Способы защиты при использовании интернет-банкинга. Безопасность Интернет-банкинга: практические аспекты В чем заключается безопасность системы интернет банкинга

) распространяют вирусы через всевозможные интернет-ресурсы, начиная от соцсетей и заканчивая обычными хорошо посещаемыми сайтами. Человек, у которого заражен компьютер, входит в личный кабинет, но тут же перенаправляется на «левые» сайты, которые крайне сложно по каким-то внешним признакам отличить от настоящих банковских страниц.

На фишинговом сайте посетителя просят ввести номер мобильного, идентификатор и пароль либо какие-то другие персональные данные, которые могут понадобиться мошенникам.

Основные меры безопасности при использовании онлайн-банкинга

Не вводите личные данные

Как правило, для входа в интернет-банк кредитная организация запрашивает от клиента только логин и пароль. Номер телефона, данные паспорта, ПИН-код и другие личные данные - все это требовать от вас не должны.

Проверяйте адрес сайта

Если адрес сайта отличается даже одной буквой - это фишинговый сайт. Если интернет-обозреватель предупреждает, что сертификату безопасности сайта доверять нельзя - не доверяйте.

Пользуйтесь одноразовым паролем

Для защиты от фишеров большинство банков при подтверждении операций просят вводить одноразовый пароль. Это очень важный элемент безопасности, который никому и ни при каких обстоятельствах разглашать нельзя! Кроме того, если вы используете смс-пароль, нужно тщательно сверять реквизиты подтверждаемой операции.

Не входите в свой личный кабинет с чужих компьютеров

Лучше входить в интернет-банк только со своего персонального ПК. А вот рабочее место или интернет-кафе - не лучшее место для этого. Если же в силу определенных причин вам пришлось войти в личный кабинет с чужого компьютера, обязательно по окончании работы нажмите иконку «выход» и очистите кэш-пмаять.

Используйте сложный пароль

Придумайте для входа в онлайн-банкинг сложный пароль и никому его не сообщайте, а тем более, не записывайте на карте. Лучше не ставить такой пароль на запоминание, а каждый раз вводить его вручную.

Обновляйте антивирус

Первое, что нужно сделать, это установить антивирус на ваш компьютер и в дальнейшем его своевременно обновлять. Еще один вариант - разрешить его автоматическое обновление. Далее нужно периодически производить антивирусную проверку для своевременного обнаружения вредных программ;

Устанавливайте современные операционные системы

Старайтесь не использовать старые операционные программы, лучше отдать предпочтение более своевременным и в дальнейшем их обязательно обновлять. Это относится также к интернет-браузеру и почтовым программам. Дело в том, что последние обновления операционных систем разрабатываются с учетом новых появившихся вирусов.

Применяйте дополнительное программное обеспечение

Используйте «программы-сторожа», персональные межсетевые экраны, программы защиты от спам-рассылок и др. Например, установив персональный межсетевой экран, нужно просто указать в нем весь список программ и доступных им сервисов и портов. Тогда, если какая-то «левая» программа попытается отправить почту, ее действия сразу же будут обнаружены.

Используйте кодированное соединение

Проверяйте, что установлено защищенное (кодированное) соединение с официальным сайтом банка. Самое распространенное -- это SSL-соединение, которое поддерживается большинством современных браузеров. Определить, используется ли защищенное соединение, можно по адресу в браузере: там должно стоять https (например, https://online.sberbank.ru).

Не скачивайте на компьютер подозрительные программы

Программы, полученные из непроверенных источников, могут содержать вирусы, сетевых червей или трояны. Самый лучший способ оградить себя от такого вреда - запретить в почте прием писем, содержащих исполняемые вложения. Или хотя бы сначала просматривать заголовки и удалять подозрительные письма сразу же на сервере, не скачивая их на свой ПК. Даже если файл-вложение прислан якобы от друга, следует отнестись к этому с подозрением - возможно, это сообщение отправлено сетевым червем. Сомнительное сообщение следует удалить полностью: сначала в папке «Входящие», потом в папке «Удаленные».

Подключите смс-оповещение

Такая услуга сейчас предоставляется практически во всех банках - клиенту подключается смс-уведомление по операциям с картой. При получении сообщения об операции, которую вы не совершали, следует сразу же обратиться по телефону в Службу поддержки своего банка.

Установите лимиты на операции в интернет-банке

Можно установить лимиты на онлайн-операции по карте. Так мошенники не смогут снять с карты больше той суммы, на которую установлено ограничение.

Соблюдая эти правила, вы сможете свести риски при использовании онлайн-банкинга к минимуму.

Сегодня около 80% крупных и средних банков предлагают своим клиентам сервис онлайн-банкинга, и те охотно им пользуются. Однако крупные сбережения становятся желанной и, оказывается, не самой трудной добычей для хакеров и других мошенников.

К примеру, недавно в Европе была поймана группа преступников: с помощью фальшивых кредитных карт они обналичивали отправленные на офшорные счета деньги. Из того же разряда история о русских хакерах в США, за несколько лет похитивших со счетов состоятельных американцев более 1,5 млн долларов. Преступление раскрыли, только когда злоумышленники задумали покуситься на 2,7 млн долларов, принадлежащих одному известному отельеру.

Проблема не обошла стороной даже банковскую «столицу» мира Швейцарию. Многие помнят историю о том, как сын богатого швейцарца добрался до счета своего отца. Банк, сохраняя бдительность, запросил у владельца подтверждение транзакции, но слишком поздно: деньги уже были переведены. И самое печальное в том, что долгие расследования и разбирательства привели к возврату только 70% снятой суммы, рассказывает управляющий директор Optima Infosecurity Неманья Никитович.

