Sztuczna Inteligencja (AI) może być wykorzystywana zarówno w dobrych celach, jak i niestety w celach przestępczych. Jest to narzędzie o dużym potencjale, które może być i jest wykorzystywane również przez cyberprzestępców. W obliczu rosnących zagrożeń związanych z upowszechnieniem stosowania AI, ważne jest podnoszenie świadomości ryzyka oraz metod obrony, które można zastosować, aby zabezpieczyć się przed zagrożeniami.

W jaki sposób AI może być wykorzystywane w cyberprzestępczości?

Cyberprzestępcy mogą wykorzystywać AI na różnych etapach działania przestępczego:

• przygotowanie ataku,
• realizacja ataku,
• weryfikacja i opracowanie pozyskanych informacji.,
• do osiągania różnorodnych celów, w tym do prowadzenia ataków na systemy informatyczne oraz naruszania prywatności i bezpieczeństwa użytkowników.

Przykładowe sposoby wykorzystywania potencjału AI przez cyberprzestępców:

1. Phishing – przed upowszechnieniem AI wiadomości phishingowe często były łatwo identyfikowane przez systemy filtrowania spamu i użytkowników świadomych istniejących zagrożeń. Przy pomocy zaawansowanych technik uczenia maszynowego i przetwarzania języka naturalnego, cyberprzestępcy są w stanie generować bardziej wiarygodne i przekonujące wiadomości phishingowe, które nie tylko będą trudniejsze do wykrycia przez tradycyjne metody filtrowania spamu, ale również mogą łatwo zwieść nawet ostrożnych użytkowników.
2. Fałszowanie tożsamości – użycie generatywnych modeli AI do tworzenia fałszywych obrazów, filmów lub nagrań głosowych, które mogą posłużyć do manipulowania informacjami i szerzenia dezinformacji dla osiągnięcia określonych celów, takich jak oszustwo, szantaż, wyłudzenie informacji, dezinformacja lub naruszanie reputacji.
3. Inżynieria społeczna – wykorzystanie AI do analizy danych ze źródeł online (np. mediów społecznościowych) w celu tworzenia bardziej wiarygodnych profili użytkowników oraz personalizowania ataków ukierunkowanych na wyłudzenie poufnych danych lub przekonania użytkowników do kliknięcia w złośliwe linki.
4. Kryptoanaliza – usprawnienie procesów łamania szyfrów w celu uzyskania dostępu do poufnych danych, takich jak hasła, klucze kryptograficzne lub dane finansowe.
5. Tworzenie złośliwego oprogramowania – automatyzacja generowania nowych wariantów złośliwego oprogramowania, które są trudniejsze do wykrycia przez tradycyjne programy antywirusowe opierające się o sygnatury. Wykorzystanie AI do automatycznego adaptowania się złośliwego oprogramowania w czasie rzeczywistym w odpowiedzi na zmiany w systemach zabezpieczeń.
6. Ataki z zastosowaniem botów – automatyzacja: poszukiwania i infiltracji systemów informatycznych i aplikacji, poszukiwania i testowania luk w zabezpieczeniach, testowania danych uwierzytelniających, poszukiwania możliwości przenikania do sieci.
7. Ataki złożone – zastosowanie uczenia maszynowego, do analizy ogromnych ilości danych w celu identyfikacji wzorców i przewidywania zachowań użytkowników oraz dostosowywania ataków w celu zwiększenia ich skuteczności.

Powyższe przykłady pokazują, że AI może być wykorzystywana przez cyberprzestępców w celu prowadzenia skuteczniejszych i bardziej złożonych ataków. W obliczu tych zagrożeń kluczowe jest ciągłe doskonalenie metod obronnych oraz rozwój świadomości na temat ryzyka związanego z wykorzystaniem AI w dziedzinie cyberbezpieczeństwa.

Jak możesz bronić się przed cyberprzestępczością?

Podstawową metodą obrony jest:

• ograniczenie do minimum ilości danych publikowanych przez nas w powszechnie dostępnych źródłach informacji (np. w mediach społecznościowych),
• ograniczenie dostępu do dotyczących nas informacji (zdjęć, filmów, prywatnych stron WWW) – udostępniajmy je wyłącznie znanym nam bliskim osobom i wyłącznie na określony czas.

Kolejną metodą obrony jest weryfikacja dostarczonej informacji – realizowana przed podjęciem działania wskazanego przez nadawcę informacji. Weryfikacja powinna być przeprowadzona w wiarygodnym źródle, np.:

