Sve češće bankarske prevare - Građani da ne nasijedaju na lažne poruke, već da o tome obavijeste banku

Dobijete li poruku putem mejla ili SMS-a, u kojoj se od vas traži da otkrijete lične podatke, nemojte to uraditi, niti kliknuti na linkove u takvim porukama. Analize ukazuju da su najčešće korišćene fraze u "phishing" mejlovima riječi poput "faktura" i "verifikacija", čime se koristi hitnost kako bi se prevarile žrtve, ili traženje preuzimanja pošiljke sa pošte, uz minimalnu uplatu. Proslijedite sve sumnjive poruke vašoj banci, a zatim ih izbrišite iz dolazne mape. Te informacije vaša banka će koristiti za sprečavanje internet prevara - savjetuje generalni sekretar Udruženja banaka Crne Gore Bratislav Pejaković.

On je za Pobjedu naglasio da su prevarne radnje sa raznih aspekata uvijek prisutne, ali da se crnogorske banke kvalitetno nose sa tom problematikom.

Banke u Crnoj Gori savjetuju oprez prilikom otkrivanja bilo kakvih ličnih informacija, te stalnu provjeru autentičnosti poruka i linkova, uz napomenu da se nikada ne dijele osjetljivi podaci putem nesigurnih kanala komunikacije.

- Sa većim stepenom digitalizacije usluga, jačim prisustvom vještačke inteligencije, imamo i jače, frekventnije napade u sajber prostoru. Ono što je dobro jeste da nijedna banka nije kompromitovana na ovaj način ili nemamo prijavljen upad u sistem samih banaka. Prevarne radnje "phishing", kao i "vishing" (voice phishing) ili prevare putem telefonskih kontakata, kao i "deepfake phishing" su usmjerene na korisnike usluga kod finansijskih organizacija. "Deepfake phishing" koristi vještačku inteligenciju za kreiranje veoma realističnih i ubjedljivih medija, kao što su video-snimci, audio i slike, koji mogu prevariti čak i najbudnije pojedince i organizacije - istakao je Pejaković napominjući da je potrebno stalnom edukacijom, konstatnim informisanjem klijenata da se ojača nivo finansijske pismenosti klijenata, da bi se preventivno spriječile ove nelegalne radnje.

On navodi da upućuju klijente banaka da koriste službene aplikacije ili prepoznatljiv internet pregledač kako bi obavljali finansijske transakcije.

- Nikada ne preuzimajte aplikacije iz nepoznatih izvora. Budite oprezni ako koristite mobilni uređaj u javnosti, naročito za mobilno bankarstvo. Svakako se odjavite nakon što ste obavili sve što je trebalo. Isključite blutut vezu ako ne želite podijeliti svoje informacije s drugima, jer su to talasi koje haker lagano preuzima ukoliko ste na javnoj vaj-faj mreži. Budite oprezni kada otvarate linkove iz tekstualnih poruka (SMS) ili e-poruka. Vaša banka vas nikada neće pitati za povjerljive informacije putem SMS-a ili e-poruka. Budite oprezni kada otvarate multimedijalne poruke, jer bi mogli sadržati malware. Ne otvarajte takve poruke, osim ako znate o čemu je riječ ili ste to očekivali - poručuje Pejaković.

Kao klasičan vid prevarnih pokušaja su, kako navodi, "phishing" - koji predstavlja traženje podataka od klijenata banaka da bi se saznali njihovi lični podaci, kao što su korisnička imena, lozinke, brojevi kreditnih kartica, JMBG, PIN kartice i druge povjerljive informacije, da bi iste bile iskorišćene za neovlašćeno podizanje sredstava sa računa klijenta.

- Ove podatke banka vam nikad neće tražiti na ovaj način komunikacije. Prevarant se žrtvi lažno predstavlja kao prepoznatljiva adresa (banka, društvena mreža, kolega, prijatelj) koristeći slične ili klonirane mejl adrese, dizajn sajtova, logotip banke. Napadi se izvode najčešće preko mejla i SMS poruka, obično tražeći da se klikne na link ili preuzme prilog sa mejla. Hiljade adresa se šalje i kada se neko, popularno rečeno, "upeca", ide faza preuzimanja podataka i njihova prodaja na crnom tržištu, ili brza realizacija prevaranta - kaže Pejaković i dodaje da takvi linkovi obično vode do lažnih internet stranica koje izgledaju identično kao prave stranice i žrtve unose svoje podatke, ne shvatajući da je u pitanju prevara.

- Pored toga, za obmanu se mogu koristiti i SMS poruke, ili telefonski pozivi u kojima se napadač može predstaviti na primjer kao službenik banke ili čak inspektor policije. Klijenti moraju znati da banka nikada neće tražiti pomenute lične podatke putem društvenih mreža, telefonski, putem poruka (Vajber, Vacap) ili bilo kojeg drugog kanala te vrste komunikacije - objasnio je Pejaković.

