Cyberprzestrzeń zmienia się na naszych oczach – uczymy się coraz lepiej radzić sobie z zagrożeniami online, a jednocześnie oszuści doskonalą swoje metody ataków; pewne zjawiska występują rzadziej, a na ich miejsce pojawiają się nowe. Jedno się nie zmienia: musimy stale mieć się na baczności, logując się do banku, otwierając skrzynkę mailową czy robiąc zakupy w sieci.

O czym pamiętać, na co zwracać uwagę, co robić, a czego unikać? Odpowiedzi znajdziecie w naszym bezpłatnym poradniku „ABC cyberbezpieczeństwa”, dostępnym do pobrania na OSE IT Szkole. Jako że od jego wydania w sieci sporo się zmieniło, postanowiliśmy uaktualnić treści w publikacji – niektóre definicje uzupełnić, niektóre usunąć, a jeszcze inne dodać. Zaczniemy ponownie od aktualności, a na koniec uporządkujemy hasła alfabetycznie, ułożymy wszystkie w całość i oddamy w Wasze ręce drugie wydanie poradnika: „ABC cyberbezpieczeństwa 2.0”. Na pierwszy ogień cztery hasła – dowiedzcie się więcej o bankowości internetowej, kluczu U2F, ochronie urządzeń mobilnych i socjotechnice. Kolejne już za dwa tygodnie!

Bankowość internetowa

Razem z wieloma innymi dziedzinami życia do internetu przeniosło się też zarządzanie naszymi finansami. Nie musicie już iść do banku, by wpłacić pieniądze na rachunek czy zrobić przelew, nie czekacie na papierowy wyciąg z konta – kontrolę nad swoimi środkami możecie mieć 24 godziny na dobę dzięki bankowości internetowej. Na czym to polega?

Dzięki bankowości internetowej macie dostęp do usług bankowych za pośrednictwem sieci, a dokładnie strony Waszego banku. Po zalogowaniu, czyli podaniu loginu i hasła, macie dostęp nie tylko do historii transakcji czy ustawień swojego konta, ale też możecie robić przelewy, płacić rachunki, ustawiać zlecenia stałe itp. To samo – i jeszcze więcej – umożliwia bankowość mobilna, z której skorzystacie dzięki aplikacji na swoim smartfonie. W apce macie szerszy wachlarz dostępnych płatności, np. zapłacicie tu BLIK-iem (o BLIK-u więcej powiemy już w kolejnej aktualności z cyklu) czy uwierzytelnicie transakcje. Takie aplikacje są intuicyjne i łatwe w obsłudze, nie musicie się ich bać!

Choć korzystanie z bankowości internetowej i/lub mobilnej jest wygodne i przyjemne, pamiętajcie o podstawowych zasadach bezpieczeństwa. Dzięki temu unikniecie przykrych sytuacji, gdy oszust próbuje wyłudzić Wasze dane osobowe lub pożyczkę na Wasze nazwisko. Jak się przed tym zabezpieczyć?

