Jelszótolvajok

Május végén a frissen megjelent Korgo nevű vírus, majd júniusban az eredeti kártevő újabb változatai okoztak izgalmat az internetbankok ügyfeleinek világszerte. A féregvírus ugyanis igen hatékonyan lopta el a megfertőzött gépekről az ügyfelek bizalmas adatait, egyebek közt a hitelkártya-információkat és jelszavakat. A szakértők csak arra tudták figyelmeztetni a Korgo áldozatait, hogy változtassák meg jelszavaikat, és cseréljék le hitelkártyáikat.

Az itthoni ügyfeleket egyelőre még csak fenyegeti a veszély, de fontos óvatosnak lenni. „Az online banki ügyfelekre legveszélyesebb vírusok célzottan meghatározott, jellemzően amerikai bankok ellen irányulnak” – tudtuk meg Dávid Andrástól, a 2F 2000 Kft. kereskedelmi igazgatójától. Az egyszerű jelszólopó programok viszont általában nem igazán hatékonyak. Ugyan egy ilyen program a hitelkártyaadatokat felhasználhatná internetes vásárlás során, ez a fizetési mód hazánkban viszont még nem elterjedt. A gyakoribb online bankolás során viszont a pénzintézetek eltérő szoftvereket használnak, ebből kifolyólag nem elég csupán a jelszó ismerete. „A fentiek miatt ezen a téren kicsi a fenyegetettség, legalábbis addig, amíg nem alakul ki egy olyan monokultúra, mint az operációs rendszerek piacán” – véli Dávid András.

Speciálisan az itthoni bankokat támadó vírus még nem született, de nem árt az óvatosság. „A júniusban feltűnt Zafi.B vírus a parlament oldala mellett magyar vírusvédelmi honlapokat támadott, s nem kizárt, hogy a jövőben például a Zafi.C egy pénzintézet szolgáltatásait veszi majd célba” – mutat rá a veszélyre a kereskedelmi igazgató.

Zavarosban halásznak Phishing – ezzel a kifejezéssel, a horgászást jelentő angol szó eltorzításával jelölik azt a tevékenységet, amikor csalárd módon jelszavakat próbál begyűjteni valaki. Az online bankolás világában sem ismeretlen ez a fogalom: számos eset volt arra, hogy megtévesztő e-mailek, és az eredetihez szinte a megszólalásig hasonló honlapok segítségével próbáltak meg egyesek bankkártyaadatokat vagy egyéb személyes információkat kicsalni. A recept egyszerű: a bűnözők e-maileket küldenek a potenciális áldozatoknak, amiben arra kérik őket, hogy adategyeztetés miatt, vagy más ürüggyel látogassanak el a bank honlapjára. Az elektronikus levél egy linket is tartalmaz, ami jellemzően egy, a bank honlapjától címében és megjelenésében szinte alig különböző oldalra mutat: itt próbálják – űrlapkitöltés ürügyén – begyűjteni az információkat. Az elmúlt hónapokban több esetben is történt kísérlet például a Citibank ügyfeleinek megtévesztésére, olyan hangzatos webcímekkel, mint például a www.citibank.com.intl-en.us vagy a citibank-validate.info, a bank azonban résen volt. „A megtévesztéssel világszerte, így magyar ügyfelek esetében is próbálkoztak, ám sem az ügyfeleket, sem a Citibank Rt.-t nem érte anyagi kár” – foglalja össze a történteket Hencz Éva médiakapcsolatokért felelős igazgató. Mint hozzáteszi, a Citigroup nagy hangsúlyt fektet az ügyfelek proaktív tájékoztatására a biztonságos online bankolás feltételeiről.

A hazai fejlesztésű kártevők azért is veszélyesebbek, mivel a magyar nyelvű üzenetek könnyebben megtévesztik a felhasználókat. Dávid András tanáccsal is szolgál az online bankok felhasználói számára: csak saját számítógépünkről végezzünk banki műveletet, és lehetőleg olyan szolgáltatót válasszunk, amely számos eszközzel (erős titkosítással, esetleg csipkártya alkalmazásával) gondoskodik a biztonságról. Elengedhetetlen továbbá a vírusvédelem és a tűzfal használata, valamint az alapvető IT-biztonsági ismeretek megléte a felhasználó részéről. Az általunk megkérdezett kereskedelmi bankok sem tudnak olyan esetről, amikor valamely magyarországi pénzintézet internetbankos ügyfelének okoztak volna kárt a vírusok, de ez nem jelenti azt, hogy nem áll fenn ennek veszélye: „A vírusok, férgek folyamatosan növekvő száma miatt az eset nem kizárható” – figyelmeztet az OTP Bank kommunikációs osztálya.

ÖNVÉDELEM. A hazai bankok is elsősorban vírusvédelemmel, tűzfalakkal és biztonsági menedzsmenttel próbálnak védekezni a támadókkal szemben. A Raiffeisen Bank emellett az idén egy újabb biztonsági megoldást is bevezet: az egyszeri jelszavakon alapuló tranzakcióazonosítás és hitelesítési eljárás tovább növeli az ügyfelek védelmét – tudtuk meg a pénzintézet bankbiztonsági főosztályának vezetőjétől. A Kereskedelmi és Hitelbank csipkártyát bocsát e-bank ügyfelei rendelkezésére, ami a hozzátartozó leolvasóval – a jelszóval együtt – azonosítja a számla tulajdonosát. A kereskedelmi bankok is fontosnak tartják ügyfeleik informatikai biztonsági tudatosságát, ezért honlapjaikon figyelmeztetnek a szükséges óvatosságra. A tanácsok között általában a szokásos felhívásokat találjuk: ne nyissunk meg bizonytalan eredetű csatolt fájlokat, böngészőnk biztonsági fokozatát pedig állítsuk legalább közepesre.

Az ügyfeleknek már csak azért sem árt óvatosnak lenniük, mert egy esetleges vírus okozta veszteség után valószínűleg nem háríthatják a bankra a felelősséget. „Mivel külön jogszabály nem tárgyalja ezt a kérdést, a Polgári Törvénykönyv általános felelősségi szabályai vonatkoznak a problémára” – ismerteti véleményét egy lapunknak nyilatkozó jogi szakértő. Ezek alapján a harmadik fél által okozott kárért a szolgáltató nem felel, ha megtett minden elvárható intézkedést, és megfelelően tájékoztatta az ügyfelet a kockázatokról. Hasonló állásponton van a CIB Bank is. A kommunikációs osztály tájékoztatása szerint a bankkártyával vagy más elektronikus fizetőeszközzel kapcsolatban a pénzforgalomról szóló kormányrendeletben rögzített – a birtokos bejelentésének függvényében megállapított – felelősségi és kárviselési szabály a vírus miatt bekövetkezett kárra nem vonatkozik, arra az általános kártérítési szabályok és eljárások irányadók. Az ügyfél és a bank között felmerülő esetleges vitás esetek gondos elemzést, mérlegelést és – szükség esetén a hatóságot is bevonva – vizsgálatot igényelnek. Az ügyfél számítógépén történő incidensek nyomán felmerülő bizonyítási eljárások túlmutatnak a bank jogi és technikai lehetőségein, mivel az ilyen gép kívül esik a bank által felügyelt, illetve ellenőrzött eszközök körén. A pénzintézet csak saját eszközeit illetően tud felügyeletet gyakorolni, így az ügyfél számítógépét támadó vírusok okozta problémák miatt nem vállalhat egyetemlegesen és általánosan felelősséget.

KI A BŰNÖS?