Stručnjak za komunikacije i društvenu odgovornost u odjeljenju za marketing i komunikacije CKB, Damir Ramović kazao je Pobjedi da je globalni trend porasta "phishing" napada zabilježen i u ovoj banci u posljednjih godinu.

- Ova vrsta napada se obično realizuje kroz slanje lažnih poruka klijentima u vidu SMS notifikacija ili mejlova, koje izgledaju kao da dolaze sa legitimnih izvora. "Phishing" prevare su sve sofisticiranije i često imitiraju stvarne komunikacije, što dodatno otežava njihovo prepoznavanje. Zbog toga konstantno radimo na podizanju svijesti klijenata o tome kako prepoznati sumnjive poruke i na koji način oni sami mogu dodatno zaštititi svoje informacije. U tom kontekstu klijente edukujemo da se može dogoditi da, na primjer, dobiju SMS ili mejl sa lažnog broja ili adrese, u kojem se tvrdi da je potrebno da uplate poštarinu ili carinu za pošiljku koja im nije stigla. Ovi iznosi su obično mali, kako bi klijent bez mnogo razmišljanja uplatio novac. U takvim porukama klijent je često zamoljen da na lažnom linku unese podatke sa svoje platne kartice, uključujući broj kartice, CVV kod, datum isteka, pa čak i 3D Secure kod. Kada klijent unese ove podatke, napadač ima sve potrebne informacije da nesmetano procesuira transakciju u 3D okruženju - objašnjava Ramović.

Podsjeća da je u posljednje vrijeme čest slučaj da klijent, pored toga što na lažnom sajtu ostavi senzitivne kartične podatke, proslijedi i token koji banka izdaje za dodavanje kartice u digitalni novčanik (wallet).

- Na ovaj način, napadač stiče pristup kartici i sredstvima klijenta i može ih iskoristiti za različite vrste zloupotreba. Klijent često nije ni svjestan da je bio žrtva prevare sve dok ne primijeti neovlašćene transakcije na svom računu ili ne dobije poziv od banke u cilju provjere validnosti transakcija - kaže Ramović dodajući da CKB kontinuirano prati sve učestalije "phishing" napade putem fraud monitoring sistema koji raspolaže setom sofisticiranih predefinisanih pravila koja se konstantno ažuriraju u skladu sa aktuelnim fraud trendovima.

- Obrada transakcija u realnom vremenu omogućava nam da odmah reagujemo i zaštitimo klijente, kao i da minimiziramo gubitak. Korišćenjem arhivskih podataka o transakcijama i prevarama unaprijed se identifikuju i označavaju rizični korisnici, transakcije ili ponašanja. Takođe, CKB preduzima dodatne mjere za podizanje svijesti klijenata o opasnostima "phishing" napada kroz slanje SMS notifikacija i edukativnih poruka putem društvenih mreža, kako bi klijenti bili pravovremeno informisani o potencijalnim prevarama. Pored toga, implementirana je i višefaktorska autentifikacija prilikom procesuiranja internet transakcija - objasno je Ramović naglašavajući da sigurnosne protokole konstantno prilagođavaju novim oblicima prevara i fraud trendovima, kao što su "phishing" napadi i "card-not-present" (onlajn) transakcije.

- Sistemi zaštite prate tipične obrasce ponašanja korisnika i prijavljuju transakcije koje odudaraju od normi. Sumnjive transakcije se blokiraju ili alertuju kroz sistem i kao takve podliježu detaljnoj analizi 24/7 monitoring tima. Dodatno analizom uvezuju se slučajevi i ažuriraju "black liste" terminala na kojima se zloupotrebe registruju - kazao je Ramović.

On naglašava da banke na nivou Crne Gore kontinuirano dijele informacije o napadima ove vrste kroz komunikaciju na nivou Anti Fraud Foruma u cilju sprečavanja zloupotreba platnih kartica i smanjenja gubitaka. Posebno naglašava saradnju sa članicama OTP Grupe što im omogućava da budu proaktivni i često preduprijede zloupotrebe koje su se već desile u okruženju.

Uzimajući u obzir činjenicu da je jedna od najvažnijih karika u lancu informacione sigurnosti ljudski faktor, CKB će nastaviti da radi na razvoju sajber kulture kako među svojim zaposlenima, tako i među klijentima, na način što će raditi na podizanju nivoa svjesnosti klijenata i zaposlenih u vezi sa sajber napadima.