В конце октября 2012 года появились новые угрозы от хакера под говорящим псевдонимом vorVzakone. Он заявил о своем плане «Блицкриг», суть которого сводилась к атаке банковской системы США. Примечательно, что его усердная работа уже обогатила героя на 5 млн долларов за счет клиентов тех же американских банков. В целом, по данным ФБР, к концу октября бюро расследовало около 230 случаев электронного мошенничества против американских банков: речь идет о попытке хищения свыше 255 млн долларов и фактическом убытке примерно на 85 млн долларов. А как раз сейчас в США идет суд над русскими мошенниками, обвиняемыми в махинациях с поддельными счетами и кредитками. Предполагается, что их целью были исключительно богатые люди.

Догоняя Запад

Практика показывает, что европейские и американские банки пока не способны обеспечить полноценную защиту счета клиента. Возможно, вопреки своему желанию, но они вынуждены регулярно заявлять о фактах мошенничества и о борьбе с ними – такие правила диктуют закон и регуляторы. «Заметьте, мы никогда не слышим о последствиях, – рассказывает Ашот Оганесян, chief technology officer компании DeviceLock. – И это потому, что на деле совершенно неважно, украли деньги или нет. Клиент не чувствует проблемы: все его средства застрахованы и, значит, будут ему возвращены». Поэтому они могут сохранять спокойствие: сомнений в компенсации не возникает.

Судя по всему, даже такие условия не служат гарантией полного возврата денег, и банки обязаны информировать клиента обо всех рисках онлайн-банкинга заранее. «Конечная ответственность лежит на организации, внедрившей сервис, – рассказывает Ричард ван Оеффел, владелец нидерландской компании VOC Consultancy. – Попытка обвинить клиента в том, что он неверно пользовался Интернетом или компьютером, глубоко порочна: клиенту может быть 80 лет, или у него плохое зрение, или что-нибудь еще». Поэтому банк должен направить свои действия не только на усиление мер защиты онлайн-банкинга, но и на повышение степени информированности клиентов.

России в этой сфере гордиться нечем: хищение денег с карты остается проблемой ее владельца. И если вдруг такое происходит, жертвам мошенников приходится доказывать свою правоту в суде. Ричард ван Оеффел отмечает, что случаи невозврата украденных средств у нас до сих пор не редкость, однако российские банки уже перенимают прогрессивный европейский опыт. С нового года в силу вступает закон о национальной платежной системе, который полностью перекладывает ответственность за сохранность сбережений на банк. Эксперты полагают: нововведение изменит соотношение рисков в системе добровольного банковского обслуживания. «Для пользователей закон гарантирует большую сохранность их средств, – поясняет Неманья Никитович. – Для банков, напротив, возникают новые риски и увеличиваются расходы на информационную безопасность». К таким перспективам банки уже готовятся. Но чего ждать состоятельным клиентам?

По ту сторону безопасности

Актуальную для себя проблему информационной безопасности банки не любят афишировать, хотя больше остальных знают, чего стоит бояться клиентам. «Наиболее массовый вид мошенничества в банковской сфере – с кредитными картами, – утверждает Неманья Никитович. – Ни для кого не секрет, что данные кредиток можно получить не только из системы онлайн-банкинга, но и, например, на черном рынке». Вторые по популярности – инциденты, связанные с кражей конфиденциальной информации.

Магнитные хакеры, трояны и подобные программы регулярно атакуют инвестиционно-банковскую систему. Ашот Оганесян утверждает, что в последнее время такие взломы наиболее характерны для российского рынка. С этим не спорит Ричард ван Оеффел и добавляет, что если раньше был распространен банальный фишинг, то сейчас в моду вошли узконаправленные атаки типа Man in the Middle, Man in the Browser и Man in the Mobile. У них один принцип: мошенник внедряется в канал связи между банком и клиентом и выдает себя за пользователя, копируя его личные данные. Именно поэтому сейчас в мире все большее распространение получают технологии противодействия этим атакам, основанные на аутентификации пользователя.

Своевременная забота о системах информационной безопасности входит в компетенцию банка. «Наиболее распространены сегодня системы скретч-карт, генерации пароля при помощи SMS и хранения кода на бумажных носителях, – объясняет Неманья Никитович. – Однако ни одна из них не совершенна: скретч-карта снабжена заранее неизменяемым списком паролей и неудобна, потому что ее легко потерять. Такие же проблемы у бумажных носителей. Генерация пароля при помощи SMS , в свою очередь, создает риск его перехвата и заражения телефона вредоносным ПО». Получается, что современные технологии защиты не создают злоумышленникам серьезных проблем.

Эксперты советуют внедрять инновации, которые если и не обеспечат полной сохранности денег, то заставят мошенников помучиться. В России такие решения пока только формируются. «На Западе рынок осваивает новую технологию – карты с дисплеем, – рассказывает Никитович. – Обычная пластиковая карта, генерирующая уникальный одноразовый пароль (one time password, ОТР) для работы в системе интернет-банкинга». Ашот Оганесян также поддерживает идею строгой мультифакторной аутентификации, а Ричард ван Оеффел напоминает о технологии, подтверждающей (или не подтверждающей) географическое присутствие клиента в месте совершения транзакции. «Они работают против списания денег в Майами, в то время как клиент мирно спит в Гааге», – поясняет он.

Сбереги себя сам

Действительно, владельцу крупного капитала в России в вопросах сохранности личных финансовых активов рискованно полностью доверяться банкам. Нехорошо забывать об элементарном хеджировании рисков и распределении средств на несколько счетов, советует Никитович. Не будет лишним хотя бы немного разбираться в системах информационной безопасности и выбирать банки, не экономящие на развитии и использовании самых передовых разработок. Чем совершеннее будет система онлайн-банкинга, тем удобнее она окажется для конечного пользователя.

Даже с приходом новых правил на российский рынок проявить бдительность все-таки придется. Спокойный сон и избавление от лишних проблем – это, конечно, хорошо. И банк сделает все возможное, чтобы не нарушить гармонии вашей жизни. Но будет не лишним и подстраховаться. Ведь никому нельзя доверять как себе, верно?