• Dla informacji pochodzącej z internetu (np. banner, wyskakujące okienko, strona internetowa z ofertą) należy zweryfikować:
  • zgodność informacji z dotychczas publikowanymi treściami – np. jeżeli nastąpiła wcześniej niekomunikowana zmiana w wyglądzie strony logowania, jeżeli bank nie wymagał podawania pełnego hasła przy logowaniu do bankowości, to wszelkie zmiany w tym zakresie powinny budzić naszą czujność (prawdopodobnie zostaliśmy skierowani na fałszywą stronę),
  • informację na oficjalnej stronie źródła – np. jeżeli wizerunek osoby publicznej (sportowca, polityka, celebryty) jest wykorzystywany w kampanii marketingowej dotyczącej inwestycji w kryptowaluty, to należy zweryfikować, czy wskazana w reklamie instytucja dotychczas prowadziła tego typu działalność,
  • opinie o źródle informacji – media społecznościowe często są pierwszym miejscem, gdzie można pozyskać informacje dotyczące aktualnie prowadzonych oszukańczych kampanii medialnych lub zapoznać się z opisem historii tych, którzy padli ich ofiarą,
  • ostrzeżenia publikowane na stronie internetowej Komisji Nadzoru Finansowego oraz informacje dostępne na stronach internetowych UOKiK, Rzecznika Finansowego, ZBP.
• Dla informacji pochodzącej z wiadomości e-mail (oprócz czterech wymienionych powyżej elementów) należy w pierwszej kolejności zweryfikować istnienie powiązania pomiędzy treścią wiadomości, a wcześniej podejmowanymi przez nas działaniami – np. dostajemy powiadomienie o konieczności dokończenia/uzupełnienia transakcji, której nie realizowaliśmy (np. dostawa przesyłki przez kuriera) lub powiadomienie o atrakcyjnej, ograniczonej czasowo ofercie na zakup towaru lub usługi pomimo braku wyrażenia przez nas zgody na tego typu korespondencję,
• Dla informacji dostarczonej w rozmowie telefonicznej należy zweryfikować osobę, z którą rozmawiamy przez telefon:
  • jeżeli naszym rozmówcą jest ktoś bliski, kogo numer telefonu jest nam znany (np. członek rodziny, przyjaciel) – przerywamy rozmowę i korzystając z naszej książki telefonicznej oddzwaniamy lub pytamy o fakt znany wyłącznie nam i rozmówcy,
  • jeżeli naszym rozmówcą jest osoba nam nie znana (np. podająca się za policjanta, prokuratora) możemy zadać nieoczekiwane pytanie, na które odpowiedź jest nam znana (np. „Czy pani Kowalska, która wczoraj komunikowała się ze mną w tym temacie, przekazała już moje wczorajsze wyjaśnienia?”, „Czy przekazane przeze mnie dwa dni temu pieniądze są bezpieczne?”). W opisywanych powyżej przypadkach pytania muszą być sformułowane w taki sposób by przeczyły znanym nam faktom i stawiały odpowiadającego wobec konieczności odpowiedzi tak/nie. Jeżeli odpowiedź jest wymijająca, to powinniśmy kontynuować zadawanie pytań – co zazwyczaj zniechęca przestępcę i prowadzi do zakończenia rozmowy.
  • jeżeli naszym rozmówcą jest ktoś kto podaje się za pracownika Alior Banku, to możemy skorzystać z weryfikacji oferowanej przez bank, czyli zażądać:
    • podania ustalonego wcześniej hasła weryfikacyjnego lub,
    • potwierdzenia kontaktu ze strony banku poprzez wiadomość PUSH w aplikacji mobilnej.

Przypominamy, że w przypadku podejrzenia próby popełnienia przestępstwa, mając zasadne obawy dotyczące tożsamości osoby, z którą prowadzisz komunikację lub gdy przestępstwo zostało popełnione, niezwłocznie skontaktuj się z naszą infolinią 19 502 oraz złóż stosowne zawiadomienie na Policję i do prokuratury.

Najpopularniejszym obecnie sposobem wykorzystywanym przez oszustów jest nadal phishing. Polega on na podszyciu się pod rzeczywiste instytucje bądź ludzi w celu wyłudzenia danych ofiary, takich jak informacje osobowe czy finansowe. Phishing przybiera różne formy i jest stale udoskonalany przez przestępców, którzy poszukują nowych metod na skuteczny atak.

Zwrot podatku

W ostatnim czasie popularną formą ataku jest podszycie się pod Urząd Skarbowy bądź Ministerstwo Finansów. Wiążę się to z trwającym okresem składania rocznych deklaracji podatkowych, kiedy to wielu podatników oczekuje na zwrot nadpłaconego podatku.

Oszustwo polega na przesłaniu fałszywego e-maila z informacją o pozytywnym rozpatrzeniu wniosku o zwrot podatku. Taka wiadomość zawiera link do fałszywej strony, podszywającej się pod serwis rządowy, na której ofiara proszona jest o wpisanie danych płatniczych. Są to najczęściej dane kart płatniczych, które następnie są wykorzystywane do kradzieży środków z konta ofiary.

Treść często jest formułowana w taki sposób, aby dać ofierze złudne wrażenie podjęcia własnej decyzji. Na przykład, w e-mailu jest informacja o możliwości odebrania środków w Urzędzie, ale w celu rzekomego ułatwienia wypłaty udostępniono także możliwość wykorzystania serwisu internetowego.

Cechy charakterystyczne treści fałszywego e-maila:

• pochodzi od nieznanego, podejrzanego nadawcy – czasami oszuści używają podobnych do autentycznych nazw, ale z drobnymi zmianami,
• zawiera odnośnik do nieznanej domeny lub link wykorzystujący skrócony adres URL,
• zawiera podejrzany załącznik,
• często zawiera pozytywną informację – np. środki do odbioru przez ofiarę,
• treść wywiera presję czasową i zmusza do szybkiego działania – np. link aktywny przez ograniczony czas.

