tna udalos\u0165 vlastne stala, ak\u00e1 bola podstata \u00fatoku a \u010do tak\u00e9mu \u010dinu mohlo zabr\u00e1ni\u0165. Pok\u00fasim sa zhrn\u00fa\u0165 z\u00e1kladn\u00e9 vektory \u00fatoku na syst\u00e9my elektronick\u00e9ho bankovn\u00edctva v s\u00fa\u010dasnosti.<\/p>\n

Vopred zd\u00f4razn\u00edm, \u017ee nadpis \u010dl\u00e1nku je \u00famyselne zav\u00e1dzaj\u00faci. V\u00a0drvivej v\u00e4\u010d\u0161ine pr\u00edpadov sa toti\u017e v\u00f4bec nejedn\u00e1 o\u00a0\u017eiadne sofistikovan\u00e9 prieniky a\u00a0prelomenie ochrany sie\u0165ov\u00e9ho perimetra banky, ale najm\u00e4 o\u00a0kr\u00e1de\u017ee ident\u00edt, v\u00a0kombin\u00e1cii s technikami soci\u00e1lneho in\u017einierstva.<\/p>\n

 <\/p>\n

Banky, podvodn\u00edci a\u00a0hackeri<\/span><\/h2>\n

Verte, \u017ee banky vynakladaj\u00fa nemal\u00e9 prostriedky na minimaliz\u00e1ciu riz\u00edk a\u00a0na ochranu pred mo\u017en\u00fdmi \u00fatokmi na akt\u00edva klientov. Ka\u017ed\u00e1, i t\u00e1 najnevinnej\u0161ie vyzeraj\u00faca kompromit\u00e1cia m\u00e1 prinajmen\u0161om dopad na dobr\u00e9 meno banky. Toto riziko sa naz\u00fdva reputa\u010dn\u00e9<\/b>. Hodnotenie reputa\u010dn\u00e9ho rizika je predmetom ka\u017edodenn\u00e9ho procesu riadenia riz\u00edk banky. Ani \u010diasto\u010dn\u00fa stratu reput\u00e1cie \u00a0 si \u017eiadna banka pri tomto citlivom podnikan\u00ed nem\u00f4\u017ee dovoli\u0165, preto\u017ee by t\u00fdm pri\u0161la o\u00a0 potenci\u00e1lny zisk. \u00daspe\u0161n\u00fd \u00fatok na banku by okrem vzniknutej straty mohol z\u00e1rove\u0148 vies\u0165 aj ku obrovsk\u00fdm pokut\u00e1m zo strany regul\u00e1tora finan\u010dn\u00e9ho trhu, v\u00a0extr\u00e9mnych pr\u00edpadoch a\u017e ku odobratiu bankovej licencie. <\/span><\/p>\n

Kontinu\u00e1lne hodnotenie IT riz\u00edk je preto povinnou s\u00fa\u010das\u0165ou vn\u00fatorn\u00fdch procesov b\u00e1nk. No napriek tomu, \u017ee mana\u017ement IT riz\u00edk je do detailov prepracovan\u00fd proces, maj\u00fa banky ist\u00fa nev\u00fdhodu \u2013 a\u00a0tou je \u010dasov\u00fd paradox ochrany informa\u010dn\u00fdch akt\u00edv. \u00a0Banky si musia by\u0165 vedom\u00e9 s\u00fa\u010dasnej i bud\u00facej hodnoty informa\u010dn\u00fdch akt\u00edv, obdobia, po\u010das ktor\u00e9ho ich chc\u00fa chr\u00e1ni\u0165 a\u00a0z\u00e1rove\u0148 musia kalkulova\u0165 so s\u00fa\u010dasn\u00fdmi n\u00e1kladmi, ktor\u00e9 s\u00fa potrebn\u00e9 na implement\u00e1ciu protiopatren\u00ed. Do hodnotenia rizika je potrebn\u00e9 zahrn\u00fa\u0165 odhad hodnoty informa\u010dn\u00fdch akt\u00edv pre \u00fato\u010dn\u00edkov a cenu, za ktor\u00fa m\u00f4\u017eu \u00fato\u010dn\u00edci nasaden\u00fa ochranu prelomi\u0165. <\/span><\/p>\n

