Nekompromisní řešení bankovní bezpečnosti

V polovině června jsme s mým dědou načali téma bankovní bezpečnosti. Celé to začalo vcelku nevinně, když se mě ptal, co je to vlastně ten malware, jak se o něm všude píše. Bylo po obědě, seděli jsme na lehátkách a pozorovali rej ptactva na zahradě. Začal jsem vysvětlovat, kde je zakopaný pes, útočníci spoléhají na důvěru lidí a někdy nepotřebují ani tu. Internet je prolezlý všemožnou havětí a pokud se objeví nějaká pěkná zranitelnost, tak se není problém nakazit i pouhou návštěvou většího zpravodajského serveru.

“Co ale s tím?”, dostal jsem záludnou otázku. Samozřejmě, není univerzální odpověď. Někde se banky vrhly na prevenci, někde na důsledný monitoring, někde obě varianty kombinují. Kdo by řešení našel, stane se velice úspěšným. Útočníci ale nejsou žádní nazdárkové a také do svého byznysu investují – kupují si lepší stroje, zaměstnávají desítky lidí, cynicky řečeno, jde prostě o podnikání, jako jakékoliv jiné. Kdo zná Terryho Pratchetta a jeho Cech vrahů a zlodějů, pochopí.

Výsledkem naší tehdejší diskuze bylo, že není dobré klikat na podezřelé přílohy, navštěvovat pochybné stránky a pokud nějaká stránka chce zadat údaje, které předtím nechtěla, nebo vypadá trochu jinak, tak to hned hlásit. Vypůjčím si zde heslo z jiné kampaně: Nemyslíš – zaplatíš.

Po několika dnech mi děda večer volal: “Potřeboval bych notebook, relativně malý, ale abych na něj viděl. Výkonný, abych si na něm mohl psát dokumenty a excely a ani nemusí vydržet moc na baterky, ale občas ho budu přenášet.”. Trh s počítači delší dobu nesleduji, takže se ze zdánlivě jednoduchého úkolu stal docela oříšek. Po třech téměř bezesných nocích se mi podařilo najít optimální stroj s rozumnou konstrukcí, výkonem, váhou tak akorát a velkým tak, aby na něj bylo vidět.

“Kup, co uznáš za vhodné”, slyšel jsem v telefonu, když jsem chtěl objednávku potvrdit a naivně jsem čekal úžasné výkřiky, jak skvěle jsem vybral. Vzal jsem platební kartu a odjel do Háje (nikoliv háje, ale asi spíš Hájů, jen to nezní tak dobře), kde jsem v Czechcomputer vyzvedl objednávku. Doma jsem jej důkladně prohlédl (vybral jsem opravdu dobře), připravil počítač dle instrukcí a následující víkend ho předal.

Zní to všechno jako poměrně nevinná historka s plytkým obsahem, nebýt jednoho faktu, který jsem zamlčel. Nejdůležitějším z požadavků, které děda na notebook měl bylo, že má mít zablokovanou jakoukoliv komunikaci ven, mimo jasně definovaných IP adres serverů internetového bankovnictví, má mít odstraněné ovladače na bluetooth i wifi a k internetu ho bude připojovat kabelem jen tehdy, když bude chtít do banky. Do tohoto počítače bude vkládat jen flashky, které se předtím zformátují a nahrají se na ně čisté textové soubory s daty, které je třeba přenést. Celý počítač bude šifrovaný Truecryptem, aby se v případě ztráty nic nestalo. Většinu času bude počítač totálně odpojený od jakéhokoliv vnějšího světa.