Oszustwo z wykorzystaniem zdalnego pulpitu

Wciąż popularną metodą wykorzystywaną przez oszustów jest nakłonienie ofiary do instalacji na swoim urządzeniu narzędzia zdalnego pulpitu. Atakujący podszywa się pod pracownika banku i informuje klienta o problemie na jego rachunku, wykorzystując zaufanie do instytucji finansowych. Najczęstszym scenariuszem jest przekazanie informacji o zablokowanych środkach na rachunku, np. z powodu wykrytej podejrzanej aktywności.

Oszuści przekonują ofiarę, że potrzebują dostępu zdalnego do jej urządzenia w celu rozwiązania problemu z kontem. Proszą ofiarę o pobranie i zainstalowanie specjalnego narzędzia, które rzekomo pomoże w rozwiązaniu problemu.

Przekazanie kontroli nad urządzeniem atakującemu umożliwia mu przeglądanie plików na komputerze, instalowanie złośliwego oprogramowania, a także wykorzystanie otwartej sesji bankowej do przejęcia środków z rachunku.

Pamiętaj, że pracownik banku nigdy nie poprosi Cię o:

• instalację dodatkowego oprogramowania,
• podanie danych logowania czy numeru PESEL drogą e-mailową czy telefoniczną,
• przekazanie jednorazowego kodu z SMS-a.

Nowe wyzwanie – sztuczna inteligencja

Cyberprzestępcy coraz częściej wykorzystują sztuczną inteligencję (SI) w swoich atakach, aby osiągnąć większą skuteczność. Za pomocą narzędzi SI generują treści graficzne i wideo z wizerunkami znanych osób, w celu zdobycia zaufania ofiary. Są to często porady inwestycyjne lub projekty, w których można zarobić pasywnie. Przedstawione są konkretne kwoty, a znana osoba przekonuje o ogromnych zyskach. Oszuści wykorzystują te techniki, aby manipulować ludźmi i wyłudzać od nich pieniądze. Dlatego zawsze należy być ostrożnym i weryfikować źródło informacji przed podjęciem jakichkolwiek działań inwestycyjnych.

Jak się chronić przed phishingiem?

• Sprawdzaj źródło – zawsze sprawdzaj, czy e-mail pochodzi z oficjalnego źródła. Otwieraj linki tylko na stronach, którym ufasz.
• Nie podawaj poufnych informacji – żaden urząd podatkowy nie prosi o dane osobowe czy numery konta bankowego drogą e-mailową. Nie podawaj tych informacji w odpowiedzi na e-maile.
• Uważaj na linki – jeśli otrzymasz e-mail z linkiem, najpierw najedź na niego kursorem myszy, aby sprawdzić dokąd prowadzi. Jeśli wydaje się podejrzany, nie klikaj.
• Zgłoś podejrzane wiadomości – jeśli masz podejrzenia dotyczące tożsamości osoby, z którą prowadzisz komunikację, skontaktuj się z nami dzwoniąc na infolinię pod numer 19 502.

Oszustwo inwestycyjne najczęściej polega na podszywaniu się pod osoby lub podmioty realizujące transakcje na rynku instrumentów finansowych (np. akcje, obligacje, certyfikaty) lub surowcowych (np. metale szlachetne, ropa, gaz) i nakłanianiu do inwestowania środków z wykorzystaniem pośrednictwa oszusta.

Oszuści wykorzystują elementy motywujące atakowanego do skorzystania z „okazji”, w tym między innymi:
 

• atrakcyjność oferty i wyjątkowo wysokie zyski z inwestycji, przy jednoczesnym braku ryzyka po stronie inwestora,
• brak wiedzy i naiwność atakowanego,
• kontakt telefoniczny, e-mailowy lub przez media społecznościowe,
• okresowy bądź cykliczny wzrost rynku inwestycyjnego, umożliwiający przedstawienie wyników za ostatni okres inwestycyjny jako wiarygodnego prognostyka przyszłych zysków,
• wizerunki znanych osób ze świata polityki, biznesu czy sportu (czasem w formie sfałszowanego filmu, tzw. „deepfake') lub nazwy znanych firm – jako elementy uwiarygadniające ofertę i wysokie zyski.

Oszust swe działanie poprzedza utworzeniem fałszywej strony internetowej do inwestowania pieniędzy i jej reklamą w internecie. Zadaniem profesjonalnie przygotowanej fałszywej strony i bogatej oprawy graficznej reklam jest przyciągnięcie uwagi potencjalnych ofiar.

Z osobami, które odpowiedziały na reklamę i wysłały swoje dane w formularzu kontaktowym, kontaktuje się „konsultant”, który przedstawia się jako doradca finansowy, makler, broker giełdowy bądź certyfikowany specjalista rynku inwestycyjnego i oferuje swą pomoc w bezproblemowym przejściu procesu związanego z realizacją inwestycji.

Oszust w ten sposób usypia czujność ofiary, ponieważ stara się brzmieć wiarygodnie, prezentuje bogatą wiedzę i umiejętności, operuje wynikami i prognozami zysków, w sposób wyczerpujący i niwelujący wszelkie wątpliwości odpowiada na postawione pytania związane z inwestycją.

Po wykazaniu zainteresowania przez ofiarę, konsultant podkreśla ograniczony czas trwania oferty i poprzez różne techniki manipulacyjne próbuje nakłonić rozmówcę do zainstalowania fałszywego oprogramowania na komputerze bądź smartfonie, które rzekomo ułatwia komunikację z konsultantem podczas inwestowania, pozwala na śledzenie inwestycji na żywo, lub umożliwia bezproblemową wypłatę wysokich zysków. W rzeczywistości jest to oprogramowanie, które umożliwia przestępcy zdalne korzystanie z zaatakowanego urządzenia, w tym podgląd danych logowania (identyfikator i hasło) do bankowości internetowej.