Rozpor spo\u010d\u00edva v\u00a0tom, \u017ee k\u00fdm za bezpe\u010dnostn\u00e9 opatrenia je potrebn\u00e9 zaplati\u0165 ihne\u010f, \u00fato\u010dn\u00edci m\u00f4\u017eu s \u00fatokom po\u010dka\u0165 a\u017e do doby, ke\u010f sa \u00fatok stane pre nich efekt\u00edvnej\u0161\u00edm. \u00dato\u010dn\u00edci maj\u00fa na svoj \u00fatok \u010das, banky \u010das na protiopatrenia nemaj\u00fa. V\u00a0tomto bud\u00fa ma\u0165 \u00fato\u010dn\u00edci v\u017edy \u201enavrch\u201c, preto\u017ee s\u00fa v\u00a0predstihu. <\/span><\/p>\n

V\u0161imnite si, \u017ee sa vyh\u00fdbam v\u00fdrazu \u201ehackeri\u201c. Preto\u017ee za \u201ehackera\u201c (po slovensky tie\u017e v\u00a0menej pou\u017e\u00edvanom v\u00fdraze \u201eprienik\u00e1ra\u201c ) je pova\u017eovan\u00fd odhodlan\u00fd vonkaj\u0161\u00ed \u00fato\u010dn\u00edk, ktor\u00fd disponuje pr\u00edslu\u0161n\u00fdmi zru\u010dnos\u0165ami na prelomenie ochrany sie\u0165ov\u00e9ho perimetra technick\u00fdmi prostriedkami. Teda \u010dlovek, ktor\u00fd je nato\u013eko technicky zdatn\u00fd, \u017ee aj bez podv\u00e1dzania dok\u00e1\u017ee z\u00edska\u0165 dostato\u010dn\u00e9 pr\u00edstupov\u00e9 pr\u00e1va ku intern\u00fdm syst\u00e9mom banky z\u00a0extern\u00e9ho prostredia. Soci\u00e1lne in\u017einierstvo, zav\u00e1dzanie, falo\u0161n\u00e9 jednanie, vyd\u00e1vanie sa za cudziu osobu, oklamanie klienta a\u00a0manipul\u00e1cia s\u00a0mienkou klienta nepochybne nie s\u00fa technick\u00fdmi zru\u010dnos\u0165ami. Podvodn\u00edk nie je hacker. A\u00a0v\u00a0mnoh\u00fdch oh\u013eadoch to plat\u00ed aj naopak.\u00a0<\/span><\/p>\n

<\/h1>\n

Vektory \u00fatokov<\/span><\/h1>\n

Priestor \u00fatoku (anglicky \u201eattack surface\u201c) je s\u00fahrn v\u0161etk\u00fdch vstupno-v\u00fdstupn\u00fdch bodov virtu\u00e1lneho prostredia, prostredn\u00edctvom ktor\u00fdch sa neopr\u00e1vnen\u00fd u\u017e\u00edvate\u013e t.j. \u00fato\u010dn\u00edk m\u00f4\u017ee pok\u00fasi\u0165 zada\u0165 \u00fadaje alebo extrahova\u0165 d\u00e1ta z\u00a0tohto prostredia. Vektor \u00fatoku je teda v\u00a0prenesenom zmysle ka\u017ed\u00e1 cesta, ka\u017ed\u00fd sp\u00f4sob, ka\u017ed\u00e1 zranite\u013enos\u0165, alebo ka\u017ed\u00fd technick\u00fd prostriedok, ktor\u00fd \u00a0\u00fato\u010dn\u00edk m\u00f4\u017ee zneu\u017ei\u0165 na neopr\u00e1vnen\u00fd pr\u00edstup k\u00a0informa\u010dn\u00fdm akt\u00edvam. <\/span><\/p>\n