• Używajcie silnych haseł albo zabezpieczeń biometrycznych.
• Ustawcie uwierzytelnianie dwuskładnikowe, dzięki czemu będziecie mieć pewność, że tylko Wy macie dostęp do Waszego konta.
• Ustalcie niewielkie dzienne limity transakcji, które uniemożliwią złodziejowi przelanie dużych kwot naraz. Jeśli planujecie większe zakupy, takie limity można szybko zmienić na wyższe!
• Ustawcie w aplikacji bankowej powiadomienia o każdej transakcji – wtedy od razu zauważycie podejrzany ruch na koncie. W takiej sytuacji od razu skontaktujcie się z bankiem.
• Weryfikujcie e-maile i SMS-y od banku, nawet jeśli na pierwszy rzut oka wydaje Wam się, że są prawdziwe. Wiadomości, w których ktoś prosi Was o szybkie działanie czy podanie danych osobowych, mogą świadczyć o phishingu!
• Zwracajcie też uwagę na rzekomych konsultantów bankowych, którzy informują Was telefonicznie o dziwnej transakcji lub braku dostępu do konta. W takich przypadkach rozłączcie się i zadzwońcie na infolinię banku, żeby potwierdzić tożsamość Waszego rozmówcy (coraz częściej możecie zrobić to też w aplikacji). Pamiętajcie: dzwoniący do Was konsultant nie powinien prosić o podawanie danych osobowych – z założenia wie, do kogo dzwoni i nie musi tego weryfikować. Podawania danych będą wymagać tylko fałszywi konsultanci.
• Na bieżąco śledźcie ostrzeżenia przed oszustwami publikowane w mediach społecznościowych i komunikatach na stronie Waszego banku oraz CERT Polska.
• Zanim dokonacie płatności w internecie (o bezpiecznych płatnościach więcej napiszemy już niebawem), postarajcie się sprawdzić, czy strona, na której się znajdujecie, jest prawdziwa, a domena w pasku adresu jest poprawna, np. nie zawiera literówek.
• Pamiętajcie też o podstawowych zasadach cyberhigieny: używajcie programu antywirusowego i aktualizujcie go na bieżąco (bez obaw korzystajcie też z wbudowanych antywirusów, które aktualizują się automatycznie!). Nie podawajcie nikomu swoich danych dostępowych do bankowości internetowej, uważajcie na szkodliwe oprogramowanie, które możecie pobrać np. jako załącznik do nieoczekiwanego maila.

Szczegółowych informacji o bezpieczeństwie bankowości internetowej szukajcie na stronie CERT Polska w zakładce Kompleksowo o hasłach i w naszych aktualnościach: „Bezpieczni w sieci z OSE: BLIK i płatności internetowe” oraz „Bezpieczni w sieci z OSE na wakacje: bankowość mobilna”.

Klucz U2F

Większość z nas spędza w sieci dużo czasu i niestety nie zawsze pamiętamy o właściwej ochronie swoich danych dostępowych do różnego rodzaju kont: pocztowych, bankowości internetowej i innych. Często silne hasło może nie być wystarczające – potrzebne jest jeszcze logowanie dwuskładnikowe, czyli wprowadzenie drugiej warstwy uwierzytelniającej. Takim drugim składnikiem może być np. kod z SMS-a lub specjalnej aplikacji w telefonie, odcisk palca lub klucz U2F (ang. Universal 2nd Factor).

To niewielkie urządzenie – rozmiarem i wyglądem przypominające pendrive lub mały brelok – gwarantuje bezpieczeństwo podczas logowania do wspomnianych wyżej kont i innych usług online. Jego działanie jest bardzo proste: po wpisaniu loginu i hasła wystarczy zweryfikować stronę i potwierdzić logowanie za pomocą klucza, który należy umieścić w porcie USB lub przybliżyć do urządzenia (łącząc się poprzez NFC, ang. Near Field Communication – komunikacja bliskiego zasięgu). Mówiąc najprościej, klucz U2F potwierdzi Waszą tożsamość, a także sprawdzi, czy strona, na której się znajdujecie, jest tą, na którą chcecie się zalogować. Jeśli znajdziecie się na fałszywej stronie, natychmiast otrzymacie powiadomienie.

Fizyczny klucz sprzętowy, podobnie jak inne dodatkowe składniki uwierzytelniania dwuetapowego, spełnia bardzo ważną funkcję: uniemożliwia logowanie do serwisów i kont, nawet jeśli oszust uzyska dostęp do Waszego loginu i hasła. Z klucza U2F możecie korzystać w wielu różnych serwisach, aplikacjach czy platformach. Ich jedyną wadą jest konieczność posiadania urządzenia w momencie logowania, tak więc jeśli zdecydujecie się na takie zabezpieczenie swoich kont, powinniście nosić klucz U2F zawsze przy sobie.