Мы с вами в прошлом посте разобрались как выбрать удобную банковскую карту для заграничных путешествий , настало время позаботиться про безопасное её использование.

Для написания этого поста я проконсультировался со своим приятелем, который является специалистом по информационной безопасности в одном из российских банков. Далее, его ответы на мои вопросы.

Безопасно ли хранить деньги на банковской карте?

Хранить деньги на счёте в банке - это в разы безопаснее, чем хранить их дома, на это есть ряд причин. Во-первых, все вклады страхуются государством (АСВ). Во-вторых, любой банк имеет средства и возможности мониторить и контролировать свою безопасность, это как бы его одна из задач. В-третьих, банк кроме обязательной страховки через АСВ, имеет дополнительную страховку на тот случай если происходит кража средств с клиентских счетов и прочие форс-мажор обстоятельства.

Любое мелкое хулиганство (у каждого банка суммы разные, но примерно 3 000 000 рублей на один счет), проходит совершенно незаметно для пользователей, так как все покроет страховая. Информация про такую мелочовку никогда не выходит за пределы банка, ведь проще возместить ущерб клиенту, чем иметь репутационные риски.

Стоит ли бояться хакеров в Интернете, не взломают ли они мой счет?

На заре Интернета хакеры были совершенно иными, они скорее всего были идейными и занимались всякой ерундой. Сегодня, серьезные хакеры либо работают на правительства разных стран (это уже бывшие хакеры), либо занимаются крупным IT криминалом. И первым и вторым ваши копейки на карточном счете попросту не интересны, у них цели более масштабные. В то время как банковская система имеет от вторых регулярные атаки.

У безопасников есть такое понятие, «профиль атакующего», т.е. следует чётко понимать кто охотиться за вашими деньгами/информацией. Соответственно, когда вы подробно опишете как может выглядеть ваш оппонент, тогда и будет понятно какая защита вам потребуется.

Я бы не стал сгущать краски, так как для рядового пользователя банка, основную угрозу представляют обычные «школьники» и мелкое жульё с сайтов объявлений. Боятся их не стоит, но с этой публикой следует быть внимательным и осторожным.

Как обезопасить свою банковскую карту?

Ваша банковская карта и так имеет очень хорошую систему защиты, тут беспокоится не стоит. Самое слабое звено в цепочке: клиент -> банковская карта -> банкомат/терминал в магазине -> банк. Конечно же сам клиент. Как я уже говорил ранее, всё банковское железо и софт регулярно проходят стресс тесты по безопасности и регулярно модернизируются, а вот клиенты такие тесты не проходит и каждый раз наступают на одни и те же грабли.

Вот самые регулярные провалы клиентов (мировая статистика):

утеря карты на которой написан ПИН код - регулярная ситуация, все знают что писать ПИН код на карте не надо, но все равно пишут;
владелец карты сообщает третьим лицам данные с карты (включая код CVV) - обычно эти данные из доверчивых пользователей вытягивают всякие проходимцы с сайтов бесплатных объявлений и им подобным;
владелец карты сам сообщает ПИН код карты - случаев когда вместо секретного слова (вы его придумываете при оформлении карты), люди при общении с сотрудником колл-центра называют свой ПИН очень много. Стоит помнить, что никогда работники банка не спросят ваш ПИН код;
добровольное перечисление средств - стандартному обману по технологии «Нигерийские письма» миллион лет, но народ всё равно на них попадается, а как вам SMSки в которых номер вашей карты вдруг выиграл миллион (мне они тоже часто приходят).

Как видите, самые актуальные способы воровства ваших денег с банковских карт имеют понятную природу, и я бы сказал, что тут работает «Социальная инженерия», а не технические способы и навыки.

Как безопасно платить с помощью банковской карты?

Как вы уже убедились, самое слабое звено это сам владелец карты. Тем не менее, следует учитывать факт новых технологий (как пример, бесконтактная система оплаты) к которым не все пользователи ещё привыкли, но всё же при соблюдении базовой грамотности пользоваться банковскими картами безопасно.

Вот несколько простых советов, которые сведут к минимуму вероятность воровства с вашей карты:

Прикрывайте ладонью клавиатуру - при вводе ПИН кода старайтесь прикрыть клавиатуру терминала/банкомата ладонью. Скиммеры постепенно уходят в прошлое, но еще встречаются, так что не облегчайте жуликам их работу.

Не «светите» своей картой в интернете - старайтесь как можно меньше указывать данные вашей карты в сети, не стоит «светить» даже номер карты. Помните, чем больше данных с вашей карты вы указали, тем более вы уязвимы.

Используйте виртуальную карту - если вы покупаете в непроверенном интернет магазине, то лучшим решением будет расплатиться с помощью виртуальной карты. Все чем вы рискуете - это средствами на ней, так как сразу после оплаты карта становится недействительной. Такую карту можно выпустить онлайн, прямо их админки Интернет банка (не у всех банков это возможно).

Используйте несколько карт - одна карта для интернет покупок, вторая карта для зарплаты, третья для путешествий и т.д.

Не храните большие суммы на карточном счете - это самое действенный метод, который редко кто использует, но он на 100% обезопасит ваши финансы. Сегодня, онлайн банк есть у всех, пользоваться им можно с любого смартфона, так что не ленитесь и храните основные деньги на отдельном счёте, который не привязан к карте. В момент похода за дорогостоящими подарками, переводите нужную сумму с основного счёта на карточный счет.

Устанавливайте лимиты - установите дневной лимит, это действенный способ помешать жуликам слить с вашего пластика всё под ноль.