Aktivita klienta v syst\u00e9me elektronick\u00e9ho bankovn\u00edctva je v\u00a0prvom kroku zalo\u017een\u00e1 na autentiz\u00e1cii pou\u017e\u00edvate\u013ea. Autentiz\u00e1cia (anglicky \u201eauthentication\u201c) je proces overenia toto\u017enosti pou\u017e\u00edvate\u013ea, t.j. zistenie, \u010di je identita, ktor\u00fa pou\u017e\u00edvate\u013e uviedol, naozaj prav\u00e1. V\u00a0pr\u00edpade elektronick\u00e9ho bankovn\u00edctva je dokonca z\u00e1konnou povinnos\u0165ou banky overi\u0165 va\u0161u toto\u017enos\u0165. Bez overenia identity sa klient do syst\u00e9mu neprihl\u00e1si. Bodka. <\/span><\/p>\n

Tu je skryt\u00e1 podstata snahy t\u00fdch, ktor\u00ed sa chc\u00fa neopr\u00e1vnene dosta\u0165 ku peniazom klientov. Uva\u017euj\u00fa nasleduj\u00facou logikou: \u201eak sa n\u00e1m podar\u00ed presved\u010di\u0165 e-banku, \u017ee my sme leg\u00e1lny klient, budeme m\u00f4c\u0165 disponova\u0165 klientov\u00fdmi finan\u010dn\u00fdmi prostriedkami na jeho \u00fa\u010dte\u201c. Ako to v\u0161ak dosiahnu\u0165? <\/span><\/p>\n

<\/h2>\n

\u201eKlasick\u00fd\u201c phishing<\/span><\/h2>\n

Podmienkou pre to, aby mohol by\u0165 tento typ zlo\u010dinu vykonan\u00fd je, \u017ee \u00fato\u010dn\u00edk vopred priprav\u00ed \u010do najdokonalej\u0161iu k\u00f3piu p\u00f4vodn\u00e9ho servera elektronick\u00e9ho bankovn\u00edctva pr\u00edslu\u0161nej banky. \u010c\u00edm viac sa t\u00e1to k\u00f3pia podob\u00e1 na p\u00f4vodn\u00fa str\u00e1nku EB, t\u00fdm v\u00e4\u010d\u0161ia je \u0161anca, \u017ee sa nepozorn\u00fd klient nachyt\u00e1. <\/span><\/p>\n

V\u00a0druhom kroku \u00fato\u010dn\u00edk rozpo\u0161le na ve\u013ek\u00e9 mno\u017estvo e-mailov\u00fdch adries tzv. \u201ephishing\u201c maily, v\u00a0ktor\u00fdch sa vyd\u00e1va za banku a\u00a0v\u00a0mene banky \u017eiada klientov o\u00a0prihl\u00e1senie sa na adresu podhoden\u00e9ho falo\u0161n\u00e9ho EB servera. Zd\u00f4vodnenia b\u00fdvaj\u00fa r\u00f4zne \u2013 od nutnosti akejsi technickej \u00fadr\u017eby, a\u017e po v\u00fdstrahu pred mo\u017en\u00fdm v\u00edrusom, s\u00a0odpor\u00fa\u010dan\u00edm na zmenu hesla. D\u00f4le\u017eit\u00e9 je \u010do najviac napodobni\u0165 bankov\u00fd slang a\u00a0\u010do najracion\u00e1lnej\u0161ie zd\u00f4vodni\u0165 potrebu prihl\u00e1senia sa na podhoden\u00fa URL adresu. <\/span><\/p>\n

V\u00a0tre\u0165om kroku sa klient nachyt\u00e1. V\u00a0dobrej viere, \u017ee kliknut\u00edm na podhoden\u00fa linku sa prihl\u00e1si na EB server svojej banky, sa v\u00a0skuto\u010dnosti dostane iba na prihlasovac\u00ed formul\u00e1r falo\u0161n\u00e9ho servera, ktor\u00e9ho jedinou \u00falohou je odchyti\u0165 klientove prihlasovacie \u00fadaje a\u00a0odosla\u0165 ich na zbern\u00fd server \u00fato\u010dn\u00edka (tzv. \u201edrop-down\u201c server). <\/span><\/p>\n