Děda to samozřejmě takhle přesně neřekl, ale když své požadavky popisoval, tak jsem měl smíšené pocity. Na jednu stranu jde o zabezpečení na nejvyšší úrovni, na straně druhé má stejně drobné trhlinky. Hlavně co se týká aktualizací, flashek a možnosti únosu spojení do banky. Jde o poměrně nákladné řešení, protože potřebujete k přístupu do banky zvláštní počítač, ale pokud si vezmete větší firmu, která pracuje s miliony korun na svém účtu, vážně by se jí nevyplatilo investovat 10 000 kč do jednoho separátního počítače? Čím víc o tom přemýšlím, tím víc mi to přijde jako dost dobrý nápad, kritici zde samozřejmě mohou namítnout, že se Stuxnet také dostal do izolované sítě. Nicméně principy oddělených sítí fungují v mnoha institucích a případech všude po světě, proč to tedy neaplikovat i na internetové bankovnictví. Mít dva účty, jeden na hraní s omezeným množstvím peněz a přístupem odkudkoliv a pak větší, se spořícím účtem, přístupem k brokerovi, přístupem ke stavebnímu spoření, pojistkám a dalším věcem, které v každodenním životě nepotřebujeme, ale jsou kritické a jejich ztráta by bolela.

Tak co vy na to?

Pozn.aut.: Můj děda je průměrný český důchodce (75+), který má rád elektronické hračky, nejde tedy o žádného mafiána, ač by výše uvedená opaření k podobnému zařazení mohla svádět.

Kauza Karlínská kasárna s využitím veřejných dat

Jedním z prvních kroků nového ministra obrany p. Stropnického bylo zaražení prodeje Karlínských kasárna. Vítězná cena byla 589 500 000 kč, do výběrového řízení se přihlásily tři firmy a rozptyl nejmenší a největší ceny byl osm milionů korun, tj. lehce přes procento. Zvláštní shoda náhod, nebo manipulace s výběrovým řízením?

Zrekapitulujme si situaci – řízení se účastnily tyto firmy:

• Griva Art a.s.
• Castullus s.r.o.
• Netal a.s.

 

Pokud budu citovat ihned.cz, tak:

Tykačová ale sdělila, že společnost Griva Art není s firmou Castullus majetkově, ani jakkoli jinak propojena.

E15 píše:

[Griva Art] Ta je však podle Stropnického majetkově propojena s druhou společností Castullus.Více na: http://zpravy.e15.cz/byznys/reality-a-stavebnictvi/stropnicky-zastavil-prodej-karlinskych-kasaren-tykacove-manzelce-1060437#utm_medium=selfpromo&utm_source=e15&utm_campaign=copylink

Parlamentní listy:

Ministerstvo nabízelo kasárna za minimálně 581 milionů. Griva Art nabídla o zhruba devět milionů víc. Jak zjistil deník Aktuálně.cz, vítěznou firmu zakládala stejná společnost Arta, která je zároveň vlastníkem druhého účastníka soutěže, firmy Natal.

Situace je tedy ve sdělovacích prostředcích docela složitá a není jasné, kdo koho vlastně spoluvlastní či ovládá. Použil jsem vizualizační produkt SVAT (www.nfgsvat.com), který umí použít data z obchodního rejstříku, a načetl všechny zúčastněné firmy. Vyšlo zhruba toto:

Na obrázku je vidět, že v obchodním rejstříku vidíme několik možných vazeb mezi firmami Netal a Griva Art. Jde ale i o historické záznamy, které již nemusí být relevantní. Firma Catullus nemá dle obchodního rejstříku žádnou vazbu na ostatní účastníky. Časovou platnost jsem omezil na data novější než červen 2012.

I zde je pořád vidět určitá vazba mezi firmami. Pokud máme podezření na manipulaci s výběrovým řízením a spojení existovalo v červnu 2012, můžeme se důvodně domnívat, že nějaké vazby stále existují. Toto rozhodně nestačí pro soudní řízení, ale pro první rychlý náhled, jestli má cenu pátrat dále, jsou tato data rozhodně dostatečná. Celé pátrání budou vyšetřovatelům komplikovat akcie vlastněné zahraničními firmami, ale kdo ví, třeba opravdu jde jen o úžasnou náhodu. Ať tak, či tak, výběrové řízení je zrušené a kasárna se zatím prodávat nebudou.

Nakonec se divím ještě jedné věci – jak je možné, že stát obchoduje s firmami, které nemají zveřejněny výsledky hospodaření za poslední roky? Jediná firma Netal tyto informace poctivě zveřejňuje, zbylé dvě se vystavují možnosti postihu.