Jeżeli zaatakowany przez dłuższy czas nie zidentyfikuje przestępstwa, to w wyniku kolejnego kontaktu ze strony doradcy jest nakłaniany do realizacji kolejnych inwestycji, przy czym w takim przypadku uzasadnieniem dla inwestycji są wykazywane przez oszusta zyski z wcześniejszej inwestycji (oczywiście są to zyski odpowiednio spreparowane).

Ofiara przestępstwa zazwyczaj orientuje się, że została oszukana dopiero po podjęciu próby wypłaty zysków lub wycofania się z inwestycji.

Jak się chronić?
 

•  Nigdy nie podejmuj decyzji finansowych w oparciu o informacje, które nie zostały zweryfikowane i skonsultowane z wiarygodnymi źródłami informacji.
• Zweryfikuj informacje o podmiocie oferującym inwestycję – każdy oferent musi posiadać zezwolenie na prowadzenie takiej działalności. Podmioty, które są objęte nadzorem znajdziesz w wyszukiwarce podmiotów nadzorowanych na stronie internetowej Komisji Nadzoru Finansowego.
• Przed podjęciem kontaktu sprawdź listę ostrzeżeń publicznych na stronie internetowej Komisji Nadzoru Finansowego.
• Sprawdź podmiot na stronach UOKiK, Rzecznika Finansowego, ZBP.
• Omijaj wszelkie podejrzane, rewelacyjnie zyskowne inwestycje na rynkach, co do których masz znikomą wiedzę.
• Sprawdź opinie innych osób na temat podmiotu oferującego inwestycję. Oszukani klienci często w mediach społecznościowych publikują ostrzeżenia przed nieuczciwymi podmiotami.
• Nigdy nie instaluj oprogramowania pobieranego ze stron wskazanych poprzez aktywne linki (zawarte w wiadomościach) – zwłaszcza na urządzeniach, na których logujesz się do bankowości.
• Nigdy nie podawaj loginu i hasła do bankowości internetowej oraz danych kart płatniczych (numer karty, CVV, data ważności) – te informacje są poufne i powinny być znane wyłącznie ich właścicielowi (Tobie).
• Jeśli w wyniku działania oszusta podającego się za konsultanta, na Twoim koncie pojawi się  przelew z obcego rachunku, który został przez oszusta określony jako zysk z inwestycji (który powinien być natychmiast ponownie zainwestowany), nie przekazuj go dalej na wskazany rachunek. Jeśli to zrobisz, weźmiesz udział w przestępstwie. Natychmiast zgłoś się do swojego banku.

Przypominamy: W przypadku podejrzenia próby popełnienia przestępstwa, gdy masz podejrzenia dotyczące tożsamości osoby, z którą prowadzisz komunikację lub gdy przestępstwo zostało popełnione, niezwłocznie skontaktuj się z nami dzwoniąc na infolinię pod numer 19 502 oraz złóż stosowne zawiadomienie na Policję lub do prokuratury.

 

Hasła to nadal najczęstszy sposób zabezpieczania danych i systemów. Dlatego to bardzo ważne, aby były silne, czyli trudne do odgadnięcia.

Twoje hasło nie zapewni bezpieczeństwa, jeśli będzie zbyt krótkie (poniżej 8 znaków) i zbudowane w oparciu o ograniczony zbiór znaków (np. tylko cyfry). Oszuści złamią takie hasło bardzo szybko.  

Systemy bardzo często informują, o czym musisz pamiętać podczas tworzenia swojego hasła. Najczęściej wymagają od użytkowników, aby hasło składało się z kombinacji znaków: małe litery, wielkie litery, cyfry, znaki specjalne. Okazuje się jednak, że sposób realizacji tych wymogów nie zawsze zapewnia pełne bezpieczeństwo.

Należy również pamiętać o tym, że rejestrowanie naciśnięć klawiszy, phishing czy ataki oparte o socjotechnikę są równie skuteczne zarówno w przypadku prostych, jak i długich czy złożonych haseł.

Długość hasła

Długość hasła jest głównym czynnikiem, który charakteryzuje siłę hasła. Jeśli hasło jest zbyt krótkie, może być podatne na:

• ataki siłowe (polegające na sprawdzeniu wszystkich możliwych kombinacji znaków) oraz
• ataki słownikowe (wykorzystujące słowa i powszechnie wybierane hasła).

System, w którym wpisuje się hasło, może narzucać dodatkowe zabezpieczenie poprzez ograniczenie ilość prób logowania (im skromniejsze hasło, tym mniejsza jest liczba dozwolonych błędnych prób).

Oszuści korzystają z różnych środków technicznych. Z tego powodu ważne jest, aby hasła w systemach offline (w bazach danych) były bardziej złożone niż stosowane w rozwiązaniach online. Niestety  wyjątkowo długie hasła są bardzo długo przetwarzane przez algorytmy, które chronią te dane – dlatego często nakładany jest limit ilości znaków.

Złożoność hasła

Niektóre systemy narzucają użytkownikom stosowanie zasad tworzenia haseł określanych regułami kompozycji. Badania wykazały, że łatwo przewidzieć, jak zachowają się użytkownicy, którzy bagatelizują ten element i maksymalnie upraszczają narzucone wymagania.