Posledn\u00fd krok je samozrejm\u00fd \u2013 \u00fato\u010dn\u00edk sa pomocou odcudzen\u00fdch prihlasovac\u00edch \u00fadajov prihl\u00e1si do elektronick\u00e9ho bankovn\u00edctva v\u00a0mene klienta a\u00a0zad\u00e1 re\u00e1lny prevodn\u00fd pr\u00edkaz. Ako \u010d\u00edslo \u00fa\u010dtu prij\u00edmate\u013ea \u00fato\u010dn\u00edci pou\u017e\u00edvaj\u00fa v\u00e4\u010d\u0161inou tzv. \u201ebiele kone\u201c. <\/span><\/p>\n

Pojmom \u201ebiely k\u00f4\u0148\u201c sa slangovo ozna\u010duje \u010dlovek, ktor\u00fd je nastr\u010den\u00fd, aby zakryl osobu skuto\u010dn\u00e9ho p\u00e1chate\u013ea. K \u00falohe bieleho ko\u0148a b\u00fdva osoba \u010dasto don\u00faten\u00e1 n\u00e1sil\u00edm, ale m\u00f4\u017ee sa jedna\u0165 aj o osobu naivn\u00fa, \u010di nevzdelan\u00fa, ktor\u00e1 nemus\u00ed tu\u0161i\u0165, \u017ee sa dop\u00fa\u0161\u0165a trestnej \u010dinnosti. \u010casto s\u00fa ako biele kone pou\u017e\u00edvan\u00e9 osoby, ktor\u00e9 vzh\u013eadom k\u00a0ich veku alebo du\u0161evn\u00e9mu stavu s\u00fad posudzuje mierne, alebo od ich potrestania upust\u00ed.\u00a0<\/span><\/p>\n

Sch\u00e9ma vektora \u00fatoku typu \u201ephishing\u201c je na nasleduj\u00facom obr\u00e1zku:\u00a0<\/span><\/p>\n

\"phising\"<\/a><\/p>\n

Pou\u017eitie tohto vektora \u00fatoku m\u00e1 pre \u00fato\u010dn\u00edkov ist\u00fa podstatn\u00fa nev\u00fdhodu. V\u0161etky zn\u00e1me banky pou\u017e\u00edvaj\u00fa pre autentiz\u00e1ciu pou\u017e\u00edvate\u013eov, ako aj pre autoriz\u00e1ciu transakci\u00ed jednorazov\u00e9, dynamick\u00e9 heslo (anglicky: \u201eone time password\u201c – OTP).\u00a0 V\u00e4\u010d\u0161ina z\u00a0b\u00e1nk pou\u017e\u00edva viacfaktorov\u00fa autentiz\u00e1ciu a niektor\u00e9 z\u00a0b\u00e1nk maj\u00fa nasaden\u00e9 aj \u010fal\u0161ie doplnkov\u00e9 syst\u00e9my na odhalenie pr\u00edpadn\u00e9ho podvodn\u00e9ho konania. Servery a\u00a0sie\u0165ov\u00e9 zariadenia b\u00e1nk s\u00fa o\u0161etren\u00e9 dostato\u010dne. Bez \u010diasto\u010dnej manipul\u00e1cie klienta to teda nep\u00f4jde. <\/span><\/p>\n

<\/h2>\n

MITM\u00a0 (Man In The Middle) \u2013 \u201e\u010dlovek uprostred\u201c<\/span><\/h2>\n

Aj tu je pre vykonanie zlo\u010dinu podmienkou existencia dokonalej k\u00f3pie p\u00f4vodn\u00e9ho servera elektronick\u00e9ho bankovn\u00edctva pr\u00edslu\u0161nej banky. Okrem toho je potrebn\u00e9, aby mal \u00fato\u010dn\u00edk pripraven\u00fa aj falo\u0161n\u00fa k\u00f3piu klientskeho softv\u00e9ru EB a\u00a0z\u00e1rove\u0148, aby mal k\u00a0dispoz\u00edcii mechanizmus na presmerovanie p\u00f4vodnej \u0161ifrovanej komunik\u00e1cie medzi klientom a\u00a0serverom. T\u00fdm n\u00e1strojom je \u0161kodliv\u00fd k\u00f3d typu \u201etr\u00f3jsky k\u00f4\u0148\u201c, ktor\u00fdm mus\u00ed by\u0165 klient banky u\u017e sk\u00f4r infikovan\u00fd. <\/span><\/p>\n