Nová inovace na poli malware

Nedávno byla zachycena nová verze malwaru ZeuS, který se snaží, jak jinak, vyluxovat přes internetová bankovnictví účty nevinných obětí. Tvůrci přidali opět něco nového, technickými detaily čtenáře nechci obtěžovat, ale přibyla jedna docela zajímavá věc.

Tou je zahrnutí webové stránky Trusteer do míst, z kterých autoři infikují Váš mobilní telefon. Jak to celé funguje, jsem popsal už dříve, ale ve zkratce: Dojde k napadení počítače, ten se stane součástí botnetu a čeká na příkazy “shora”. Útočník poté pošle příkazy, co dál, mj. jaké stránky se mají upravit a jakým způsobem. Poslední výkřik módy je pokus o infikování telefonu, stránky se proto upravují tak, aby donutili uživatele k zadání telefonního čísla. To se přesně děje i v případě Trusteeru, jak ukazují následující screenshoty:

Normální stránka:

Napadený počítač:

Následně už útočníkovi stačí jen nastavit na mobilním zařízení automatické přesměrování SMS a zadá platbu. SMS přijde na jeho telefon, následně převod potvrdí a je vymalováno…

Proč jde o inovaci? Trusteer je jeden z produktů zabezpečení koncového bodu, který se stará o to, aby nedošlo k napadení telefonu. Představte si ale situaci, kdy Vaše banka zavede toto ověření a pošle Vám email s adresou, z které si stáhnete program pro lepší zabezpečení Vašeho telefonu. Jenže Vy už budete mít zavirovaný počítač a do svého telefonu si nevědomky nahrajete vir pro přesměrování ověřovacích SMSek. Tomu říkám ironie…

Co doporučit?

Podívejte se do archivu Google, jak stránka vypadala v nedávné době a pokud se liší, žádné údaje nezadávejte a kontaktujte Vaši banku.

 

Seznam webů napadaných ZeuS 1.1.3.4:

http*://*netbanking.sparkasse.at/hilfe/sicherheit*
https://*banking.berliner-bank.de/trxm*
https://*banking.co.at*
https://*commerzbank.de*
https://*commerzbanking.de*
https://*meine.deutsche-bank.de/trxm/db*
https://*meine.norisbank.de/trxm/noris*
https://banking.postbank.de/rai*
https://banking.sparda.de*
https://finanzportal.fiducia.de*
https://netbanking.sparkasse.at/*
https://netbanking.sparkasse.at/casserver/login*
https://netbanking.sparkasse.at/sPortal/*
https://online-*.unicredit.it/*
https://online.bankaustria.at*
https://*commerzbank.de*
https://*commerzbanking.de*
https://*meine.deutsche-bank.de/trxm/db*
https://*meine.norisbank.de/trxm/noris*
https://www.trusteer.com/ProtectYourMoney*

Zdroj: http://www.xylibox.com/

Jak se nechat snadno okrást

Je čas Vánoc, i vyrazil jsem do města. Koupit dárky, nasát atmosféru, možná něco vyfotit. Vystoupil jsem na Muzeu, minul demonstrující Ukrajince pod koněm a prolezl Luxor. Všude davy lidí, profesionálně deformován jsem se snažil najít nějakého kapsáře, ale bezvýsledně. Z Luxoru jsem pokračoval dále na Můstek a zabočil do Jindřišské, kde je prodejna Levné knihy, kde občas mívají zajímavé tituly.

Asi dvacet metrů před prodejnou mne zastavil zhruba čtyřicetiletý, slušně oblečený občan. Nejsem rasista, nemám předsudky, takže nebudu používat žádné jiné označení. Normální češtinou začal:

“Dobrý den, víte, kde je hlavní nádraží?”.