- Od izuzetnog je značaja da ljudi blagovremeno prepoznaju zlonamjerne napade i da znaju na koji način da reaguju kako bi izbjegli neželjene posljedice. U situacijama kada su klijenti prevareni "phishing" napadima, banka primjenjuje sve dostupne mehanizme kako bi smanjila potencijalnu štetu. Ipak, u mnogim slučajevima, ovakve transakcije nije moguće osporiti prema kartičarskim kućama jer se radi o 3D ili wallet transakciji koju je vlasnik kartice odobrio. Iako veliki broj pokušaja prevare bude na vrijeme blokiran, transakcije ove vrste koje se realizuju su odgovornost samog klijenta. Zbog toga banka konstantno radi na podizanju svijesti klijenata o sigurnosnim prijetnjama i ohrabruje ih da pažljivo prate uputstva i savjete o tome kako zaštititi svoje podatke - kaže Ramović.

Smatra da će povećanjem sofisticiranosti sajber napada, očuvanje sajber sigurnosti u bankarskom sektoru biti sve veći izazov. CKB u skladu sa važećim standardima i preporukama pridaje veliki značaj informacionoj sigurnosti, prate se svjetske preporuke u ovoj oblasti i sistemi se konstantno unapređuju. CKB planira da koristi i napredne metode koje nudi vještačka inteligencija kako bi se preduprijedile potencijalne zloupotrebe. Te metode se najčešće oslanjaju na analitiku velike količine podataka i mašinsko učenje kako bi se identifikovali neobični obrasci u transakcijama koji ukazuju na potencijalne zloupotrebe.

Direktor Službe informacione sigurnosti Erste banka Nikola Vučeljić kaže i da je u njihovoj ustanovi "phishing" i dalje značajan problem kako za pojedince, tako i za organizacije.

- Među kompanijama čija se imena najčešće zloupotrebljavaju nalaze se velike IT kompanije, proizvođači softvera, poštanski, platni i streaming servisi, popularne društvene mreže. Nijesu pošteđene ni banke i kartični procesori, a tokom pandemije tu su se našle i globalne zdravstvene organizacije, vlade i druge institucije uključene u obuzdavanje širenja korona virusa. Zlonamjerni mejlovi često zaobilaze naslijeđene filtere za neželjene sadržaje, fajervole i gejtveje kroz sve sofisticiranije prevare. Zbog ljudske prirode, nepažnje ili prezauzetosti, ljudi mogu biti lako prevareni da preuzmu prilog ili kliknu na zlonamjerni link, čime će omogućiti napadačima pristup osjetljivim podacima - objašnjava Vučeljić dodajući da Erste banka kontinuirano podiže nivo sigurnosti koji implementira u različite proizvode i usluge, a takođe i edukuje klijente o sigurnosti putem veb-sajta i društvenih mreža.

- Javno i često komuniciramo sa klijentima da im ne tražimo i nikada nećemo tražiti lozinke, PIN i slične povjerljive podatke koji bi mogli biti zloupotrijebljeni. Naše internet prisustvo obezbjeđujemo digitalnim sertifikatima sa ciljem da korisnici uvijek mogu na siguran i uobičajen način provjeriti da li se radi o bančinim stranicama, korisnike autentifikujemo na siguran način prilikom pristupa uslugama banke; koristimo primjerene sigurnosne metode za razmjenu mejlova, a aplikacije razvijamo po principima i metodologijama sa podrazumijevanim sigurnosnim aspektom i ugrađujemo metode koje omogućavaju otkrivanje različitih pokušaja prevarnih radnji, te komuniciramo s nadležnim institucijama i tijelima - poručio je Vučeljić.

Ekspert za strateški marketing i komunikacije NLB banke, Jelena Vujović izjavila je za Pobjedu da su od klijenata saznali da se dešavaju pokušaji "phishing" ili sajber prevare, kojima prevaranti zloupotrebljavaju ime banke kako bi došli do ličnih korisničkih imena i lozinki za pristup kanalima plaćanja.

- U posljednjem periodu, primijetili smo porast "phishing" pokušaja i nažalost možemo reći da su učestaliji u poređenju sa prethodnim godinama. Ovaj trend je povezan sa sve većim nivoom digitalizacije i korišćenja elektronskih kanala komunikacije, što prevaranti nekada uspješnije, a nekada manje uspješno pokušavaju da zloupotrijebe - slanjem SMS poruka u kojima se predstavljaju kao banka i traže od korisnika da unesu povjerljive lične podatke, kao što su JMBG, PIN kartice i slično. Ove poruke ne stižu sa zvaničnog kanala banke, nego se samo u tekstovima poruka zloupotrebljava njen naziv kako bi se korisnici obmanuli. Takođe, često su ove poruke pisane tako da ne odgovaraju profesionalnom tonu kojima banka komunicira sa svojim klijentima - objasnila je Vujović.