Odchytenie a\u00a0de\u0161ifrovanie komunik\u00e1cie pri MITM \u00fatoku vyzer\u00e1 nasledovne: <\/span><\/p>\n

\u00a0<\/span>\"MITM\"<\/a><\/p>\n

V\u00a0druhom kroku sa s\u00edce klient v\u00a0dobrej viere prihlasuje na adresu p\u00f4vodn\u00e9ho EB servera svojej banky, no v\u010faka tr\u00f3jskemu ko\u0148ovi, ktor\u00fd ovl\u00e1da \u00fato\u010dn\u00edk, je cel\u00e1 komunik\u00e1cia v\u00a0ne\u0161ifrovanej podobe k\u00a0dispoz\u00edcii \u00fato\u010dn\u00edkovi, ktor\u00fd tak m\u00f4\u017ee pozmeni\u0165 ktor\u00fdko\u013evek \u00fadaj, ktor\u00fd klient odosiela do banky.\u00a0 Samozrejme, predmetom zmeny s\u00fa \u010d\u00edslo \u00fa\u010dtu prij\u00edmate\u013ea a\u00a0odosielan\u00e1 suma.\u00a0<\/span><\/p>\n

Posledn\u00fd krok je podobn\u00fd, ako v\u00a0pr\u00edpade phishingu – do elektronick\u00e9ho bankovn\u00edctva sa s\u00edce prihlasuje klient a\u00a0zad\u00e1va re\u00e1lny prevodn\u00fd pr\u00edkaz. To v\u0161ak e\u0161te netu\u0161\u00ed, \u017ee \u00fadaje, ktor\u00e9 odoslal, bud\u00fa odli\u0161n\u00e9 od t\u00fdch, ktor\u00e9 banka prijme, preto\u017ee medzit\u00fdm boli pozmenen\u00e9\u00a0 zo strany \u00fato\u010dn\u00edka. Ako \u010d\u00edslo \u00fa\u010dtu prij\u00edmate\u013ea, \u00fato\u010dn\u00edci pou\u017e\u00edvaj\u00fa op\u00e4\u0165 tzv. \u201ebiele kone\u201c. <\/span><\/p>\n

<\/h2>\n

MITB\u00a0 (Man In The Browser) \u2013 \u201e\u010dlovek v prehliada\u010di\u201c<\/span><\/h2>\n

MITB \u00fatok u\u017e patr\u00ed k\u00a0t\u00fdm sofistikovanej\u0161\u00edm, i\u00a0ke\u010f aj pri tomto \u00fatoku sa \u00fato\u010dn\u00edk spolieha na ur\u010dit\u00fa mieru nezodpovednosti klienta. <\/span><\/p>\n

\u00dato\u010dn\u00edk sa mus\u00ed najprv postara\u0165 o\u00a0to, aby bol klientov po\u010d\u00edta\u010d infiltrovan\u00fd \u0161pecializovan\u00fdm tr\u00f3jskym ko\u0148om, prisp\u00f4soben\u00fdm pr\u00e1ve na \u00fatoky vo\u010di bank\u00e1m. To je zvy\u010dajne zalo\u017een\u00e9 na predpoklade, \u017ee klientov po\u010d\u00edta\u010d nie je chr\u00e1nen\u00fd \u017eiadnym zo \u0161tandardn\u00fdch antiv\u00edrov\u00fdch programov. <\/span><\/p>\n

Klient sa prihlasuje na skuto\u010dn\u00fa str\u00e1nku elektronick\u00e9ho bankovn\u00edctva svojej banky. Tr\u00f3jsky k\u00f4\u0148 sa postar\u00e1 o\u00a0to, \u017ee do p\u00f4vodn\u00e9ho obsahu webov\u00e9ho formul\u00e1ra, ktor\u00fd vid\u00ed klient, je v\u00a0pozad\u00ed bez vedomia klienta nainjektovan\u00fd pozmenen\u00fd obsah. Ako zvy\u010dajne, predmetom zmeny s\u00fa \u010d\u00edslo \u00fa\u010dtu prij\u00edmate\u013ea a\u00a0odosielan\u00e1 suma. Klient odo\u0161le platobn\u00fd pr\u00edkaz, netu\u0161iac, \u017ee do banky odosiela nie\u010do in\u00e9, ne\u017e vid\u00ed. <\/span><\/p>\n