Подключите услугу 3D Secure - услуга отлично помогает верифицировать держателя карты при покупках в интернет магазинах. 3D Secure - это ещё один заслон от мелких интернет хулиганов и всякой школоты. Суть проста, при оплате картой, вам приходит SMSка с кодом подтверждения.

Контролируйте состояние всех операций в режиме онлайн - включите SMS информирование и при любой непонятной транзакции звоните в банк и блокируйте карту (то же самое можно сделать через интернет банк).

Что делать если с банковской карты списали средства без моего ведома?

Первое что следует сделать - успокоится. :) Но сильно расслабляться всё же не стоит, а следует как можно быстрее обратиться в свой банк и описать суть проблемы.

Тут следует понимать как работает вся система в целом, большинство клиентов про это не знает и сразу же начинают паниковать.

К примеру, вы находитесь в своём московском офисе и тут вам прилетает SMSка, что в далеком Бангкоке с помощью вашей карты была осуществлена дорогая покупка. Вроде бы самое время паниковать и рвать на всех частях тела волосы, а вот и нет.

Дело в том, что как только происходит какая-либо операция, то ваши средства никуда не деваются, они просто «морозятся». Вы естественно к ним уже доступа не имеете, но банк имеет. Деньги могут «морозится» на очень длительный срок (10 дней для банкомата, 45 дней для всех остальных терминалов).

Но это происходит не просто так, а в ожидании от мерчанта (интернет магазина, гостиницы и т.д.) документов, которые подтверждают на каких основаниях для него была заморожена ваша сумма. Как правило, мерчант предоставляет в МПС (Международная Платежная Система) документы в течение нескольких дней и платеж проходит, если документы от него не получены, то средства «размораживаются» и возвращаются.

Так вот знаю эту схему работы, вы приходите в офис своего банка (в некоторых случаях всё можно решить по телефону) и как правило вопрос решается в вашу пользу (тут могут быть разные ситуации). Часто подобные заявления и расследования - это платная услуга, про это стоит помнить. После возврата средств вам на счет, могут прийти документы от МПС, но это уже банк с ним сам разрулит (ситуация откатанная и не является чем то новым). В итоге, все довольны и счастливы.

Безопасного вам интернет банкинга.

По утверждениям экспертов, основная и самая главная угроза, подстерегающая любого пользователя Интернет-банкинга – это риск мошеннического взлома и несанкционированного доступа к средствам на счете. «Единственной существенной опасностью, которая может подстерегать пользователей этих систем, является риск противоправного завладения их денежными средствами злоумышленниками, с использованием возможностей систем «Интернет-банкинга», впрочем, как и любых иных типов систем дистанционного обслуживания», - рассказывает Егор Изотов, начальник отдела информационно-технической защиты Пивденкомбанка.

А потому банки стараются использовать различные системы и механизмы, призванные если не гарантировать, то, по крайней мере, повысить безопасность использования онлайн банкинга.

Шифрование данных

На сегодня уже всеми или почти всеми банками, предоставляющими услугу Интернет-банкинга, применяется SSL-шифрование данных, передаваемых от компьютера пользователя в систему банка и обратно. Эта мера безопасности позволяет исключить распространенный ранее вид мошенничества. «Раньше часто использовалась схема «man in the middle»: данные о платеже перехватываются на этапе, когда они отправлены от клиента, но еще не дошли в банк. Мошенник меняет данные и только после этого отправляет их в банк», - рассказывает Борис Косяков, начальник управления информационной безопасности Астра Банка.

Чтобы воспользоваться всеми преимуществами защищенной передачи данных, следует соблюдать элементарные меры безопасности в Интернете – не реагировать на подозрительные сообщения (полученные якобы от вашего банка) и не переходить по неизвестным ссылкам.

Одноразовые пароли, получаемые в банкомате

При такой системе защиты, кроме обычного логина и пароля, для входа в систему и подтверждения операций пользователь должен ввести одноразовый пароль, список которых он может получить в банкомате своего банка.

С точки зрения безопасности такая система имеет преимущество – чтобы совершать операции по карточному счету через интернет-банкинг, лицо должно как минимум иметь в наличии непосредственно саму карту, а также знать ПИН-код, чтобы получить список паролей в банкомате.

Вместе с тем нельзя не отметить ряд недостатков такой системы защиты. Во-первых, список паролей, распечатанный в виде чека из банкомата, вам придется хранить для подтверждения будущих операций. А это значит, что если вы случайно потеряете или выбросите чек (или просто используете все пароли), вам придется идти за новым. Зачастую список паролей можно получить далеко не в каждом банкомате банка, и вполне вероятно, что вам придется ехать за ним на другой конец города. К тому же, списком могут завладеть злоумышленники.

Если ваша система интернет-банкинга предусматривает использование списка одноразовых паролей, постарайтесь придерживаться простых правил. Во-первых, не выбрасывайте список паролей и по возможности старайтесь его не терять. Во-вторых, не храните список одноразовых паролей вместе с логином и паролем от вашей учетной записи. Последний вовсе не рекомендуется записывать, лучше запомнить.

Одноразовые СМС-пароли

Этот способ аутентификации пользователя в системе интернет-банкинга является едва ли не самым распространенным в предложениях украинских банков. При такой системе каждая операция, которую вы совершаете с помощью онлайн банкинга, должна быть подтверждена одноразовым паролем, который вы получите в СМС-сообщении на ваш мобильный телефон. При этом ваш мобильный номер должен быть «привязан» к номеру счета.

Такая система имеет ряд преимуществ. Во-первых, она достаточно проста в использовании – вам не нужно специальное оборудование, а процедура подтверждения операции занимает всего пару минут. Во-вторых, она позволяет обезопасить вашу учетную запись от использования злоумышленниками – даже если мошенникам станет известен ваш логин и пароль для входа в систему, они не получат доступ к вашим деньгам, а вы узнаете о попытке провести несанкционированную операцию из СМС-сообщения. Кроме этого, вам не нужно хранить список одноразовых паролей, а значит, вы не сможете его потерять, и у вас его не украдут.