Všechny moje mozkové buňky byly v pozoru, očima jsem projel okolí, byl sám, co tedy zkusí? Pokýval jsem, že vím. Pokračoval:

“Já jsem přijel vlakem, jsem z Ústí, je mi to strašně trapné, ale byl jsem tu hledat práci. Nevyšlo to a tak mám jen 120 korun, potřebuju…”

V tu chvíli už mi bylo naprosto jasno. Klasický scam žebráka, který si vymyslí srdcervoucí historku. Podobnému jsem dal před cca 3 měsíci na Budějovické. (to byla ale úplně jiná liga, těžká nemoc, bezdomovec abstinent, zanedbaný, ale všechno odvykládal na jeden nádech !). Pousmál jsem se, což ho trochu znervóznilo, ale pokračoval.

“..jen 20 korun, abych se dostal domů.”

Věděl jsem, že v peněžence mám 100,200, několik padesátikorun, ale drobných moc ne. Pořád jsem nebyl rozhodnut, co s ním.

“Jestli chcete, ukážu Vám občanku, abyste mi věřil.”

Tím jsem byl úplně přesvědčen. Je to podvodník, sundávám batoh. Bylo vidět, jak mu došlo, že vyhrál.

“Chtěl bych ale vidět tu občanku, jestli Vám to nevadí.”

“V pořádku”, začal hrabat ve vlněném kabátě.

Mezitím jsem vyhrabal z batohu peněženku a s velkou úlevou zjistil, že skutečně drobné mám, nahrabal jsem cca 20 korun (5 korun v korunách), mrknul na jeho odranou zelenou občanku – seděla fotka i místo trvalého pobytu. Vysypal jsem mu peníze do dlaně, on mi velice slušně popřál krásnou neděli a pěkné svátky a rozešli jsme se.

Šlo o případ jako z učebnice podvodníka. Slušně oblečen, nabídne občanku, nebo vizitku, nepotřebuje nijak velký obnos a je velice slušný. Po pár krocích jsem zalitoval, že jsem na něj nevybalil to, že vím přesně, co dělá, ale zajímaly by mě detaily a zkušenosti, jestli mi je za 100kč prozradí. Bohužel mi to došlo pozdě.

Když jsem nicméně za hodinu procházel Václavské náměstí po druhé straně směrem k Muzeu, zaslechl jsem známý hlas, jak říká: “Děkuji, zachránila jste mě.”

V rychlé chůzi jsem otočil hlavu a v tu chvíli se naše oči potkali, bylo jasné, že oba víme, jak se věci mají. Pán velice rychle zamířil na druhou stranu náměstí, asi si dát chvíli oraz a pak vytipovat novou oběť. Přemýšlel jsem, jestli nemám informovat přilehlý vůz Městské policie, ale pak mi došlo, že jsem si nezapamatoval jméno na OP a tudíž by mé hlášení bylo vcelku k ničemu. Jestli jde o trestný čin-přestupek, je mi také záhadou, protože lidé dávají peníze dobrovolně.

Bohužel je stále obrovské množství lidí, kteří těmto historkám věří, často jde o ty, kteří sami mají hluboko do kapsy. Podvodníci se toho ale vůbec neštítí a za den si tímto způsobem mohou přijít na velice pěkné peníze. Máte osobně také nějaké podobně veselé historky?

U nás se přece nekrade

S finanční krizí, která začala v roce 2008 a stále není jasné, jestli už vlastně skončila, se začaly objevovat v médiích články o obrovském nárůstu interních fraudů. Statistiky ale hovoří jinak – míra páchaných nepravostí se nemění, zůstává prakticky konstantní. Mění se jen způsoby, jakými k nim dochází, a také to, jak moc se o nich píše. Fraudy se nevyhýbají nikomu, finanční instituce nevyjímaje.

