Phishingul este metoda prin care hotii de date incearca sa isi convinga potentialele victime sa isi divulge informatii care sa permita furtul de bani. Dar nu numai phishingul este o amenintare.
“In general, hackerii nu ataca direct si nici nu ataca cele mai evidente tinte, pentru ca aplica politica “low hanging fruit” - ataca ceea ce este cel mai la indemana. Nu sistemul informatic este tinta atacurile, de obicei, ci partea publica: website, serviciile publice, internet banking, de exemplu, in cazul unei banci” - explica Mihai Petrov.
Aproape 15% din bancile din Romania au servicii de Internet Banking insuficient protejate, cu erori de conceptie a aplicatiei de administrare a serviciului, care permit exploatarea acesteia, cu conditia insa sa fii clientul bancii respective.
Aceasta conditie este motivata de faptul ca o vulnerabilitate in logica software poate fi identificata numai prin utilizarea constanta a unui serviciu bazat pe o aplicatie software. In afara de erorile din aplicatie, vulnerabilitatea unui serviciu bancar disponibil online depinde si de nivelurile de protectie a accesului.
“Un singur nivel, nume plus parola, este insuficient si trebuie dublat de token (dispozitiv care genereaza parole aleatorii de unica folosinta) si/sau certificate digitale (pe baza de infrastructura de chei publice-private). De altfel, clientul este principala cale de acces a unui hacker in orice sistem informatic. Problema este ca mai putin de 50% dintre bancile de la noi monitorizeaza aplicarea corecta a politicilor de securitate” - este de parere consultantul CCT.
Chiar si in prezent , sunt companii, printre care si banci, in care nu se respecta politica de securitate, cu diferite implicatii. De exemplu, nu se respecta regimul controlului porturilor USB, ceea ce permite conectarea la sistemul informatic a oricarui echipament de stocare mobila si descarcarea neautorizata de date.
O a doua vulnerabilitate o reprezinta angajatii, care sunt, de cele mai multe ori, calea de acces a hackerilor in sistemele informatice ale companiilor. In general, masurile de securitate, procedurile si politicile sunt prea relaxate tocmai fata de omul din interior, care are tot timpul din lume sa studieze vulnerabilitatile si caile de acces in toate componentele sistemului informatic. Cu vreo sapte ani in urma, administratorul de sistem al sucursalei unei importante banci obisnuia sa isi ia acasa memoria RAM de la serverul sediului, pe timpul noptii, ca sa aiba mai multa eficienta atunci cand juca jocuri pe computer. Pur si simplu, oprea serverul sucursalei, demonta piesa respectiva, pleca cu ea acasa si o aducea inapoi a doua zi.
O alta problema o reprezinta foile uitate in imprimanta sau lasate pe mese. De asemenea, sunt companii sensibile, unde politica de innoire a parolelor este ignorata de unele persoane.
Cu cativa ani in urma, POS-urile unei banci scoteau chitante pe care era imprimat numarul complet al cardului de pe care sa facuse plata, in mod normal, acest numar fiind partial mascat, tocmai pentru a se evita posibilitatea clonarii sale.
Mihai Petrov consultant in securitatea informatiei, Cabinetul Calin Tatomir
Acest articol nu reprezintă consultanță financiară.
Newsletter zilnic money.ro
BET, curs valutar, știrea zilei — în 2 minute, înainte de 7:00.