Jest bardzo prawdopodobne, że użytkownik, który będzie mógł wybrać „hasło” jako swoje hasło, wybierze:

• „Hasło1”, jeśli będzie wymagane podanie dużej litery i cyfry lub
• „Hasło1!” jeśli wymagany jest również znak specjalny.

Systemy często odrzucają hasła, które są niezgodne z zasadami kompozycji. Jest to dobre rozwiązanie, chociaż dla niektórych może być frustrujące.

Systemy mogą również odrzucać hasła, które zawierają spację i wybrane znaki specjalne (wykorzystywane przy atakach np. SQL Injection).

Jeśli w haśle występuje spacja, to najczęściej jest to hasło dłuższe. W takiej sytuacji użytkownicy zazwyczaj stosują wyrażenia do budowy haseł (np. Wlazł kotek na płotek i mruga., Litwo! Ojczyzno moja! Ty jesteś jak zdrowie). Niestety spacja może powodować pewne problemy z użytecznością. Użytkownik może na przykład wprowadzić dwie spacje zamiast jednej i tego nie zauważyć.

Pozornie trudno jest przewidzieć jakie hasło wybierze użytkownik systemu. Oszuści często nie mają z tym problemu, stosują różne techniki do przełamania haseł, wykorzystując m.in. listy haseł powszechnie stosowanych.

W Internecie dostępne są rozwiązania, w których można sprawdzić siłę hasła. Należy jednak zapoznać się z zasadami, które dla potrzeb oceny stosuje dane rozwiązanie. Mechanizm obliczenia siły hasła, który bazuje na języku angielskim, może być zaburzony, zwłaszcza jeśli będzie sprawdzać hasło ze znakami diakrytycznymi. Przykładowo hasło „Zółw1!” będzie bardzo wysoko ocenione.  

Skomplikowane i trudne do zapamiętania hasła tworzą nową potencjalną lukę w zabezpieczeniach –wzrasta prawdopodobieństwo, że zamiast zapamiętania zostaną zapisane lub będą przechowywane elektronicznie w sposób nie gwarantujący ich bezpieczeństwa (np. w niezabezpieczonym hasłem pliku aplikacji Word). Chociaż praktyki te nie zawsze są podatne na ataki, to jednak warto je uwzględnić i nie wymagać zbyt długich i skomplikowanych haseł.

Jaką metodą stworzyć silne hasło?
 

1. Menadżer haseł
   Menadżer haseł utworzy silne hasło, ale nie będzie to hasło łatwe do zapamiętania i stosowania poza tym narzędziem. Dodatkowo w niektórych menadżerach haseł można wprowadzić schemat hasła (np. ograniczyć liczbę czy zakres znaków w haśle lub wskazać wybrany prefiks). Dlatego hasła, które wygeneruje menadżer, stosowane są wyłącznie w ramach korzystania z aplikacji lub strony realizowanej z wykorzystaniem manadżera.
2. Łączenie słów
   Hasło zbudowane zgodnie z tą metodą składa się z kilku połączonych słów. Można wykorzystać np. nazwy ulubionych zwierząt, kolorów, piosenek, itp. Aby ułatwić sobie zapamiętanie hasła, można wszystkie słowa zaczynać wielką literą i ustawić je w kolejności alfabetycznej (np. KotPiesŻyrafa, PoniedziałekŚrodaWtorek).
3. Stosowanie fraz
   Tutaj wykorzystuje się gotowe zdania, np. przysłowia, cytaty, tytuły filmów lub abstrakcje (np. KtoPodKimDołkiKopie, OlaZjadaLatającąMotorówkę).
4. Tworzenie akronimów
   Hasło buduje się w oparciu o pierwsze (lub inne dowolnie wybrane) litery poszczególnych słów, które składają się na frazę (np. PsKzswW – Pomnik szewca Kilińskiego znajduje się w Warszawie).
5. Frazy z przesunięciem znaków
   Najpierw ustala się frazę, która jest bazą dla hasła. Następnie stosuje się znaki, które znajdują się, np. na prawo od znaków, które zawarte są we frazie (np. Nos:u{ord – BiałyPies).   
6. Frazy z błędami ortograficznymi
   Hasło buduje się tak, aby zawierało błędy ortograficzne, a w miejscu znaków diakrytycznych znajdowały się znaki niediakrytyczne (np. TżeszczacySledz – TrzeszczącyŚledź).

Najprostszym rozwiązaniem jest zastosowanie bardzo długiego ciągu przypadkowych znaków, a następnie wykorzystanie menadżera haseł do zapamiętania tak zbudowanego hasła.

Należy podkreślić, że hasła opierające się o frazę, które mają mniej niż 10 znaków, są uważane za słabe. Istnieje wiele innych elementów, które dodatkowo mogą osłabić takie hasło. Nie warto:

•  ograniczać zestawu znaków – np. używać wyłącznie cyfr lub liter,
• stosować łatwych do ustalenia danych – np. imię i nazwisko użytkownika, numer telefonu, data urodzenia.

 

Dwuskładnikowe uwierzytelnienie (2FA) to sposób zabezpieczania dostępu do aplikacji, logowania do systemów bankowości internetowej, poczty elektronicznej czy mediów społecznościowych.