Americká organizace ACFE (Association of Certified Fraud Examiners), která sdružuje přes sedmdesát tisíc profesionálů z celého světa, používá pro objasnění příčin podvodného jednání takzvaný fraud triangle. Sestává se ze tří částí – potřeby peněz, příležitosti a racionalizace. Pokud jsou tyto předpoklady splněny, můžeme čekat problémy. Dokážete si představit pokladníka v bance, který je gambler?
I proto firmy stále častěji přistupují k tzv. pre-employee screeningu, kterým důkladněji prověřují kandidáty. Není třeba předložený občanský průkaz neplatný? Opravdu zaměstnanec pracoval na pozici, kterou v životopise uvádí? Když jsem nastupoval před několika lety do firmy, nechtěli po mě vysokoškolský diplom ani výpis z trestního rejstříku. Panovala absolutní důvěra. Stačila jedna špatná zkušenost a vše je jinak. Na trhu jsou ale stále i firmy, které přijmou zaměstnance, který byl před několika lety ze stejné firmy propuštěn pro krádež.
Vezmeme-li si statistiky, kterých na téma fraud najdeme skutečně mnoho, dozvíme se zajímavé informace. Občas v nadsázce říkám, že těmto průzkumům chybí už jen fotografie. Vyjdeme-li z materiálů ACFE a velké čtyřky konzultační firem, dozvíme se, že:

• ročně firmu podvody zaměstnanců stojí pět procent objemu příjmů,
• polovina případů stojí do dvou set tisíc dolarů,
• průměrná doba trvání je jeden až dva roky, dle typu podvodu,
• polovina případů je detekována tipem či náhodou,
• zavedení whistleblowingu výrazně snižuje ztráty.

Následně lze zjistit pravděpodobnost, jakého pohlaví, věku, vzdělání a pozice útočník bude, průzkumy bývají dělány typicky zhruba mezi patnácti sty respondenty z celého světa.
Pesimistická je statistika detekce. Automatizované systémy detekují jen okolo deseti procent případů, interní audit je na tom jen o něco málo lépe. Nejlepším detekčním mechanismem je dlouhodobě všímavý kolega či soused, jemuž neujde nový bazén na zahradě, Porsche 911 v garáži, nebo nové hodinky Breitling.

„Polovina podvodů je detekována tipem či náhodou.“

S jídlem roste hlad a klesá pozornost

Existuje trend, podle kterého se postupně zvyšuje objem zpronevěřených prostředků. Čím déle zpronevěra trvá, tím klesá pozornost a opatrnost. Čím dříve tedy dojde k odhalení, tím lépe. Přirozeně. Ve většině případů si však zasažená společnost může gratulovat, pokud se jí podaří získat zpět víc, než deset procent ztracených prostředků.
Co tedy lze udělat pro změnu atmosféry ve firmě? Normální je přece nekrást. Jedno ze základních doporučení zní poměrně jednoduše: dejte důrazně najevo, že krádež nebudete tolerovat. Mnohé společnosti se bojí poškození pověsti a případy tutlají. Mnohem účinnější je ale důrazné zveřejnění, pronásledování a potrestání viníků. Dalším osvědčeným opatřením je zavedení anonymního oznamovacího kanálu, kterým kdokoli a kdykoli může ohlásit podezření na podvodné jednání. Pojem whistleblowing už není ani v našich končinách neznámý, mimo jiné díky patrně nejznámějšímu českému whistleblowerovi Liboru Michálkovi. Ve světě se dokonce vypisují podíly z uchráněné hodnoty, ale to se v dlouhodobém horizontu ukázalo jako kontraproduktivní.

Detekční systémy

Další cestou ochrany, jak ochránit firmu před fraudem, jsou detekční systémy. Jistě se teď ptáte, proč bychom měli utrácet peníze za IT detekční systém? Vždyť najde jen deset procent případů, a to se přece nevyplatí. Když si ale spočítáte, o kolik jde, pokud se jedná třeba jen o půl procenta ročních tržeb, možná svůj postoj změníte.
Obrovský nárůst výkonu počítačů v posledních letech nabízí dříve netušené možnosti. Kontrolovat, jestli klient v žádosti o úvěr nebydlí na adrese věznice, jestli neplatí kartou na dvou vzdálených místech, jestli zaměstnanec nenahlíží na zůstatky nic netušících klientů, jestli nepracuje, ač má dovolenou, to vše a mnohem více není pro dnešní výkonné počítače problém, vše často v reálném čase. Před několika lety byste na tyto úkoly potřebovali oddělení plné detektivů.
Terminologií ACFE se výše zmíněným příznakům říká red flags, červené vlaječky. Každá může mít jinou váhu a závažnost, přidávají se na hromadu a až dojde k překročení nastavené hranice, začíná šetření. Tyto příznaky bývají důvěrně chráněny, protože pokud je útočník zná, pozbývají účinnosti. Znalý útočník bude vždy bezpečně pod hranicí, která znamená problém. Pokud jsou vlaječky navrhovány lidmi, kteří mají velkou znalost prostředí, vědí, jak věci fungují, pak mají hodně vysokou účinnost a nízkou míru false-positive hlášení.