Sch\u00e9ma vektora \u00fatoku typu MITB je na nasleduj\u00facom obr\u00e1zku:\u00a0<\/span><\/p>\n

\"MITB\"<\/a><\/p>\n

Aby \u00fato\u010dn\u00edk oklamal autoriza\u010dn\u00fd mechanizmus, sna\u017e\u00ed sa tr\u00f3jskeho ko\u0148a v\u00a0infikovanom po\u010d\u00edta\u010di zabezpe\u010di\u0165 aj to, \u017ee autoriza\u010dn\u00e1 SMS je poslan\u00e1 na in\u00e9 \u010d\u00edslo, ne\u017e je predvolen\u00e9 mobiln\u00e9 telef\u00f3nne \u010d\u00edslo klienta. Pr\u00edpadne, ak sa spo\u013eahne na nedbalos\u0165, alebo nepozornos\u0165 klienta, tak si riskne aj tak\u00fa mo\u017enos\u0165, \u017ee klient platbu potvrd\u00ed, napriek tomu, \u017ee je chybn\u00e1 \u2013 o\u00a0\u010dom sved\u010dia aj pozmenen\u00e9 \u00fadaje v\u00a0autoriza\u010dnej SMS. <\/span><\/p>\n

Sp\u00fdtate sa, \u010do ak banka pou\u017e\u00edva pre autoriz\u00e1ciu platieb in\u00fd mechanizmus, napr\u00edklad \u00fadaje SW tokenu? Drzos\u0165 \u00fato\u010dn\u00edkov nepozn\u00e1 hran\u00edc. Vyskytli sa aj tak\u00e9 pr\u00edpady, \u017ee podvodn\u00edci ihne\u010f po odoslan\u00ed pozmenenej platby zavolali klientovi na jeho mobil, predstavili sa ako banka\u00a0 a\u00a0vy\u017eiadali si od klienta autoriza\u010dn\u00e9 \u00fadaje z tokenu. Asi niet \u010do doda\u0165 k\u00a0tomu, \u017ee niektor\u00ed klienti s\u00fa schopn\u00ed tieto \u00fadaje odovzda\u0165 \u00faplne nezn\u00e1memu volaj\u00facemu. <\/span><\/p>\n

<\/h2>\n

Smishing \u2013 \u00fatoky na SMS autentiz\u00e1ciu<\/span><\/h2>\n

Odhaduje sa, \u017ee na Slovensku u\u017e viac ne\u017e 60 % \u013eud\u00ed vlastn\u00ed smartf\u00f3n, alebo niektor\u00fd in\u00fd typ v\u00fdkonn\u00fdch mobiln\u00fdch zariaden\u00ed s\u00a0pripojen\u00edm na vysokor\u00fdchlostn\u00fd internet. Drviv\u00e1 v\u00e4\u010d\u0161ina t\u00fdchto zariaden\u00ed je postaven\u00e1 na b\u00e1ze opera\u010dn\u00e9ho syst\u00e9mu Android. Bolo len ot\u00e1zkou \u010dasu, kedy sa program\u00e1torsk\u00e9 podsvetie zameria aj na v\u00fdvoj \u0161kodliv\u00e9ho k\u00f3du pre tento opera\u010dn\u00fd syst\u00e9m. Dnes je \u017eia\u013e realitou existencia\u00a0 tr\u00f3jskych ko\u0148ov zameran\u00fdch pr\u00e1ve na Android platformu. A\u00a0ako inak \u2013 jednou z\u00a0hlavn\u00fdch \u00faloh tohto \u0161kodliv\u00e9ho k\u00f3du je ak\u00e1ko\u013evek forma finan\u010dn\u00e9ho prospechu, snahy o\u00a0vybielenie \u00fa\u010dtov klientov b\u00e1nk nevyn\u00edmaj\u00fac.\u00a0<\/span><\/p>\n

Najvy\u0165a\u017eenej\u0161ou formou vyu\u017eitia Androidov\u00e9ho \u0161kodliv\u00e9ho k\u00f3du s\u00fa \u00fatoky na SMS autentiz\u00e1ciu. Ako tak\u00fd \u00fatok funguje? <\/span><\/p>\n