На этом преимущества системы заканчиваются. Действительно, злоумышленникам довольно сложно завладеть одноразовым паролем, действующим в течение короткого времени. Если только они не завладели вашим мобильным телефоном. И совсем бесполезной система будет в том случае, если вы пользуетесь интернет-банкингом с мобильного телефона и сохраняете пароли в браузере. Тогда, украв у вас телефон, мошенник получит ваш счет в полное распоряжение.

Если ваш банк использует аутентификацию пользователя по СМС, постарайтесь придерживаться таких правил:

* не пользуйтесь Интернет-банкингом с мобильного телефона;
* не сохраняйте пароль от учетной записи в браузере;
* в случае потери или кражи мобильного телефона – немедленно обратитесь в банк с просьбой заблокировать вашу учетную запись Интернет-банкинга.

Электронная цифровая подпись (ЭЦП)

Этот механизм чаще используется при обслуживании банками компаний, но иногда его предлагают и индивидуальным клиентам. Плюс ЭЦП в том, что она позволяет однозначно идентифицировать пользователя. Недостаток же заключается в том, что ЭЦП также может быть уязвима для мошенников. Злоумышленники могут добраться до ключа от вашей цифровой подписи, заразив ваш компьютер вредоносным программным обеспечением. «Существуют «трояны», умеющие находить и красть на зараженном компьютере аутентификационные данные (идентификаторы, пароли и даже ключи ЭЦП) пользователей для доступа к различным сервисам (в том числе и серверам удаленного обслуживания клиентов банков)», - рассказывает Борис Косяков.

Если для подтверждения ваших финансовых операций через интернет вы используете ЭЦП, не забывайте пользоваться антивирусными программами и регулярно проверять ваш компьютер на предмет заражения компьютерными вирусами. Также эксперты не советуют оставлять ключ ЭЦП подключенным к компьютеру, если вы его не используете.

Внешние электронные устройства

Некоторые банки предлагают пользователям онлайн банкинга приобрести (или взять в аренду) специальное устройство – генератор одноразовых паролей. Генератор подключается к компьютеру через usb-порт и не требует специального программного обеспечения.

Другие учреждения предлагают использовать внешний электронный ключ, который генерируется при первом подключении к системе Интернет-банкинга, записывается на внешний носитель и затем используется при проведении операций в системе.

Такие системы, по сути, являются упрощенной версией ЭЦП. Среди недостатков их можно выделить то, что вы не сможете получить доступ к своему счету, не имея под рукой «ключа», а всегда носить его с собой может быть не очень удобно и безопасно.

Помимо перечисленного выше, банки зачастую применяют дополнительные меры для обеспечения безопасного пользования интернет-банкингом:

* ограничение использования личного сертификата – система некоторых банков позволяет использовать электронный ключ (электронный сертификат) только на том компьютере, на котором он был сгенерирован. Таким образом, осуществлять платежи через Интернет-банкинг вы сможете только со своего личного компьютера (хотя просматривать выписки по счету можно и на других устройствах);
* виртуальная клавиатура – предназначена для того, чтобы мошенники не могли «считать» ваши регистрационные данные при вводе их с обычной клавиатуры с помощью компьютерных вирусов («троянов»);
* ограничение длительности сессии – в случае неактивности пользователя, сессия в системе Интернет-банкинга через определенное время (обычно 10-15 минут) будет закрыта. После этого для возобновления работы потребуется заново пройти аутентификацию;
* история подключений – с помощью этой функции пользователь Интернет-банкинга узнает, если кто-то кроме него подключался к системе, а также сможет отследить все несанкционированные операции, если они были произведены.

Многое зависит от пользователя

Эксперты отмечают, что чаще всего причиной мошеннического доступа к счету пользователя Интернет-банкинга является невнимательность и неосторожность самого пользователя. А потому, чтобы избежать возможных проблем, владельцу учетной записи следует беречь данные доступа к ней. Во-первых, эксперты советуют периодически изменять пароли для доступа в систему, желательно делать это раз в месяц и не использовать Интернет-банкинг на непроверенных компьютерах (например, в Интернет-кафе).

Помимо этого, следует соблюдать осторожность при работе в Интернете. «Мошенники широко используют приемы «социальной инженерии» для того, чтобы выманить аутентификационные данные (логин, пароль и т.д.) клиентов. Наиболее старый метод – «фишинговые» письма электронной почты, которые провоцируют получателей отправить свои аутентификационные данные злоумышленникам или предлагают пройти по ссылке на мошеннический сайт. С ростом популярности социальных сетей («Одноклассники», Twitter, Facebook) мошенники тут же начали использовать для «фишинга» сообщения социальных сетей. Также злоумышленники создают подложные копии сайтов для Интернет-банкинга с именами, очень похожими на настоящие», - поясняет Борис Косяков. И если вы введете на таком сайте данные своей учетной записи, то они тут же попадут в руки к мошенникам.

Если у вас возникли опасения, что мошенники получили доступ к вашему счету через Интернет-банкинг, эксперты советуют предпринять следующие действия:

* отключить компьютер от Интернета;
* обратиться в контакт-центр (а при необходимости – в отделение) вашего банка, изложить проблему и попросить заблокировать вашу учетную запись;
* проверить компьютер на предмет заражения вредоносным программным обеспечением;
* возобновить работу с системой онлайн банкинга только тогда, когда вы убедились, что угроза отсутствует;
* сменить пароль от учетной записи.

Если ваши подозрения оправдались, и со счета были списаны несанкционированные вами платежи, следует составить заявление о произошедшем в банк и в правоохранительные органы. В этом случае не рекомендуется совершать никаких действий на вашем компьютере (устанавливать или удалять программное обеспечение и т.п.) до прибытия сотрудников правоохранительных органов или специалистов банка, поскольку любые изменения могут помешать расследованию инцидента.