Musicie wiedzieć, że klucz nie chroni przed działaniem złośliwego oprogramowania, które może zyskać dostęp do Waszych danych, dlatego po raz kolejny okazuje się, że jednym z najważniejszych elementów tarczy ochronnej w internecie jest przestrzeganie podstawowych zasad cyberhigieny.

Ochrona urządzeń mobilnych

Urządzenia mobilne – smartfony, laptopy, tablety – to nieodłączni towarzysze naszej codzienności, zapewne i dla Was stały się one minicentrami zarządzania Waszymi aktywnościami w sieci. Czy na pewno wiecie, jak z nich bezpiecznie korzystać?

Zacznijcie od blokady ekranu nieużywanego urządzenia, tak aby za każdym razem, gdy weźmiecie telefon do ręki, trzeba było wpisać PIN, narysować wzór, użyć odcisku palca lub innego zabezpieczenia biometrycznego. Wybierając hasło, unikajcie przewidywalnych kombinacji (np. 1234, 1111, 1010) ani kojarzących się z Wami ciągów cyfr (np. daty urodzin).

Pamiętajcie, że blokada ekranu nie chroni w pełni przed niepowołanym dostępem do danych zgromadzonych na smartfonie czy tablecie. Dobrym rozwiązaniem jest więc szyfrowanie urządzeń mobilnych (dostępne w ustawieniach) i włączenie opcji umożliwiającej zdalne zarządzanie sprzętem w przypadku jego utraty (np. kradzieży). Gdy zaszyfrujecie swój telefon, złodziej nie będzie mógł dostać się do pamięci urządzenia, Wasze dane będą zatem bezpieczne. Z kolei zdalnie zarządzając swoim urządzeniem, możecie nie tylko zablokować do niego dostęp czy wyczyścić całą pamięć, ale też namierzyć jego lokalizację.

Na bezpieczeństwo Waszych mobilnych sprzętów wpływa także przestrzeganie prostych zasad, które w połączeniu z Waszymi świadomymi działaniami zdecydowanie utrudnia cyberprzestępcom dostęp do urządzeń.

1. Korzystajcie z aktualnych wersji systemu operacyjnego i aplikacji. Włączcie więc na swoich urządzeniach automatyczne aktualizacje, które łatają zauważone przez producentów luki w oprogramowaniu i zmniejszają podatność telefonów czy tabletów na cyberataki.
2. Pobierajcie oprogramowanie tylko z zaufanych źródeł sklepów z apkami (Google Play dla urządzeń z systemem Android, App Store – z systemem iOS) lub ze stron producenta.
3. Ograniczcie uprawnienia aplikacji, zwłaszcza te dotyczące dostępu do listy kontaktów czy danych dotyczących lokalizacji. Nie wszystkie apki wykorzystują takie informacje (bo np. nie potrzebują zdjęć z galerii do prawidłowego funkcjonowania). Sprawdzajcie opisy apek w sklepach – tam znajdziecie wszystkie informacje o tym, jakie Wasze dane i w jaki sposób będzie wykorzystywała dana aplikacja. Często dostęp do np. lokalizacji czy zdjęć można limitować, tj. udostępniać lokalizację tylko raz albo tylko podczas korzystania z aplikacji. Uważajcie na aplikacje, do których nie można mieć pełnego zaufania!    
4. Upewnijcie się, że poufne powiadomienia, np. kody weryfikacyjne, nie pojawiają się na ekranie zablokowanego sprzętu.
5. We wszystkich serwisach i aplikacjach wymagających zalogowania ustawiajcie unikalne, łatwe do zapamiętania, ale trudne do złamania hasło. Najlepiej, jeśli składa się ono z co najmniej 14 znaków i jest zmodyfikowaną, kilkuwyrazową frazą. Korzystajcie też z menedżerów haseł, które pomogą je zapamiętać , a także z uwierzytelniania dwuskładnikowego, które zdecydowanie pozytywnie wpłynie na Wasze cyfrowe bezpieczeństwo.

