Înșelăciune electronică

În domeniul securității calculatoarelor, înșelăciunea (denumită în engleză phishing, pronunțat /'fi-șin/) reprezintă o formă de activitate infracțională care constă în obținerea unor date confidențiale, cum ar fi date de acces pentru aplicații de tip bancar, aplicații de comerț electronic (ca eBay sau PayPal) sau informații referitoare la carduri de credit, folosind tehnici de manipulare a datelor identității unei persoane sau a unei instituții.

O înșelăciune electronică constă, în mod obișnuit, în trimiterea de către atacator a unui mesaj electronic, folosind programe de mesagerie instantanee sau telefon, în care utilizatorul este sfătuit să-și dea datele confidențiale pentru a câștiga anumite premii, sau este informat că acestea sunt necesare datorită unor erori tehnice care au dus la pierderea datelor originale. În mesajul electronic este indicată de obicei și o adresă de web care conține o clonă a sitului web al instituției financiare sau de trading. Majoritatea phisherilor folosesc această metodă pentru a obține date bancare.

Grupul de lucru antiînșelăciune (APWG), o organizație creată de către forțele de apărare a legii și organizații comerciale, raportează o creștere permanentă a acestui tip de atacuri.

Răspândire

Conform unui raport din 2008 al companiei Symantec, furnizor de soluții de securitate, cele mai multe situri înșelătoare sunt conduse din China, Statele Unite și România (România adună 5% din total)..

Metode de combatere a înșelăciunilor

• Modalități sociale.

O modalitate de combatere constă în explicarea și școlarizarea utilizatorilor cum să reacționeze la astfel de atacuri. O altă măsură eficientă constă în verificarea autenticității mesajului electronic direct cu persoana sau instituția comercială sau financiară în cauză.

• Modalități tehnice

Folosirea unui soft contra înșelăciunilor. Noile versiuni ale browserelor Microsoft Internet Explorer și Mozilla Firefox includ deja module de anti-înșelăciune.

• Metode de tip juridic și legal

Crearea unui cadru legislativ care să incrimineze înșelăciunea electronică.

Exemplu real de atac

• Iată un text trimis ca e-mail, ca și când ar veni din partea Raiffeisen Bank România:

Stimate Client,

Raiffeisen Online este cu tine oriunde te duci, myBanking este propriul tau ghiseu bancar pe telefonul mobil. Fara vizite la banca, fara apeluri telefonice.
Disponibilitatea myBanking este accesibil oriunde in raza de acoperire Vodafone , Orange sau Cosmote, chiar si in roaming. Castigi zilnic 250 RON zilnic prin activarea serviciului myBanking.
Daca deja ai activat serviciul myBanking te rugam sa completezi formularul si sa selectati "Folosesc myBanking".
Dupa completarea corecta a formularului atasat in maxim 24 de ore vei primi un sms de confirmare a activari iar in maxim 48 de ore suma de 250 RON va fi debitata pe cardul dumneavostra Raiffeisen.

Atasat ai formularul de activare.

Cu stima, © Raiffeisen Bank Reusim Impreuna.

NOTĂ:

• Formularul atașat e-mail-ului cere date ce permit golirea contului înainte de a trece cele 24 de ore impuse pentru confirmarea presupusei "activări".
• Furnizorul de servicii internet a atașat următorul comentariu:

This message has been processed by Symantec's AntiVirus Technology.

Formular Activare myBanking.html was infected with the malicious virus Infostealer and has been deleted because the file cannot be cleaned.

• Alt exemplu, care imită pagina oficială a Bancpost:

Actualizarea Informatiilor si Documentelor privind Datele de Identificare ale clentilor se apropie de sfarsit.

Bancpost isi anunta clientii ca in prezent deruleaza o campanie de actualizare si completare a datelor de identificare ale acestora.

Aceasta actiune este in conformitate cu Legea nr. 675/2002 cu modificarile si completarile ulterioare si cu Regulamentul Bancii Nationale a Romaniei nr. 9/2008 privind cunoasterea clientelei in scopul prevenirii spalarii banilor si finantarii terorismului, cu modificarile ulterioare.

Termenul legal pana la care actiunea de actualizare si completare a datelor trebuie finalizata pana la 3 aprilie 2010. Incepand cu aceasta data, accesul clientilor la conturile proprii va fi restrictionat pana cand acestia vor da curs solicitarii de furnizare / actualizare a datelor personale.

Tot ce trebuie sa faceti este simplu click pe linkul de mai jos pentru actualizare si completarea datelor :

http://www.exempludeînșelăciune.ro

Bancpost multumeste anticipat tuturor clientilor pentru sprijinul acordat in finalizarea acestei actiuni si pentru a evita inconvenientele legate de posibila limitare a accesului la conturile clientului, ii invita sa-si actualizeze datele persoanele cat mai curand posibil dar nu mai tarziu de 03.04.2010.

Toate drepturile rezervate © Bancpost 2006.

Vezi și

• Social Engineering (security)
• Pharming
• Grupul de lucru antiînșelăciune (APWG)

Legături externe

• RoCSIRT
• CERT-DRT România
• Grupul de lucru antiînșelăciune
• The Open Phishing Database Project
• NGS Software phishing whitepaper