Profily

Další sofistikovanější způsob je profilování. Sledujete-li činnost člověka dostatečně dlouhou dobu, začne jeho chování vykazovat podobné znaky. Pracuje na stejném místě, chodí na oběd do stejných restaurací ve stejných lokalitách, nakupuje ve stále stejných obchodech a peníze z bankomatů vybírá většinou také tam, kde to dobře zná. Do internetového bankovnictví se hlásí ze svého počítače ve svém bytě ze stejného internetového připojení v podobnou dobu. Stejně jako poznáte člověka podle otisků prstů či psaní na klávesnici, tak ho poznáte podle chování v interních systémech. Výjimky samozřejmě potvrzují pravidlo.
Profilování je proces, během kterého se napočítávají znaky chování v krátkodobém, střednědobém i dlouhodobém horizontu. Pro lepší představu – například kdy zaměstnanec přichází do práce, kolik klientů obsluhuje, s jakými objemy peněz pracuje, jaké počítače nejčastěji používá – všechny tyto údaje není problém v systémech institucí zjistit, a pokud dojde k jejich výrazné změně, může to být podezřelé. Počítáním přes různě dlouhé časové intervaly snižujeme možnost falešného hlášení.

„Stejně jako poznáte člověka podle otisků prstů, poznáte ho také podle chování v interních systémech.“

Umělá inteligence a data mining

Předchozí dvě metody vycházejí z lidských znalostí, pochopení problému. Co když ale máme ke zpracování tolik dat, že není v lidských silách podezřelé vzorce nalézt? Co když chceme najít závislosti mezi akcemi v několika různých nezávislých systémech? Nastává čas využít pokročilejší metody – data mining a umělou inteligenci.
Před aplikací je vždy příprava dat do vhodného formátu, případně jejich čištění a transformace. Počítač si obtížně poradí s výrazem „sobota“, pokud mu ale výraz přeložíme, tak s označením „6“ nemá problém.
Následuje průzkum dat spojený s přípravou modelů pro nasazení do provozu. V dnešní době fungují velice úspěšné modely detekující krádež karty, krádež hesla do internetového bankovnictví či třeba padělaná razítka. Bez pravidelného zásahu odborníků ale tyto modely stárnou, jejich přesnost se zhoršuje, až jsou téměř k ničemu.

Velký bratr?

Celé to nápadně připomíná Velkého bratra. Představte si ale, že máte jen pár vteřin na to, abyste se rozhodli, jestli platbu kartou schválíte, nebo ne. Pokud mlčíte, platba je akceptována, peníze jsou nenávratně pryč. To vědomí, že existuje tajemný systém, který může podvod odhalit dříve, než se od kolegova počítače vrátíte zpět na své místo, mnoho lidí odradí. Navíc pracuje ve dne v noci a nikdy si neodskočí na kávu.
Doba se zrychluje, mezibankovní převody jsou rychlejší, limity v internetových bankovnictvích vyšší. Banky jsou si tohoto rizika vědomi, a proto se snaží bránit a zjistit o klientovi či zaměstnanci co nejvíce, aby pochopili jeho záměr. Poznat zákazníka a zaměstnance je důležité nejen pro nabízení nových produktů, ale i pro detekci podvodů.
Klienti nechtějí složité metody autentizace. Chtějí kliknout, pípnout, zaplatit, odejít. Pokud ale budou okradeni, spolehněte se na to, že budou hlasitě křičet první ve frontě: banko, vrať nám peníze! Jsem jeden z nich a jsem smířen s tím, že banka zná mou oblíbenou pumpu, koloniál, oděvní značku a typ mobilního telefonu. Beru to jako daň za pokrok.