Zalety 2FA

1. Dodatkowy poziom bezpieczeństwa

• Wymagane dwa elementy weryfikacyjne są niezależne od siebie. Najczęściej są to dwa elementy z zestawu:
  • składnik, który użytkownik zna (np. hasło),
  • składnik, który użytkownik posiada (np. kod służący do uwierzytelnienia, który jest wysłany do użytkownika na wcześniej zdefiniowane urządzenie poprzez wiadomość SMS, odcisk palca).

• Zdobycie przez atakującego wyłącznie jednego elementu uwierzytelniającego nie daje mu możliwości dostępu do chronionej aplikacji. Atakujący potrzebuje zarówno hasła (pozyskanego np. w wyniku phishingu), jak i drugiego czynnika weryfikacyjnego (który jest wysyłany wyłącznie na urządzenie użytkownika użytkownika).

2. Zabezpieczenie przed atakami na hasła

• Redukcja ryzyka związanego z wyciekiem hasła – w przypadku wycieku bazy danych z hasłami (np. w wyniku ataku na witrynę internetową), przestępcy nadal nie będą mieli pełnego dostępu do kont użytkowników, ponieważ nie będą posiadali drugiego elementu weryfikacyjnego.
• Ochrona przed atakami typu brute force – ataki polegające na wielokrotnym próbowaniu różnych kombinacji haseł, są praktycznie uniemożliwione, ponieważ atakujący w celu weryfikacji poprawności testowanego hasła potrzebują poprawnego drugiego elementu weryfikacyjnego.

3. Elastyczność i wygoda

• Różne sposoby dostarczenia drugiego elementu weryfikacyjnego: kody SMS, wiadomości PUSH, token sprzętowy, dane biometryczne. Użytkownicy mogą wybrać metodę, która najlepiej odpowiada ich preferencjom.

4. Minimalizacja skutków utraty hasła

• Powiadomienie o próbie nieautoryzowanego dostępu – użytkownik otrzymując powiadomienie lub prośbę o potwierdzenie przy pomocy drugiego elementu uwierzytelniającego jest jednocześnie informowany o aktywności na koncie (ewentualnej próbie włamania), co umożliwia mu natychmiastową reakcję.
• Zdalne zarządzanie bezpieczeństwem konta – rozwiązania korzystające z 2FA umożliwiają użytkownikom zdalne zarządzanie bezpieczeństwem, co zwiększa kontrolę zarówno nad dostępem jak i aktywnością.

Choć wprowadzenie 2FA przyczyniło się do znacznego podniesienia poziomu bezpieczeństwa w środowisku online, a korzyści wynikające z tej praktyki są istotne zarówno dla jednostek, jak i organizacji, to w zakresie oceny bezpieczeństwa stosowanych elementów uwierzytelniających oraz sposobów ich dostarczania wciąż następują zmiany. Aktualnie z powszechnie stosowanych metod dostarczania elementu uwierzytelnienia największą popularnością, wynikającą zarówno z kosztów związanych z implementacją jak i przystępnością w użytkowaniu, cieszy się metoda dostarczania poprzez wiadomości PUSH kierowane do wskazanego przez użytkownika smartfonu (zdefiniowanego dla konta użytkownika w systemie).

Ataki na rozwiązania stosujące 2FA

Przestępcy zauważyli rosnącą popularność 2FA i dostosowali narzędzia i techniki ataku. Aby atak miał szanse przynieść efekt, ofierze wysyła się link prowadzący do fałszywej bramki płatności, przez którą przechodzi ona do podstawionej strony logowania do banku. Po wpisaniu loginu i hasła zostają one przesłane do atakującego, a on przesyła je dalej do serwisu bankowego. Bank widzi, że klient próbuje się zalogować, więc wysyła do niego SMS z kodem albo oczekuje podania ciągu znaków wygenerowanych w aplikacji. Oczywiście ten etap też jest przewidziany na podstawionej stronie, gdzie wyświetla się okienko w celu podania wybranej metody, z której korzysta klient. Atakujący, po wprowadzeniu przez nieświadomą osobę swoich danych i kodu, uzyskuje w dostęp do konta bankowego ofiary.

Inną metodą ataku jest wyrobienie duplikatu karty SIM. Operatorzy telekomunikacyjni są wyczuleni i podchodzą do prośby o duplikat z większą uwagą, tym nie mniej przestępca może podać się za właściciela numeru i wystąpić o wyrobienie drugiej karty przypisanej do numeru. W tym scenariuszu zakłada się, że atakujący ma już dostęp do konta bankowego ofiary. Gdy pozyskany duplikat karty SIM zostanie aktywowany na telefonie przestępcy, prawowity właściciel utraci zasięg na swoim telefonie (nie jest w stanie korzystać ze swojej karty SIM). Od tego momentu przestępca otrzymuje wszystkie połączenia i wiadomości SMS. Mając dostęp do konta, zleca przelew i poprzez SMS otrzymuje kod, po wpisaniu którego bank weryfikuje transakcję. Z tego powodu dostęp do np. konta bankowego powinien być potwierdzany za pomocą aplikacji (komunikacją PUSH).

