Информационное собрание с трудовым коллективом по вопросу защиты от киберхищений
МАТЕРИАЛЫ
к информационному собранию
с трудовым коллективом по вопросу защиты от киберхищений
В Республике Беларусь активизация киберпреступлений происходит на фоне ежегодного роста числа абонентов сотовой электросвязи, держателей банковских платежных карт (далее – БПК), а также пользователей сети Интернет.
Участились случаи хищения денежных средств с банковских счетов, доступ к которым обеспечивается при использовании БПК, после передачи либо завладения информацией о реквизитах БПК злоумышленниками.
Ситуация усложняется тем, что современные методы оплаты в сети Интернет позволяют совершать платежи без знания пин-кода карты, путем введения в компьютерную систему сведений о номере карты, сроке ее действия, владельце, а также коде безопасности – CVC (трехзначный код, находящийся на оборотной стороне карты), что позволяет злоумышленникам совершать платежи в сети Интернет без ведома владельца, обладая всей необходимой для этого информацией.
Вместе с тем интернет-банкинг постепенно завоевывает статус основной платформы для заказа банковских услуг, осуществления денежных переводов и управления открытыми расчетными счетами.
Для примера, так как самое лучшее восприятие происходит на конкретных примерах, приводятся следующие основные способы хищений.
Пример первый.
Злоумышленник после несанкционированного доступа к страницам пользователей в социальных сетях рассылает пользователям, находящимся в разделе «Друзья», сообщения с просьбой об оказании помощи в переводе денежных средств под различными предлогами: «Привет, не мог ли ты одолжить мне денег, отдам через пару дней», «Привет, положи, пожалуйста, 10 рублей на телефон, я отдам», «Привет, можно я переведу тебе на карту свои деньги, а то у меня закончился срок действия карты (или не получается перевести на свою)». Далее входит в доверие к неравнодушным пользователям и, якобы для перевода им денежных средств, просит сообщить реквизиты БПК и коды из смс-сообщений.
Особенно актуально для молодежи на сайтах знакомств – поэтому очень важно доводить эту информацию своим детям!
Пример второй.
На торговых площадках «Куфар», «Барахолка» и других преступник находит объявление, размещенное пользователем о продаже какого-либо имущества, после чего в различных мессенджерах пишет данному пользователю о том, что хотел бы приобрести его имущество, указанное в объявлении, однако по различным причинам не имеет возможности за ним приехать. Он предлагает произвести оплату путем перевода денежных средств на БПК пользователя и, после того как пользователь соглашается, высылает в его адрес ссылку с фишинговой (проще говоря, «липовой») страницей сайта какого-либо банковского учреждения (страница может быть визуально схожа со страницей интернет-банкинга и отличаться только символом в адресной строке доменного имени сайта).
Переходя по указанной ссылке, пользователь не замечает, что находится не на действующей странице интернет-банкинга определенного банка. В открывшемся окне на указанном сайте пользователю, как правило, предлагается ввести свой логин и пароль от интернет-банкинга либо паспортные данные, а также коды из смс-сообщений. Введя указанную информацию пользователю, как правило, сообщается об ошибке либо отсутствии платежа. В это время всю введенную информацию видит злоумышленник и вводит на действительном сайте банка, получая тем самым доступ к денежным средствам пользователя и совершая их хищение.
Справочно: фишинговая страница это поддельная, внешне напоминающая настоящую, интернет-страница, предназначенная для преступных целей.
Пример третий
На, опять таки, приснопамятных электронных торговых площадках «Куфар», «Барахолка» и других преступник размещает объявление о продаже какого-либо имущества, пользующегося спросом, и выставляет цену, как правило, ниже рыночной.
Пользователи, увидевшие указанное объявление, пишут лицу, его разместившему, и в ходе переписки злоумышленник сообщает, что не имеет возможности встретиться для передачи указанного в объявлении имущества и предлагает воспользоваться услугами «Доставка Куфар», «Белпочта (ЕМС)», «курьерская служба (СДЭК)» и тому подобное.
При согласии покупателя злоумышленник высылает в адрес пользователя ссылку с фишинговой страницей сайта какого-либо вида доставки, где предлагается ввести реквизиты банковской карты для оплаты товара, услуг курьера, паспортные данные, номер мобильного телефона, а также коды из смс- сообщений.
Пример четвёртый.
На мобильный телефон физического лица поступает входящий звонок от преступника. Как правило, данным способом злоумышленник пользуется сервисом по подмену номера телефона и указывает абонентский номер, принадлежащий какому-либо банку или схожий с ним.
Далее он представляется сотрудником банка (может назвать пользователя по имени и отчеству, а также назвать часть номера банковской карты либо информацию о недавно совершенных оплатах). Злоумышленник сообщает о подозрительных операциях по переводу денежных средств в крупных суммах на карт-счета иностранных банков. Когда пользователь сообщает, что никаких операций он не производил, злоумышленник сообщает, что указанные операции необходимо заблокировать, в связи с чем просит пользователя сообщить отдельные реквизиты БПК либо паспортные данные, и сообщает, что в адрес пользователя высылает смс-сообщения с кодами, которые необходимо назвать после звукового сигнала. В это время всю полученную информацию злоумышленник вводит на действительном сайте банка и получает доступ к денежным средствам пользователя и совершает их хищение.
