אזהרה: גם אתרי בנקים עלולים להיות לא בטוחים

הפרטים שמזינים הגולשים באתרים חשופים יותר מתמיד לעיניים זרות, גם כשמדובר במערכות מאובטחות כמו אלה המשולבות באתרי הבנקים, כך מתריאים גורמים בקהילת האבטחה ברשת. 

מומחי אבטחה מבחינים לאחרונה במגמה של שימוש ב-Rootkits (תוכנה המעלימה עצמה מרוב אמצעי האבטחה ומתקינה עצמה במחשב) לצורך הטמנת סוסים טרויאנים במחשבים אישיים של גולשים.

שיטות מתוחכמות יותר

גם בעבר ניתן היה לשתול במחשבים אישיים קודים זדוניים מסוג סוסים טרויאנים כדי להיחשף באמצעות לשמות משתמש וסיסמאות רגישות, אך השיטות של התוקפים הופכות מתוחכמות יותר עם הזמן.

שיטות אלה מאפשרות לרמאים לבצע הונאות phishing בצורה מתוחכמת יותר; הסוס, בעזרת ה-Rootkit, מסתיר עצמו היטב וממתין לרגע בו הגולש יגלוש לאתר רגיש כמו אתר של בנק, ואז יצותת לשם המשתמש ולסיסמה וישלח אותם אל יוצר הסוס הטרויאני באמצעות הרשת.

בחו"ל כבר נפגעו מאות אתרי בנקים משימוש בסוסים טרויאנים כאלה. חשוב לציין שבעצם מדובר במחשבי הלקוחות שנפגעים, לאחר שהמחשב שלהם הותקף ישירות, ולא בפגם במערכות האבטחה של הבנקים. לא ידוע על ישראלים בעלי חשבונות בנקים בחו"ל שהותקפו. בשלב זה עדיין לא הותקפו לקוחות של בנקים ישראליים.

על פי מספר התראות גלויות בנושא זה שפורסמו בחודש האחרון בתקשורת המקצועית, במהלך השנה האחרונה תקפה קבוצת האקרים קרוב ל-300 בנקים ברחבי העולם, רובם באירופה ובמזרח הרחוק. 

גדי עברון, מחברת ביונד סקיוריטי ומשתתף בדיונים בקהילת האבטחה הבינלאומית, מסביר כי "הקבוצה משתמשת בסוסים טרויאניים כדי לבצע את הפישינג". לדבריו, הסוסים הטרויאנים מבוססים על טכנולוגיה של Rootkits (תוכנה המעלימה עצמה מרוב אמצעי האבטחה ומתקינה עצמה במחשב) כדי לבצע התקפה מסוג "האיש שבאמצע" (man in the middle)”.

לפי עברון, "התקפה זו פועלת על ידי כך שכאשר משתמש נכנס לאתר מוצפן, הסוס הטרויאני עוקף את ההצפנה דרך המחשב האישי. לאחר שהוא מכניס את פרטיו הסוס הטרויאני מדווח על כך למפעילו המרוחק".

האחריות על האבטחה מוטלת על המשתמש

האם הגולשים יכולים להשתמש בביטחה באתרי הבנקים בישראל? עברון מציין כי הבנקים המקומיים משקיעים רבות בתחום אבטחת המידע. "להערכתי לא אמורה להיות מניעה מלהשתמש באינטרנט לפעילות פיננסית אם המשתמש גם דואג לאבטחת המחשב האישי שלו. התקפה זו מבוססת על תקיפת המחשב האישי, לא האתר המרוחק", הוא מציין.

על מנת להגן על המחשב האישי מומלץ לבצע את התרגולת הרגילה: התקנה ועדכון שוטף של תוכנת אנטי וירוס, הורדת טלאי אבטחת מידע ועדכונים מאתר מיקרוסופט והפגנת זהירות ושיקול דעת בנוגע לאתרים אליהם אתם גולשים.

זהירות מפישינג

חשוב מאוד להיזהר מהונאות פישינג - הודעות דואר אלקטרוני המתחזות לאתר הבנק שלכם, חברת האשראי, שירות דואר מקוון, שירות התשלומים PayPal ספק האינטרנט ועוד, ומבקשות מכם להזין שם וסיסמה בתואנות שונות.

“אם קיבלתם דוא"ל שמבקש מכם את הסיסמה שלכם או לנקוט בכל פעולה אחרת הקשורה לכסף או לפרטים אישיים, תבדקו שבאמת מדובר בגוף איתו אתם עובדים.

תקלידו את כתובת האתר בעצמכם במקום ללחוץ על קישור, ואל תפחדו להתקשר לבנק לבדוק שהדוא"ל הגיע באמת ממנו", מציע עברון.

מומחי האבטחה פועלים בזמן אמת במסגרת שיתוף פעולה בינלאומי עם ספקי שירות אינטרנט, חברות אנטי וירוס, אנטי פישינג, רשויות חוק וגורמים אחרים להסרת אתרי פישינג מהאוויר בזמן אמת, אך עברון מסביר כי לנוכח התועלת הכלכלית של הפשיעה הבינלאומית מהונאות כאלה, מדובר במאבק בטחנות רוח.

"הבעיה היא כלכלית. הרווחים על הפעילות הבלתי חוקית הם עצומים ונאמדים בעשרות מליוני דולרים לחודש. אך ורק פתרון שיפגע בעלות מול תועלת שלהם יסייע בתווך הרחוק".