Jak się chronić przed atakiem

• Zarówno w SMS jak i PUSH podawane są szczegóły transakcji - jeżeli coś się nie zgadza, nie należy autoryzować takiej transakcji. Bardzo ważne jest czytanie, co się akceptuje (tak samo jak czytanie treści dokumentu przed podpisaniem). Często treść komunikatu to jedyny element umożliwiający zorientowanie się, że jesteśmy na celowniku oszustów.
• Należy dbać o bezpieczeństwo fizyczne urządzenia, które służy nam do pozyskania drugiego elementu uwierzytelniającego (token, smartfon). W przypadku jego utraty należy bezzwłocznie o tym fakcie poinformować stronę dostarczającą usługę.
• Należy dbać o bezpieczeństwo konfiguracji urządzenia, które służy nam do pozyskania drugiego elementu uwierzytelniającego. Jeśli do odblokowania urządzenia wykorzystujemy elementy biometryczne, np. odcisk palca, to dbajmy o to by nikt poza nami nie dodał swojego odcisku.
• Należy mieć na uwadze możliwość pozyskania przez atakującego duplikatu karty SIM – zduplikowanie telefonu lub sparowanie nowego telefonu do aplikacji.
• Należy z dużą dozą nieufności podchodzić do wszelkich stron realizacji płatności podstawianych w aktywnych linkach – najlepiej z takich linków nigdy nie korzystać. Każdą wątpliwość w zakresie autentyczności strony płatności należy brać bardzo poważnie.
• Nie należy ufać osobom w rozmowie telefonicznej przychodzącej podającym się za pracownika instytucji zaufania publicznego (policjanta, prokuratora, bankowca). Dla weryfikacji pracownika naszego banku należy skorzystać z opcji podania prze niego hasła zwrotnego lub potwierdzenia realizacji kontaktu poprzez wiadomość PUSH.

Black Friday, tak jak każdy okres ukierunkowany na zwiększenie przychodów z handlu, przynosi ze sobą nie tylko atrakcyjne promocje i wyjątkowe oferty. Sprzyja on również wzmożeniu działalności przestępców, którzy podszywają się pod sklepy online i operatorów płatności.

W trosce o bezpieczeństwo Waszych środków, przedstawiamy krótki poradnik, w którym przypominamy podstawowe zasady bezpieczeństwa zakupów w sieci.

Przed zakupem:

• Unikaj kuszących okazji: 
  • np. sprzedaży produktu znacząco (np. 50%) poniżej średniej ceny rynkowej,
  • oferowanych przez nieznanych sprzedawców,
  • do których przechodzi się po kliknięciu w link zawarty w reklamie bądź w mailu,
  • wkrótce się kończących, przez co zmuszających do działania w pośpiechu i bez zwracania uwagi na kwestie bezpieczeństwa.
• Zweryfikuj przedstawione na stronie sklepu dane sprzedającego. Sprawdź czy:
  • podane są dane rejestrowe (REGON, NIP i KRS) - jeżeli masz wątpliwości, sprawdź ich zgodność z danymi zawartymi w ogólnodostępnych rejestrach,
  • adres siedziby sklepu nie wskazuje nieistniejącej lokalizacji (np. pola kukurydzy),
  • na podany numer telefonu można się dodzwonić i porozmawiać ze sprzedawcą na temat oferty.
• Zwróć uwagę na to, kiedy sklep został uruchomiony:
  • dłuższa obecność na rynku to często większe bezpieczeństwo,
  • nie daj się zwieść zapisom typu „do tej pory funkcjonowaliśmy jako …” – godny zaufania sprzedawca ceni sobie historię swej działalności, zwłaszcza jeżeli jest ona pozytywna.
• Sprawdzaj na wiarygodnych stronach opinie i komentarze innych klientów na temat:
  • sklepu bądź sprzedającego, o oferowanego produktu,
  • procesu realizacji transakcji/reklamacji/zwrotu.

Z taką samą rezerwą podchodź do zakupów w przypadku dużej ilości negatywnych opinii, jak i pozytywnych wystawionych w bardzo krótkim czasie (np. w ciągu ostatniego tygodnia/miesiąca).

W trakcie zakupu:

• Pamiętaj, że bardziej wiarygodny sklep to ten, w którym masz możliwość:
  • osobistego odbioru zamówienia,
  • uiszczenia płatności w momencie dostarczenia towaru (np. u kuriera),
  • odroczenia momentu otrzymania płatności przez sprzedającego do czasu potwierdzania dostarczenia towaru zgodnego z zamówieniem.
• Unikaj sklepów z tylko jedną formą płatności.
• Miej na uwadze, że zarówno symbol kłódki jak i „https” przy adresie stronie internetowej sklepu nie gwarantują bezpieczeństwa transakcji – już w 2021 roku 80% serwisów oszukańczych miało przynajmniej jeden z wymienionych elementów.

Podczas płatności:

• Nigdy nie zgadzaj się na wykonywanie niestandardowych czynności takich jak:
  • instalacja dodatkowego oprogramowania,
  • podanie danych do logowania do bankowości w celu opłacenia towaru.
• Nigdy nie korzystaj z linków do płatności otrzymanych w wiadomościach SMS lub mailach w sytuacji gdy sprzedawca:
  • proponuje, aby zrealizować transakcję poza sklepem w celu rzekomego uniknięcia prowizji lub podatku,
  • domaga się lub prosi o dopłatę (zazwyczaj groszową), która wybawi zapracowanego sprzedawcę z konieczności wyjaśniania wobec swego pracodawcy pomyłki dotyczącej ceny towaru. Takie linki najczęściej prowadzą do fałszywych stron podszywających się pod pośredników płatności lub banki.
• Sprawdź, czy znajdujesz się na prawdziwej stronie agenta rozliczeniowego (czy nazwa domeny jest prawidłowa i ma ważny certyfikat) – w przypadku jakichkolwiek wątpliwości przerwij transakcję i skontaktuj się ze sklepem.
• Sprawdź, czy po wybraniu banku na stronie operatora płatności, zostałeś przekierowany na stronę w domenie aliorbank.pl.
• Dokładnie czytaj treść wiadomości SMS lub komunikatu PUSH przy zatwierdzaniu transakcji.
• Jeżeli otrzymujesz automatyczne połączenie z Banku - dokładnie go wysłuchaj i zweryfikuj czy Lektor opisuje operacje, którą właśnie zlecasz.
• Upewnij się, że zgadza się numer konta, kwota oraz rodzaj składanej dyspozycji – w przypadku zakupów powinien to być przelew, a nie np. założenie szablonu zaufanego.

Przestrzeganie powyższych zasad uchroni Was przed przykrymi niespodziankami związanymi z realizacją planów zakupowych.

Kody QR możesz znaleźć na przykład w komunikacji miejskiej, urzędach, taksówkach, reklamach na przystankach, parkomatach, menu restauracji, ulotkach oraz stronach WWW dostawców usług. Kody QR pozwalają uzyskać dostęp do stron internetowych, sklepów z aplikacjami lub umożliwiają szybkie podłączenie się do sieci Wi-Fi.

Możliwości kodów QR wykorzystywane są także przez przestępców, którzy:

• zamieszczają kody QR na specjalnie przygotowanych materiałach lub
• wklejają lub wstawiają odpowiednio spreparowany kod QR na oficjalnych materiałach prowadzących do źródeł informacji.

Takie działanie nazywamy QRishingiem - jest to forma phishingu, w którym hakerzy wykorzystują kody QR w celu:

• kradzieży informacji (zazwyczaj identyfikatora i hasła lub danych kartowych),
• zainstalowania na urządzeniu złośliwego oprogramowania,
• skierowania odbiorcy kodu QR na niebezpieczną stronę internetową.

Dlaczego QRishing jest niebezpieczny?
 

• kody QR zazwyczaj nie są wykrywane przez systemy antyphishingowe jako niebezpieczne linki zawarte w wiadomościach,
• kody QR mogą być ukryte w innych obrazach lub np. w dokumentach PDF w załączniku,
• kod QR umożliwia szybszą realizację niektórych procedur, a osoba korzystająca z kodu otrzymuje mniej szczegółów dotyczących podejmowanych działań,
• szkolenia z bezpieczeństwa są zwykle nastawione na unikanie klikania w linki więc czynność skanowania kodu QR zazwyczaj nie jest wiązana przez użytkowników z potencjalnym zagrożeniem.

Jak się zabezpieczyć?
 

• kody QR bywają niebezpieczne w różnych sytuacjach, a nie tylko podczas korzystania z usług dostępnych w internecie,
• do wszystkich kodów QR należy podchodzić z ostrożnością – tak jak do zawartego w wiadomości e-mail „skróconego” linku, w którym na pierwszy rzut oka nie widać, dokąd zostaniemy przekierowani,
• wynikiem zeskanowania kodu QR może być przekierowanie na stronę, która jedynie udaje oficjalne źródło informacji,
• skorzystanie ze spreparowanego kodu QR nie zawsze musi być związane z natychmiastową utratą środków pieniężnych – dla przestępców równie cenne są dane podawane przez atakowanych na podstawionych fałszywych stronach,
• wszelkie zachęty w postaci otrzymania korzystnego rabatu na usługę lub gratisu po zeskanowaniu kodu QR i zainstalowaniu aplikacji lub realizacji transakcji na podstawionej stronie www, należy traktować jako przesłankę wskazującą na próbę ataku,
• należy zablokować domyślny dostęp do kamery dla zewnętrznych aplikacji – dostęp do kamery powinien być nadawany wyłącznie w wyniku świadomego działania użytkownika,
• należy uruchamiać kamerę wyłącznie w momencie wykonywania zdjęć – aktywny aparat w miejscach publicznych może sam zaproponować zeskanowanie kodu QR,
• należy aktualizować oprogramowanie zainstalowane na urządzeniu mobilnym – systemowe i zainstalowane aplikacje,
• nie należy realizować płatności na dowolnej platformie oraz podawać danych logowania na stronie, do której dostęp nastąpił za pomocą kodu QR,
• przed skorzystaniem z kodu QR zamieszczonego w przestrzeni publicznej pozornego zaufania (np. urząd, bank, restauracja) sprawdź czy nie został on zasłonięty naklejonym, spreparowanym kodem QR,
• zanim przejdziesz do strony kierującej z kodu QR, sprawdź jaka domena jest wyświetlana w podglądzie – jeśli jest błędna lub wzbudza ona Twoje podejrzenia, nie otwieraj strony.

Co zrobić, gdy zorientujemy się, że padliśmy ofiarą oszustwa?
 

1. Jak najszybciej poinformuj bank, w którym prowadzony jest Twój rachunek bądź karta płatnicza – zadzwoń na numer 19 502.
2. Zgłoś incydent na policji.
3. Ostrzeż innych. Poinformuj bliskich i znajomych – zwłaszcza jeżeli utraciłeś identyfikatory i hasła.