Więcej porad znajdziecie w naszych aktualnościach: „Bezpieczni w sieci z OSE: aplikacje mobilne”, „Bezpieczni w sieci z OSE: bezpieczne logowanie”, „Dzień Bezpiecznego Komputera: zadbaj o swój sprzęt”, „Bezpieczni w sieci z OSE: bezpieczeństwo urządzeń mobilnych”.

Socjotechnika

Myśląc o cyberprzestępcach czy oszustach internetowych, najczęściej wiążemy ich z zaawansowanymi narzędziami czy nowoczesnymi technologiami, które pomagają im wykradać nasze dane czy pieniądze. Warto jednak wiedzieć, że zamiast kosztownych środków najczęściej wykorzystują nasze… emocje.

U podstaw wielu działań cyberprzestępców leży socjotechnika, czyli różne sposoby wywierania wpływu, np. przy użyciu perswazji, manipulacji, zastraszania, szantażu. Okazuje się bowiem, że najłatwiejszą metodą kradzieży informacji czy zainfekowania urządzenia złośliwym oprogramowaniem jest nakłonienie nas do udostępnienia swoich danych, kliknięcia w link niewiadomego pochodzenia czy ściągnięcia np. niebezpiecznej aplikacji.

Najpopularniejszą i niezwykle skuteczną formą ataku z wykorzystaniem socjotechniki jest phishing. Na czym polega? Oszust próbuje podszywać się pod znaną osobę, markę lub instytucję, starając się namówić do wykonania określonej czynności – kliknięcia w link, pobrania załącznika czy aplikacji, dokonania pozornie drobnej wpłaty czy podania swoich danych logowania. Wysyła w tym celu ponaglające maile, SMS-y z prośbą o dopłatę do paczki, możecie spotkać się też z sytuacjami, w których rzekomy pracownik banku telefonicznie informuje nas o dużym ruchu na koncie lub prosi o potwierdzenie tożsamości. Cyberprzestępcy liczą na to, że zareagujecie w pośpiechu, nie przyglądając się treści wiadomości i nie próbując jej zweryfikować. Gdy wykonacie jego żądanie, możecie spodziewać się dotkliwych konsekwencji: być może oszust przechwyci i wykorzysta Wasze dane osobowe, loginy i hasła, włamie się na konto bankowe lub skłoni Was do zainstalowania złośliwego oprogramowania na smartfonie czy laptopie.

Cyberataki z wykorzystaniem socjotechnik są poważnym zagrożeniem bezpieczeństwa w internecie, dlatego warto wiedzieć, jak się przed nimi chronić. Co najważniejsze: włączyć myślenie i zachowywać zimną krew. W każdej sytuacji, która wydaje się podejrzana, warto też zweryfikować rozmówcę lub nadawcę wiadomości, a przede wszystkim – nie reagować na jego ponaglenia.

Aby zmusić ofiary do osiągnięcia swoich celów, oszuści próbują wzbudzać w nich cały wachlarz emocji – od strachu i onieśmielenia, aż po ciekawość i podekscytowanie. Na każdą propozycję, która jest zbyt piękna, by mogła być prawdziwa, zawsze starajcie się więc spoglądać możliwie chłodno. Uważajcie na groźby, próby wyłudzenia poufnych informacji i podejrzane wiadomości rzekomo pochodzące od znajomych.

Koniecznie przesyłajcie podejrzane wiadomości SMS na numer 8080, używając funkcji „przekaż” albo „udostępnij”. Inne próby wyłudzenia danych zgłaszajcie za pośrednictwem formularza internetowego dostępnego na stronie CERT Polska.

Więcej o atakach socjotechnicznych i phishingu znajdziecie w naszych aktualnościach: „Bezpieczni w sieci z OSE: internetowi oszuści i socjotechnika”, „Bezpieczni w sieci z OSE: phishing” i „Europejski Miesiąc Cyberbezpieczeństwa z OSE: phishing”.