Ona poručuje građanima da njihova banka nikada neće tražiti pomenute lične podatke putem SMS-a (Vajber, Vacap..) ili bilo kojeg drugog kanala direktne komunikacije i da je bezbjednost njihovih klijenata imperativ. Apeluje na građane da povjerljive podatke kao što su PIN kartice, aktivacioni kodovi za aplikacije, kao i ostale lične podatke ne dijele ni sa kim i da uvijek i u svakoj situaciji odgovorno i savjesno koriste lične podatke.

Strateški pristup za zaštitu na nivou banaka čine, kako navodi Pejaković, edukacija, razmjena informacija, sistemski pristup problematici. Upodobiti zakone, odnosno sve vrste prepreka tehničkih ili regulatornih da bismo bili efikasniji u zaštiti klijenata.

- Saradnja sa CIRT-om i Agencijom za elektronske komunikacije mora biti na kvalitetnijem nivou u sprovođenju aktivnosti koje se tiču blokade malicioznih sajtova i sprečavanja ove vrste prevarnih radnji. Incidente ove vrste moguće je prijaviti državnim organima podnošenjem krivične prijave protiv N. N. lica, što automatski isključuje brzu reakciju koja je neophodna u ovim situacijama. Moramo prevazići to stanje, što je iz Udruženja banaka inicirano, ali ponovićemo inicijativu. Za one koji nijesu upoznati CIRT.ME (eng. Computer Incident Response Team) je u skladu sa Zakonom o informacionoj bezbjednosti zadužen za odgovor na računarsko bezbjednosne incidente u sajber prostoru Crne Gore. Implementacija tehnoloških rješenja, uspostavljanje čvrstih organizacionih politika i podsticanje individualne budnosti su ključni koraci u ublažavanju rizika povezanih sa prevarom "phishing". Kako tehnologija vještačke inteligencije nastavlja da napreduje, neophodno je ostati informisan i proaktivan u rješavanju ove prijetnje koja se razvija - istakao je Pejaković.

Iako će sajber kriminalci često pokušati da učine da njihovi napadi izgledaju što legitimnije, Vučeljić ističe da postoje neki pokazatelji koji se mogu koristiti za prepoznavanje autentičnosti poruke.

- Treba imati povišen nivo opreznosti u nekim slučajevima, kao što su: mejlovi i poruke koje imaju ton hitnosti, ako vam pojedinci ili organizacije ovim putem traže lične podatke - broj kartice, lozinke, adresu, kopije ličnih dokumenata, kada otvarate linkove ili priloge, čak i kada dolaze iz (naizgled) pouzdanih izvora, ako se adresa s koje vam je stigao mejl ne poklapa sa domenom kompanije koja vam je navodno poslala taj mejl, kada primijetite gramatičke i pravopisne greške - kaže Vučeljić dodajući da su ljudi najslabija karika u svakom okruženju sajber bezbjednosti.

Napominje da najbolja odbrana počinje u domu. Filteri za neželjenu poštu i zaštitu od krađe identiteta, prva su linija odbrane.

Jedan od najzanimljivijih primjera u svijetu "phishing" i "vishing" napada je rapidan rast tzv. deepfake phishing, u kojem prevaranti koriste vještačku inteligenciju kako bi kreirali uvjerljive lažne video i audio snimke. U ovim napadima, hakeri koriste "deepfake" tehnologiju za simulaciju glasa ili lica poznatih osoba, poput izvršnih direktora, zaposlenih u bankama, pa čak i članova porodice, kako bi prevarili ljude da otkriju svoje povjerljive informacije ili izvrše finansijske transakcije.

Primjer ovog tipa napada desio se u Velikoj Britaniji, gdje je izvršni direktor jedne kompanije primio telefonski poziv od svog "šefa" u kojem je traženo da hitno prebaci 220.000 EUR na bankovni račun u Mađarskoj. Glas je zvučao identično kao glas njegovog pravog šefa, ali je zapravo bio generisan putem "deepfake" tehnologije. Ovaj incident pokazuje koliko su ovi napadi postali sofisticirani i da prevaranti koriste napredne tehnologije kako bi prevarili čak i one najpažljivije korisnike.

"Quishing" je novija vrsta "phishing" napada koja koristi QR kodove za prevaru. Prevaranti generišu lažne QR kodove koji izgledaju legitimno, kao oni koji se koriste za plaćanje ili preuzimanje informacija, a zapravo vode žrtve na zlonamjerne veb stranice.

Primjer ovog napada desio se u američkim gradovima, gdje su prevaranti postavljali lažne QR kodove na parking automate. Kada bi korisnici skenirali te kodove kako bi platili parking, bili bi preusmjereni na lažne stranice koje bi prikupile njihove platne podatke. Mnogi korisnici nijesu odmah shvatili da su prevareni, jer je proces djelovao identično kao uobičajena transakcija.