Всем необходимо знать простую вещь – вся запрашиваемая преступником указанная в выше обозначенных ситуациях информация известна сотрудникам банка, которые НЕ устанавливают ее в ходе телефонного разговора (!!!).
Теперь несколько слов о способах защиты от преступных посягательств в сфере компьютерных технологий.
Предлагается принять к сведению и исполнению следующие МЕРЫ ЗАЩИТЫ:
- НЕ РАЗГЛАШАТЬ третьим лицам (ни под каким предлогом) логины, номера телефонов, пароли, ПИН-коды, реквизиты расчетных счетов, секретные CVC/CW- коды, данные касательно последних платежей и срока действия пластиковых карт;
Справочно 1: здесь имеется ввиду очень широкое понятие слов «не разглашать» – не просто не говорить устно, а и не пересылать ни в виде каких сообщений (SMS, Viber, телеграмм, электронная почта и прочее) данные о банковских картах и счетах, в том числе не высылать фото карт.
Справочно 2: к этой же теме нужно помнить, что в случае обнаружения утерянной кем-либо БПК не стоит выкладывать ее фотографию в сети Интернет с целью поиска владельца, поскольку информации, имеющейся на изображении БПК, достаточно для совершения операций с использованием этих данных без ведома владельца банковской карты, чем и пользуются злоумышленники.
2. ИСКЛЮЧИТЬ передачу посторонним лицам полученные в SMS-сообщениях временные пароли для подтверждения операций, а также своих банковских карт, каким бы то ни было способом;
3. производить РЕГУЛЯРНЫЙ МОНИТОРГИНГ выполненных операций, используя раздел с историей платежей (чтобы своевременно обнаружить возможные хищения);
4. подобрать СЛОЖНЫЙ ПАРОЛЬ, используя набор цифр, заглавных и строчных букв, который будет понятен лишь владельцу аккаунта. МЕНЯТЬ ПАРОЛЬ каждые 2-4 недели, если пользуетесь чужими компьютерами для входа в систему интернет-банкинга;
5. НЕ ПРИМЕНЯТЬ АВТОМАТИЧЕСКОЕ ЗАПОМИНАНИЕ ПАРОЛЕЙ в браузере, если к персональному компьютеру открыт доступ посторонним лицам или для входа на сайт используется компьютер общего доступа;
6. вводить секретные данные только на сайтах, защищенных сертификатами безопасности и механизмами шифрования. Доменные имена этих ресурсов в адресной строке каждого браузера начинаются с https://;
7. в ходе использования карты подключить и использовать технологию «3D Secure». На настоящий момент это самая современная технология обеспечения безопасности платежей по карточкам в сети Интернет, которая позволяет однозначно идентифицировать подлинность держателя карты, осуществляющего операцию, и максимально снизить риск мошенничества по данной карте. При использовании этой технологии держатель банковской карты подтверждает каждую операцию по своей карте специальным одноразовым паролем, который он получает в виде SMS-сообщения на свой мобильный телефон;
8. не отказываться от дополнительного уровня безопасности (системы многоуровневой аутентификации);
9. в ходе использования интернет-банкинга устанавливать антивирусную защиту, своевременно обновляя базы данных вирусов и шпионских утилит;
10. вход в личный кабинет на сайте интернет-банкинга привязать к MAC или IP-адресу. Это действие обеспечит максимальный уровень безопасности.
Следует обратить внимание всех, что в сложившихся обстоятельствах ИМЕЕТ СМЫСЛ подумать о том, чтобы применить СТРАХОВАНИЕ БПК – страховка обходится весьма недорого, но при этом является надёжной подушкой безопасности.
Отдельно в рамках данной темы обращаем внимание на МАССОВЫЕ ВЗЛОМЫ МЕССЕНДЖЕРА Viber.
На территории Республики Беларусь зарегистрированы массовые случаи получения пользователями мессенджера Viber сообщений со вложенной ссылкой – адрес в данной ссылке может любой, но обязательно содержит слова activate secondary (Активировать вторичный).
В случае перехода по данной ссылке пользователь предоставляет разрешение на доступ к своей учетной записи Viber и активирует второе устройство пользователя на компьютере или планшете преступника, после чего злоумышленник получает доступ к переписке Viber пользователя, может сам направлять сообщения.
Кроме того, при переходе по ссылке всем контактам пользователя направляется такая же ссылка.
При получении указанного сообщения ни в коем случае не переходите по ссылке и удалите сообщение! Проверить подключение второго устройства возможно в настройках Viber: Настройки-Учётная запись-Компьютеры и планшеты. Если Вы не подключали второе устройство, а оно отображается в настройках, необходимо деактивировать в настройках Viber учетную запись на других устройствах.