Другие опасности

Помимо риска мошеннического взлома, пользователь Интернет-банкинга подвергается и другим угрозам. Например, нежелательное списание средств через Интернет-банкинг может произойти, если пользователь сам неправильно ввел данные для отправки денег.

«Если клиент при отправке платежа через Интернет-банкинг допустил ошибку в номере счёта, то процедура возврата такого платежа ничем не отличается, как если бы платёж был отправлен при посещении отделения банка. Увидев, что платеж в системе Интернет-банкинга отправлен ошибочно, клиент должен уведомить об этом свой банк», - комментирует Юлия Морозова, директор департамента развития карточного бизнеса VAB Банка.

Эксперты отмечают, что успешность исправления такой ошибки в первую очередь зависит от скорости реакции на нее самого пострадавшего. Если ваши средства еще не были отправлены в банк получателя, то вы получите их назад почти сразу. Если платеж уже поступил в другой банк – то придется немного подождать. «Если деньги были отправлены в другой банк на счет юридического лица, то в связи с тем, что остальные реквизиты не соответствуют счету, деньги будут возвращены в течение трех дней либо на основании заявления», - рассказывает Ростислав Божко, ведущий специалист управления альтернативной дистрибуции МАРФИН БАНКА. Впрочем, возврат средств может затянуться и на более длительный срок. «Точные сроки возврата в данном случае будут зависеть от банка получателя. То есть, как только банк-получатель вернет средства банку-отправителю, средства будут зачислены на счет клиента», - поясняет Юлия Морозова.

Впрочем, Интернет-банкинг не застрахован и от других рисков, к возникновению которых люди не причастны. Например, если во время проведения операции возникнет технический сбой. Эксперты уверяют, что такой риск не несет большой угрозы для владельца счета. «Системы Интернет-банкинга, как, и любые иные современные системы обработки данных, устроены таким образом, что в случае технического или программного сбоя в процессе транзакции документ просто не будет принят банком», - рассказывает Егор Изотов. Но даже если неверная операция все же была проведена – стоит сразу же обратиться в банк для исправления ошибки. «Если при осуществлении перевода произойдет сбой в транзакции, то о таком сбое достаточно проинформировать банк и средства будут возвращены на счет в кратчайшие сроки», - уверяет Ростислав Божко.

В то же время, пользователь Интернет-банкинга может столкнуться и с гораздо белее неприятной ситуацией. Так, по сообщениям в СМИ, клиент одного из российских банков в начале 2009 года попал в неприятную историю, когда одноразовые пароли на подтверждение платежей в системе Интернет-банкинга присылались не на его, а на чужой номер мобильного телефона. В результате, мошенниками со счета были списаны крупные суммы денег. Пострадавший уверен, что в инциденте замешаны сотрудники банка, ведь только они могли не просто сообщить злоумышленникам регистрационные данные (логин и пароль от учетной записи), но и отправлять им разовые пароли.

Опыт пострадавшего в этой ситуации показывает, что доказать что-то в таких обстоятельствах довольно сложно. Скорее всего, придется обращаться в суд, а его решение будет во многом зависеть от содержания договора, подписанного с банком. Впрочем, эксперты отмечают, что такого вида мошенничество не связано напрямую с использованием Интернет-банкинга, ведь в присутствии недобросовестного сотрудника мошенники могли с таким же успехом оформить поддельное платежное поручение.

Мнение

Юлия Морозова, директор департамента развития карточного бизнеса VAB Банка

Для предоставления качественных услуг своим клиентам банки сегодня обеспечивают наивысший уровень защиты передачи данных. Используются web-сервис с сертификатом безопасности https://, есть требования к паролю для входа в систему. Для подтверждения проведения каждой операции запрашивается введение одноразового пароля. В системе внедрена генерация ключей электронной цифровой подписи. При нескольких неудачных попытках регистрации в системе учетная запись автоматически блокируется.

Для исключения перехвата конфиденциальных данных вирусными программами советуем пользоваться виртуальной клавиатурой при наборе логина и пароля.

Ростислав Божко, ведущий специалист управления альтернативной дистрибуции МАРФИН БАНК

* использовать антивирусное программное обеспечение и межсетевые экраны (файрволы), известных производителей
* ограничивать доступ к компьютерам, с которых ведется работа с системой Интернет-банкинг, посторонним лицам;
* не работать на компьютере, с которого выполняется работа с системой Интернет-банкинг, с правами системного администратора;
* не использовать для работы в сети Интернет и в системе Интернет-банкинг не проверенные компьютеры (например, в Интернет-кафе), на которых может быть установлено вредоносное программное обеспечение.

Борис Косяков, начальник управления информационной безопасности Астра Банка

Что делать клиенту, если его учетную запись взломали?

В первую очередь нужно отключить взломанный (зараженный) компьютер от сети и сообщить об этом в банк, чтобы заблокировать учетную запись клиента для предотвращения мошенничества.

Обеспечить сохранность всех необходимых данных для дальнейшего расследования – ничего не изменять на взломанном (зараженном) компьютере.

Для расследования привлекать квалифицированных специалистов (из банка или специализированных фирм). Только квалифицированное расследование и выяснение причины поможет избежать подобных инцидентов в дальнейшем.

Егор Изотов, начальник отдела информационно-технической защиты Пивденкомбанка

Практика показала, что злоумышленники чаще всего не пытаются взламывать компьютерные сети банков, а захватывают управление компьютерами клиентов, и, получая доступ к ключам электронно-цифровой подписи и паролям доступа, осуществляют платежи от их имени.