Klient si nevedomky stiahne infikovan\u00fd softv\u00e9r, v\u00e4\u010d\u0161inou z\u00a0r\u00f4znych pochybn\u00fdch webstr\u00e1nok, alebo z\u00a0neofici\u00e1lnych \u00falo\u017e\u00edsk androidov\u00e9ho softv\u00e9ru. Povedzme, \u017ee sa nakaz\u00ed niektor\u00fdm typom tr\u00f3jskeho ko\u0148a, ktor\u00fd je zacielen\u00fd na banky. <\/span><\/p>\n

Ak banka pou\u017e\u00edva ako komunika\u010dn\u00fd kan\u00e1l pre autentiz\u00e1ciu alebo autoriz\u00e1ciu SMS, potom je doslova trivi\u00e1lnou vecou presmerova\u0165 tak\u00fato autentiza\u010dn\u00fa SMS \u00fato\u010dn\u00edkovi, pr\u00edpadne ju z\u00e1rove\u0148 skry\u0165 pred p\u00f4vodn\u00fdm prij\u00edmate\u013eom . Zvy\u0161ok \u00fatoku je u\u017e potom ve\u013emi podobn\u00fd phishingu, a\u017e na to, \u017ee \u00fato\u010dn\u00edk nemus\u00ed posiela\u0165 \u017eiadne emailov\u00e9 v\u00fdzvy, preto\u017ee klientov mobil mu autentiza\u010dn\u00e9 \u00fadaje\u00a0 po\u0161le automaticky, aj bez interakcie s\u00a0klientom.\u00a0<\/span><\/p>\n

\"Smishing\"<\/a><\/p>\n

Je len na \u0161kodu veci, ak niektor\u00e9 banky nepodporuj\u00fa in\u00e9 autentiza\u010dn\u00e9 kan\u00e1ly, ne\u017e zasielanie jednorazov\u00e9ho hesla prostredn\u00edctvom SMS. Je v\u0161ak potrebn\u00e9 poveda\u0165, \u017ee aj ke\u010f banka poskytuje klientom aj in\u00e9 autentiza\u010dn\u00e9 n\u00e1stroje, je nesmierne \u0165a\u017ek\u00e9 presved\u010di\u0165 masu klientov, aby dobrovo\u013ene opustili SMS autentiz\u00e1ciu a\u00a0zamenili ju napr\u00edklad za SW, HW, alebo EMV token. Ale o\u00a0tom si povieme v\u00a0niektorom nasleduj\u00facom \u010dl\u00e1nku. <\/span><\/p>\n

<\/h1>\n

Ako sa br\u00e1ni\u0165? <\/span><\/h1>\n

Bu\u010fte podozrievav\u00fd, ak v\u00e1m niekto zavol\u00e1 a predstav\u00ed sa ako zamestnanec va\u0161ej banky. Banka si nikdy akt\u00edvne nevy\u017eiada od klienta jeho autentiza\u010dn\u00fd \u00fadaj, pokia\u013e sa klient s\u00e1m nerozhodol prihlasova\u0165 sa do pr\u00edslu\u0161n\u00e9ho syst\u00e9mu. A\u00a0u\u017e v\u00f4bec by to banka nevykonala telefonicky. Podozriv\u00fd rozhovor r\u00fdchlo ukon\u010dite a skontaktujte sa so svojou banku osobne alebo prostredn\u00edctvom telef\u00f3nneho \u010d\u00edsla, zverejnen\u00e9ho na internetov\u00fdch str\u00e1nkach banky. <\/span><\/p>\n

V \u017eiadnom pr\u00edpade neposkytujte \u010fal\u0161\u00edm osob\u00e1m \u017eiadne citliv\u00e9 osobn\u00e9 \u00fadaje, autoriza\u010dn\u00e9 \u00fadaje (autoriza\u010dn\u00e9 SMS alebo k\u00f3dy z in\u00fdch autoriza\u010dn\u00fdch zariaden\u00ed), pr\u00edstupov\u00e9 hesl\u00e1 do internetbankingu alebo \u010d\u00edslo platobnej karty. Zdie\u013eanie va\u0161ej digit\u00e1lnej identity hoci aj s\u00a0rodinn\u00fdmi pr\u00edslu\u0161n\u00edkmi je zvyk, ktor\u00fd sk\u00f4r, \u010di nesk\u00f4r vedie k\u00a0probl\u00e9mom. <\/span><\/p>\n

