QR CodeBankowy wirus! Autoryzacyjne SMS`y są przechwytywane

Maciej Celmer, 21 lutego 2011, 12:08
Tagi: mBank, SMS, Wirusy

W Internecie pojawiła się informacja o nowym sposobie atakowania klientów bankowości internetowej. Zaleca się zachowanie szczególnej ostrożności przy korzystaniu z elektronicznej bankowości. Klienci autoryzujący transakcję poprzez kod przesyłany SMS`em nie są bezpieczni.

Sprawcą zamieszania jest złośliwe oprogramowanie o nazwie Zeus.

Zeus przechwytuje loginy i hasła wykorzystywane przy transakcjach bankowości internetowej. Wirus instalował się na komputerach posiadających stare, nie zaktualizowane wersje przeglądarek mobilnych. Zeus pozyskiwał dane poprzez keylogger, ale wykorzystuje również inne formy ataku: phishing i elementy inżynierii socjalnej. Zasada działania jest prosta. Klient loguje się na stronę banku, która wygląda dokładnie jak oryginał i podaje wszystkie dane, o które jest poproszony.

Stara wersja Zeusa była bezradna przy wprowadzeniu przez banki autoryzacji operacji za pomocą kodu wysyłanego do klienta poprzez SMS. Niestety, nowa wersja radzi sobie o z tym zabezpieczeniem. Nowy Zeus zamieszcza na stronie banku komunikat bezpieczeństwa, który zachęca do zabezpieczenia telefonu wykorzystywanego do SMS`owej autoryzacji operacji.

Klient jest proszony o podanie swoich danych i o pobranie specjalnego oprogramowania, które ma chronić jego telefon przed złośliwymi atakami. W rzeczywistości, klient postępując zgodnie z wskazówkami, klikając w link przesłany SMS`em, pada ofiarą złośliwego oprogramowania i instaluje je na swoim urządzeniu. Za pomocą tego programu osoby trzecie otrzymują pełen dostęp do kodów bankowych odbieranych przez użytkownika.

Zeus wspierany jest przez telefony z systemem operacyjnym Symbian oraz BlackBerry OS.

Źródło: niebezpiecznik.pl

reklama

Ostatnie opinie internautów

1 - 7

Dlatego względnie bezpieczne są tokeny działające jako aplikacja czy to na naszym telefonie czy komputerze stacjonarnym, generujące unikalne kody. Jeżeli pobierzemy ją ze strony banku, wszystko powinno być OK oraz nie ma potrzeby kodów SMS. Cóż, nic nie zastąpi zdrowego rozsądku typu sprawdzanie certyfikatów strony, czy wchodzenie na adres naszego banku z np. zakładki a nie jakiegoś odsyłacza. No i ignorować wszystkie mejle od banku, w których proszą o podanie czegokolwiek. Jeżeli infromacja w mejlu jest prawdziwa - wystarczy się zalogować na stronie banku a nie klikać w odsyłacz w mejlu.
Wiem, że to podstawy, ale widać, ze wielu tego nie ogarnia.
Aha, nic nie przebije kodów-zdrapek z Inteligo, ale to chyba kwestia sentymentu :-). Gorzej jak ktoś nam zwinie taką kartę.

	sebidur 21.02.2011 @ 14:49
	Wystarczy odrobina wyobraźni i można się uchronić przed takimi rzeczami.

Trzeba myśleć. Żaden bank nie prosi o podawanie informacji, czy zmiany na koncie. Jak już kolega napisał, najważniejsze jest bezpośrednie logowanie poprzez wpisanie adresu, gdy coś się zaczyna wtedy dziać, trzeba dzwonić do banku i się upewnić. Nie mogę zrozumieć, jak ludzie mogą być tak nieodpowiedzialni za własne pieniądze.

Zawsze, gdy jest jakaś zmiana zabezpieczeń, czy inne akcje tego typu, rozsyłany jest oficjalny komunikat kilkoma kanałami. Jak czegoś nie jesteśmy pewni, zawsze można skorzystać z internetu. Proste.

Mój znajomy wpisywał w google nazwę banku i z tej pozycji wchodził na konto;]] usiedliśmy, wytłumaczyłem mu kilka spraw, pokazałem przykłady i za głowę się złapał. Teraz nawet hasło wpisuje z wirtualnej klawiatury. Taki dodatkowy zabezpieczacz. Ludzie są nieświadomi swoich działań. Gdy nie masz aktywnego antywira to daruj sobie kontakt z elektronicznym systemem bankowym. Ustaw skanowanie co jakiś czas. Zapisz bezpośredni adres banku jako zakładkę. Gdy widzisz coś, co cię zaskakuje, lub nie jest normą na stronie bankowej, łap telefon i dzwoń.

@ODay - ano właśnie, to wpisywanie adresów poprzez wyszukiwarkę... Nie ogarniam tego, ktoś wpisze sobie np. inteligo w gugla, ale już jakoś kropeczki i pl napisać nie może :-). Daltego ,dla takich leniwców najlepiej jest próbować wtłoczyć do świadomości zakładki, ale z tym bywa marnie. Prawdą jest tez, że byle telefon na infolinie banku wyniesie nas taniej niż ewentualne problemy.
Alternatywnie, można nie korzystać z e-bankingu, ale równie dobrze można wtedy nie wychodzić z jaskini :-). Wszystko jest dla ludzi, ale nie można podchodzić ze zbytnią ufnością.

Dokładnie, konto w banku to nie to samo co konto np. w grze internetowej, gdzie w przypadku jego utraty, stracimy co najwyżej czas. Tutaj chodzi o nasze, najczęściej ciężko zarobione pieniądze. Dlatego tak ważne jest pisanie o nowych sposobach atakowania klientów bankowości elektronicznej, oraz jak się przed tymi atakami bronić. Konto internetowe to duże ułatwienie, ale też duża odpowiedzialność. Pamiętajcie o tym ;)