Следовательно, достаточно надежная схема безопасности должна решать следующий минимальный набор задач:

1. Создание безопасной, доверенной и неизменной среды функционирования системы дистанционного обслуживания на стороне клиента банка. Никакие изменения в рабочем коде среды и ее настройках, возникшие в процессе функционирования системы, не должны сохраняться при выключении системы. В этом случае, даже если злоумышленник и получит каким-то образом удаленный доступ к этой среде в процессе ее функционирования, он не сможет завладеть ею на постоянной основе;
2. Создание защищенного от несанкционированного доступа канала передачи информации между клиентом и банком;
3. Обеспечение условий, не допускающих хищение ключей и паролей, применяемых для работы в системе дистанционного обслуживания.

Этим критериям соответствует специальный компьютер, виртуальный, получаемый путем загрузки со специального неизменяемого системного носителя, или «обычный», но, в любом случае – узкоспециализированный, решающий только одну-единственную задачу: обеспечение работы системы дистанционного обслуживания. Такие решения, в разработке которых довелось принимать участие специалистам нашего банка, уже существуют, к сожалению – не на Украине.

Анджей Олейник, директор по маркетингу и развитию продуктов Platinum Bank

Банки прилагают максимум усилий для того, чтобы технические средства системы Интернет-банкинга защищали денежные средства и финансовую информацию пользователей от злоумышленников. Конечно, все эти сложные и дорогие системы наиболее эффективно работают в комплексе с ответственным и внимательным отношением пользователя к своим паролям, ключам электронно-цифровой подписи и другим средствам защиты, предлагаемым банками. Мы рекомендуем соблюдать несколько простых правил безопасности, которые обеспечат секретность личных данных клиента и сохранность его денег:

* никому не сообщать свой пароль. Сотрудники банка никогда, ни при каких обстоятельствах не запрашивают пароли пользователей;
* не сохранять ключ электронно-цифровой подписи на чужих компьютерах;
* избегать проведения платежей или смены паролей с компьютеров, к которым имеет доступ множество людей (компьютеры в интернет-клубах, залах ожидания на вокзалах, аэропортах и т.п.);
* если пользователю показалось, что кто-то подсмотрел его пароль, необходимо сразу уведомить банк и заблокировать доступ в систему;
* если клиенту все же не удалось обеспечить секретность своих данных, первое что он должен сделать - это проинформировать банк о случившемся. Банк заблокирует доступ пользователя в систему и счета клиента, чтобы избежать финансовых потерь. Клиенту будет необходимо составить заявление, в котором он укажет обстоятельства случившегося. Расследование таких событий проводит служба безопасности банка совместно с правоохранительными органами.

Система «Home Banking» является Интернет системой, и обеспечивает максимальную гибкость и простоту взаимодействия Клиента и Банка. При реализации системы мы опирались на общепринятые мировые стандарты и методы информационной безопасности:

1. Аутентификация (подтверждение подлинности) взаимодействующих сторон: Интернет-клиента и Банка. Аутентификация основана на проверке подлинности цифровых сертификатов (X509).
2. Конфиденциальность передаваемой информации. Обеспечивается шифрацией данных (SSL).
3. Целостность передаваемой информации. Целостность данных обеспечивается хешированием каждого SSL пакета, а также электронной подписью документов. Электронная цифровая подпись (ЭЦП) Клиентом и Банком каждого документа и ее проверка другой стороной позволяет сделать заключение о происхождении документа и его не искаженности при передаче.
4. Доступ к данным для разбора и анализа конфликтных ситуаций. Обеспечивается возможностью ведения архива всех отосланных и принятых клиентом и банком документов с электронными подписями и использованными при их подписи ключами.
5. Журналирование действий пользователей в системе.

Система использует алгоритмы шифрования в соответствии с ГОСТами и сертифицированные ФАПСИ системы криптозащиты. Это позволяет обеспечивать высокий уровень безопасности при использовании Интернета в течение всего процесса обработки и хранения информации.

На практике безопасность работы системы «Home Banking» реализуется следующим образом:

Клиент, используя обычный браузер, выполняет соединение с ответной банковской частью. Осуществляется авторизация по заданным реквизитам сертификатов и SSL-шифрация трафика между браузерами. SSL соединение, обеспечивает безопасную передачу данных между клиентом и сервером Банка.

Протокол SSL хорошо зарекомендовал себя как метод для защиты от несанкционированного доступа в телекоммуникационных каналах и является de-facto промышленным стандартом. Технология SSL поддерживается всеми основными браузерами и операционными системами.

Протокол SSL защищает документ только в процессе передачи документа по коммуникационным каналам. После передачи документа в Банк, при хранении документа в базе данных банка, в качестве защиты и средства идентификации документа используется технология Электронной Цифровой Подписи.

В том случае если Клиенту необходим облегченный вариант взаимодействия с банком, например, только просмотр состояния счетов, то можно отрегулировать процедуры обеспечения безопасности на работу в ограниченном режиме, например, использование только парольной идентификации. Пароль в таком случае хранится в виде хеш-слепка на сервере Банка, что гарантирует клиенту невозможность использования пароля Клиента сотрудниками Банка, и в то же время как минимум формально гарантирует Банку, что лицо, использующее пароль, уполномочено на дальнейшие действия самим Клиентом. При необходимости, парольная авторизация может быть усилена другими технологиями, например биометрической, карточной контактной, или карточной бесконтактной.

Сертификат X.509 является электронным аналогом удостоверения личности (паспорта) и позволяет идентифицировать пользователей Интернета. В то же время, пользователи, подключившиеся к сертифицированному серверу, могут быть уверены, что попали именно в искомую организацию. У каждого пользователя существует открытый ключ с некоторой дополнительной информацией о его владельце. Открытый ключ подписан еще одним ключом, принадлежащим центру сертификации системы «Home Banking» (как правило, соответствующая служба в Банке или официальные Удостоверяющие Центры). Отправитель с помощью открытого ключа шифрует данные, устанавливает сертификат подписи клиента и отправляет этот пакет в центр сертификации. Получив данные, система «Home Banking» с помощью своего закрытого ключа расшифровывает их и проверяет информацию владельца сертификата (срок действия, имя владельца, и т.п.). Математически ключи подобраны так, что, имея один, почти невозможно восстановить другой. Это позволяет относить методы сертификации X.509 к надежным криптографическим средствам, что подтверждено ФАПСИ.