Op\u00e4tovne zd\u00f4raz\u0148ujem, \u017ee antiv\u00edrusov\u00fd program a\u00a0softv\u00e9rov\u00fd firewall na po\u010d\u00edta\u010di i na smartf\u00f3ne je potrebn\u00e9 pova\u017eova\u0165 dnes u\u017e za absol\u00fatnu nutnos\u0165. Podrobnej\u0161\u00ed n\u00e1vod, ako zabezpe\u010di\u0165 po\u010d\u00edta\u010d som \u00a0uviedol\u00a0 v\u00a0\u010dl\u00e1nku Desatoro bezpe\u010dn\u00e9ho po\u010d\u00edta\u010da<\/a>. <\/span><\/p>\n

Pokia\u013e ide o\u00a0samotn\u00fa autentiz\u00e1ciu pre syst\u00e9my elektronick\u00e9ho bankovn\u00edctva, zvo\u013ete si bezpe\u010dnej\u0161\u00ed autentiza\u010dn\u00fd prvok, ne\u017e je SMS \u2013 napr\u00edklad softv\u00e9rov\u00fd, alebo hardv\u00e9rov\u00fd token, \u010d\u00edta\u010dku kariet, alebo kryptografick\u00e9 autentiza\u010dn\u00e9 mechanizmy (napr. overovanie pomocou certifik\u00e1tu elektronick\u00e9ho podpisu, pokia\u013e ho banka podporuje).\u00a0<\/span><\/p>\n

V\u0161etko v\u0161ak nie je rie\u0161ite\u013en\u00e9 technick\u00fdmi protiopatreniami. Najrizikovej\u0161\u00edm prvkom cel\u00e9ho internetov\u00e9ho bankovn\u00edctva je klient s\u00e1m. Preto bu\u010fte ostra\u017eit\u00ed, konajte premyslene a v\u00a0neposlednom rade – majte zapnut\u00e9 notifik\u00e1cie o\u00a0aktivit\u00e1ch na va\u0161om \u00fa\u010dte. Mnoh\u00ed klienti si zachr\u00e1nili svoje peniaze pred vy\u0161\u0161ie op\u00edsan\u00fdmi typmi \u00fatokov len v\u010faka svojej pozornosti a\u00a0okam\u017eitej reakcii na neautorizovan\u00e9 platby.\u00a0<\/span><\/p>\n

Ivan Makat\u00fara<\/p>\n","protected":false},"excerpt":{"rendered":"

Alebo, ako pou\u017e\u00edva\u0165 e-banku a nesta\u0165 sa obe\u0165ou podvodn\u00edkov Ako som u\u017e uviedol v inom \u010dl\u00e1nku, v dne\u0161nej dobe sa za vlastn\u00edctvo, okrem hmotn\u00fdch statkov,\u00a0 pova\u017euj\u00fa aj nehmotn\u00e9 statky a\u00a0pr\u00e1va. V\u00a0digit\u00e1lnej \u00e9re\u00a0 s\u00fa to \u0161pecificky tzv. \u00a0\u201cinforma\u010dn\u00e9 akt\u00edva\u201d. Ak sa \u010das od \u010dasu vyskytla snaha podvodn\u00edkov z\u00edska\u0165 finan\u010dn\u00fd prospech z\u00a0informa\u010dn\u00fdch akt\u00edv, ktor\u00e9 pre ich vlastn\u00edkov, […]<\/p>\n","protected":false},"author":8,"featured_media":2453,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_jetpack_newsletter_access":"","_jetpack_dont_email_post_to_subs":false,"_jetpack_newsletter_tier_id":0,"_jetpack_memberships_contains_paywalled_content":false,"_jetpack_feature_clip_id":0,"_jetpack_memberships_contains_paid_content":false,"footnotes":"","jetpack_post_was_ever_published":false},"categories":[4],"tags":[],"class_list":["post-2440","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-itbezp"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\n\t\t