Tudvalevő, hogy egyes kémprogramok az internetes bankot használók – általában hatjegyű – PIN kódjára vadásznak, melyet a billentyűleütések feldolgozásával kombinálnak ki a bűnőzök (KeyLog-módszer). Egyre kifinomultabbak, egyre rafináltabbak, egyre szervezettebbek, egyre szemtelenebbek és egyre nehezebb ellenük védekezni. A japán Mizuho Bank úgy gondolta, hogy hatékony megelőző lépéseket kell tennie a gyorsan terjedő, napról napra veszélyesebb spyware-támadások ellen: most meg fogják változtatni a netes bejelentkezés rendszerét. Lehet, hogy ilyen egyszerű a megoldás?
Szól a riasztó - egyre nagyobbak a károk
Lakásunk vagy autónk biztosításánál évtizedek óta halljuk a biztosító embereitől, tessék többfokozatú (mechanikus és elektronikus) védelmet alkalmazni, mert tökéletes megoldás nincs, csak nehezen feltörhető módszerek együttes alkalmazásával lehet védekezni. Nos, lehet, hogy a világhálón is elérkeztünk ezekhez az alapszabályokhoz.
Jönnek, beköszönnek ...
Ismertek olyan becslések, melyek szerint már az internetkapcsolattal rendelkező személyi számítógépek 98 százalékát érinti a nemkívánatos programkódok terjedése. Ebbe a kategóriába persze beletartoznak a kém- és jelszógyűjtő programok mellett a reklám- és betárcsázó funkciókat ellátó kódsorozatok is. Terjedési és működési módjától függetlenül kémszoftvernek (spyware) kell tekintenünk minden olyan alkalmazást, amely a felhasználó tudta és beleegyezése nélkül bármilyen személyes vagy a szervezetre vonatkozó információt továbbít harmadik fél részére.
... és már be is költöztek.
Az IBM minapi globális biztonsági jelentésében az olvasható, hogy az első félévben haszonszerzés céljából több mint 35 millió adatlopási támadást indítottak kritikus adatok és személyes információk megszerzésére. Elborzasztó statisztikai adatok ezek.
Az ellenszer
A Mizuho Bank tehát nem vár tovább. Az alattomos kódhalász spyware-ek megfékezésére, melyek már 5 millió jen kárt okoztak a szóban forgó pénzintézetnek is, most azt találták ki a bank szakértői, hogy augusztus végétől a biztonsági szabályok két alapvető módosításával elébe mennek az esetleges még nagyobb bajoknak.
Az egyik "új" megoldásuk már ismert nálunk is, a hatjegyű NetPIN-ből a tranzakció során egy négyjegyű, a bank által véletlenszerűen generált kódot kell megadni a belépéshez (a komolyabb netbankok még egy sms-sel is értesítik a számlatulajdonost a művelet indításáról), ezáltal minden egyes átutalásnál vagy folyószámla-műveletnél egy kvázi egyedi kóddal lehet bankolni. Könnyen belátható, hogy ez a megoldás módfelett megnehezíti a trükkös fehérgallérosok dolgát.
A japánok azonban nem elégedtek meg ennyivel, adtak még egy pofont a leselkedőknek. Eszükbe jutott, hogy a billentyűzeten kívül általában még egy egér is van a számítógépeknél, így mostantól az ügyfél a képernyőjén megjelenő billentyűzet képén fogja kattintással kiválasztani a kért kódot, ami már a mai keyloggeres trójaiakat akár megoldhatatlan feladat elé is állíthatja, legalábbis a kényes pénzmozgások lefigyelésében.
Az online bankolás elterjedésével, a személyes és pénzügyi adatok online tárolásával és a kritikus folyamatok összekötött rendszereken keresztüli megosztásával a pénzügyi szolgáltató szektor a hackertámadások elsődleges célpontja marad – állapítja meg a már idézett IBM-jelentés. Márpedig ezért egyre fontosabb – elsősorban a bankoknál, internetes szolgáltatóknál – a szigorú, formalizált biztonsági elvek meghatározása, betartása, és a többszintű védelem kiépítése.
Krasznay Endre