Существующая регистрация событий в системе «Home Banking» фиксирует все случаи подключений, смены пароля и других действий. Система позволяет просматривать эту историю, что дает возможность определить попытку несанкционированного подключения. В случае многократного ввода неверных данных (идентификатор и пароль) доступ к системе блокируется.

Настраиваемый механизм резервного копирования гарантирует сохранность данных. Резервные копии хранятся на отчуждаемых носителях. Тем самым исключается возможность несанкционированного доступа к резервным копиям.

Используемые криптографические технологии на основе идентификатора и пароля, защищенного соединения SSL, а также сертификата X.509, в комплексе позволяют свести риски использования соединения через Интернет к минимуму. Условия поставки, внедрения и сопровождения системы «Home Banking» предусматривают возможность настройки и расширения существующего функционала под индивидуальные требования заказчика.

По утверждениям экспертов, основная и самая главная угроза, подстерегающая любого пользователя Интернет-банкинга - это риск мошеннического взлома и несанкционированного доступа к средствам на счете. «Единственной существенной опасностью, которая может подстерегать пользователей этих систем, является риск противоправного завладения их денежными средствами злоумышленниками, с использованием возможностей систем «Интернет-банкинга», впрочем, как и любых иных типов систем дистанционного обслуживания», - рассказывает Егор Изотов, начальник отдела информационно-технической защиты Пивденкомбанка.

Шифрование данных

Чтобы воспользоваться всеми преимуществами защищенной передачи данных, следует соблюдать элементарные меры безопасности в Интернете - не реагировать на подозрительные сообщения (полученные якобы от вашего банка) и не переходить по неизвестным ссылкам.

Одноразовые пароли, получаемые в банкомате

С точки зрения безопасности такая система имеет преимущество - чтобы совершать операции по карточному счету через интернет-банкинг, лицо должно как минимум иметь в наличии непосредственно саму карту, а также знать ПИН-код, чтобы получить список паролей в банкомате.

Одноразовые СМС-пароли

Такая система имеет ряд преимуществ. Во-первых, она достаточно проста в использовании - вам не нужно специальное оборудование, а процедура подтверждения операции занимает всего пару минут. Во-вторых, она позволяет обезопасить вашу учетную запись от использования злоумышленниками - даже если мошенникам станет известен ваш логин и пароль для входа в систему, они не получат доступ к вашим деньгам, а вы узнаете о попытке провести несанкционированную операцию из СМС-сообщения. Кроме этого, вам не нужно хранить список одноразовых паролей, а значит, вы не сможете его потерять, и у вас его не украдут.

Если ваш банк использует аутентификацию пользователя по СМС, постарайтесь придерживаться таких правил:

· не пользуйтесь Интернет-банкингом с мобильного телефона;
· не сохраняйте пароль от учетной записи в браузере;
· в случае потери или кражи мобильного телефона - немедленно обратитесь в банк с просьбой заблокировать вашу учетную запись Интернет-банкинга.

Электронная цифровая подпись (ЭЦП)

Внешние электронные устройства

Некоторые банки предлагают пользователям онлайн банкинга приобрести (или взять в аренду) специальное устройство - генератор одноразовых паролей. Генератор подключается к компьютеру через usb-порт и не требует специального программного обеспечения.

· ограничение использования личного сертификата - система некоторых банков позволяет использовать электронный ключ (электронный сертификат) только на том компьютере, на котором он был сгенерирован. Таким образом, осуществлять платежи через Интернет-банкинг вы сможете только со своего личного компьютера (хотя просматривать выписки по счету можно и на других устройствах);
· виртуальная клавиатура - предназначена для того, чтобы мошенники не могли «считать» ваши регистрационные данные при вводе их с обычной клавиатуры с помощью компьютерных вирусов («троянов»);
· ограничение длительности сессии - в случае неактивности пользователя, сессия в системе Интернет-банкинга через определенное время (обычно 10-15 минут) будет закрыта. После этого для возобновления работы потребуется заново пройти аутентификацию;
· история подключений - с помощью этой функции пользователь Интернет-банкинга узнает, если кто-то кроме него подключался к системе, а также сможет отследить все несанкционированные операции, если они были произведены.

Многое зависит от пользователя

Помимо этого, следует соблюдать осторожность при работе в Интернете. «Мошенники широко используют приемы «социальной инженерии» для того, чтобы выманить аутентификационные данные (логин, пароль и т.д.) клиентов. Наиболее старый метод - «фишинговые» письма электронной почты, которые провоцируют получателей отправить свои аутентификационные данные злоумышленникам или предлагают пройти по ссылке на мошеннический сайт. С ростом популярности социальных сетей («Одноклассники», Twitter, Facebook) мошенники тут же начали использовать для «фишинга» сообщения социальных сетей. Также злоумышленники создают подложные копии сайтов для Интернет-банкинга с именами, очень похожими на настоящие», - поясняет Борис Косяков. И если вы введете на таком сайте данные своей учетной записи, то они тут же попадут в руки к мошенникам.

· отключить компьютер от Интернета;
· обратиться в контакт-центр (а при необходимости - в отделение) вашего банка, изложить проблему и попросить заблокировать вашу учетную запись;
· проверить компьютер на предмет заражения вредоносным программным обеспечением;
· возобновить работу с системой онлайн банкинга только тогда, когда вы убедились, что угроза отсутствует;
· сменить пароль от учетной записи.