Безопасность для человеческого фактора

Одной из главной причин успеха фишинга можно считать то, что в основе атаки заложен «человеческий фактор». Похоже, что это самый сложный аспект в решении проблемы фишинга — люди, их любопытство, наивность, а также избыточное доверие.

Сколько денег теряют клиенты банков, а также сами банки во всем мире? Трудно сказать. Многие банки стараются скрывать такие вещи. Некоторые банки, закладывая годовой бюджет, предусматривают определённую сумму денег для покрытия потерь денежных средств со стороны клиентов в результате кибератак преступников.

Одно недавнее исследование, проведенное компанией Gartner, показало, что только в 2008 году количество жертв атак фишинга в США выросло на 40% по сравнению с предыдущим годом. Средняя потерянная сумма в результате таких атак составила $350. В среднем, клиенты смогли получить назад около 56% от своих потерянных вкладов. Другими словами банки и платежные системы возложили на себя обязанность возместить своим клиентам в среднем больше половины потерянных средств.

Важно отметить, что данная ситуация не характерна для всех стран мира. Так например, в случае если клиент какого-либо банка Коста-Рики стал жертвой атаки киберпреступников, то он сам полностью несёт ответственность за свои сбережения. Другими словами, банк не будет возмещать целиком или частично потерянную им сумму денег. Похожие ситуации можно встретить и в других странах Латинской Америки.

Для решения проблемы, связанной с оплатой по интернету, многие фирмы и банки уже ведут работы по внедрению механизмов двухфакторной авторизации — т.е., например, пароль, а также какое-то физическое устройство, которое должно быть подсоединено к компьютеру в момент операции. Также некоторые банки работают с системами генерации через SMS-сообщения одноразовых паролей доступа.

В конце прошлого года фирма IBM представила устройство, называемое «security on a stick». Объясняя простыми словами принцип работы данного устройства можно сказать, что любая операция (снятие, перевод денег) отображается на внешнем устройстве (сумма и счет) и пользователь может запретить или разрешить её перед тем, как она будет реализована.

Другим устройством для обеспечения безопасности оплаты по интернету является «SafeTPin», разработанное компанией HomeATM. Это устройство полностью совместимо с мобильными телефонами, и принцип его работы заключается в том, что авторизация на сайте банка или платежной системы происходит на основе нескольких факторов: учетной записи клиента, чтения физической карточки пользователя через SAfeTPin, а также его PIN-кода.

К сожалению, на сегодняшний день, из-за целого набора причин многие банки Латинской Америки, да и других регионов пока не располагают такими устройствами обеспечения безопасности для своих клиентов. Поэтому, некоторые из таких банков предпочитают использовать менее дорогие, но всё же достаточно эффективные методы обеспечения безопасности, как, например, уникальные пластиковые карточки с неповторяющимися группами цифр:

Перед реализацией любой операции пользователю требуется случайным образом ввести набор цифр, например, из колонны D и ячейки 6. Данные карточки являются уникальными для каждого пользователя банка. Клиент банка имеет право запросить новую карточку в банке, если считает, что старая была потеряна или у него имеются другие причины.

Данный метод, пожалуй, является самым дешевым для банков, т.к. производство таких карточек является очень недорогим.

Зачастую клиенты банков становятся жертвами атак фишинга еще до оплаты чего-либо. Они практически «добровольно» передают информацию злоумышленникам в момент «подтверждения» своих данных. Важно помнить, что никогда никакой банк не будет просить своих клиентов подтверждать их личную информацию через интернет. Если бы такое случилось, это было бы равносильно тому, что банк потерял всю свою базу клиентов, что, конечно же, невозможно. Пожалуйста, помните об этом.