Článek napsán pro časopis IT systems 11/2013.

Elektronická loupež za bílého dne

Přístup do banky z jakéhokoli počítače na světě je pro klienty velkou vymožeností a pro potenciální útočníky ještě větší příležitostí. Banky se ovšem snaží chránit a investují značné finance do svého zabezpečení, takže provést přímý útok není nic snadného. Mnohem jednodušší se jeví zaútočit na nejslabší článek řetězce, na klienty.

Nejprimitivnějším útok představují phishingové e-maily – status úsměvné legendy si získal například ten, který cílil na klienty České spořitelny, s oslovením „Drahoušek Zákazník“. Útočníci ale zapracovali na gramatice a jejich dnešní e-maily už podobné chyby neobsahují. Sofistikovanější jsou útoky prostřednictvím specializovaných kitů, specifické odnože malwaru. Klientův počítač je infikován prostřednictvím prohlížeče, hromadného e-mailu nebo staženého softwaru. Následně se stává součástí botnetu, který útočník řídí jako celek. Kity dokáží změnit podobu webových stránek, takže uživatel nic nepozná.

Po přihlášení do systému malware zjistí, že se klient přihlásil ke svému účtu, a uloží si přihlašovací údaje, jež obratem pošle autorovi útoku. Následně zkontroluje zůstatek na účtu a vygeneruje platbu na útočníkovo konto. Uživateli přijde potvrzující SMS zpráva, protože banka registruje regulérní požadavek. Následně malware vygeneruje okno s vhodným textem, který vyvolá v uživateli dojem, že má přepsat zaslaný kód. V SMS zprávě je sice uvedeno, že posílá xxx Kč na účet yyy, ale přiznejme si to, většina z nás tyto SMS zprávy příliš nezkoumá.

Pokud uživatel kód přepíše, jeho peníze jsou na cestě k útočníkovi. Malware navíc dokáže na webových stránkách upravovat stav účtu, takže běžným pohledem na zůstatky a provedené transakce uživatel nic nepozná.

Existují ovšem ještě chytřejší verze, které uživateli po přihlášení zobrazí žádost o zadání jeho telefonního čísla. Na něj je pak zaslán odkaz na údajnou aktualizaci, která chytrý mobil infikuje. Uživatel je pak pro útočníka naprosto zbytečný, autorizační SMS zprávy si teď přeposílá sám.

Pokud nechceme obtěžovat klienta, pak jsou rozumnou variantou proaktivní detekční mechanismy, tzv. antifraud systémy, které lze zapojit do procesu adaptivní autentizace. Takový systém se skládá ze čtyř pilířů. Prvním jsou statická pravidla – pokud se klient hlásí ze zakázaných IP adres, nedovolí mu provést transakci. Druhým je profil klienta – pokud platí na stejný účet jako každý měsíc a v podobné výši, transakci povolí. Třetím jsou dataminingová zkoumání – segmentace klientů, prediktivní učení atp. A konečně čtvrtý pilíř představuje zkoumání sociálních vazeb mezi klienty.

Článek napsán pro časopis CIO Bussines World 06/2013.

Lze použít údaje ze sociálních sítí jako důkaz?

Minulý týden mi v emailové schránce přistál zajímavý email od mě naprosto neznámé firmy X1Discovery. Byla v něm překvapivá informace, že již 689 soudních případů využilo při vynášení rozsudku dat ze sociálních sítí. Nutno dodat že jde výhradně o rozsudky z USA.

Při průzkumu případů jsem zjistil, že šlo o Facebook (304), Myspace (315), Linkedin (39)  a Twitter (30). Každý je tak trochu exhibicionista a občas se tak na sociální síti pochlubí i tím, čím by neměl. V USA soudy odmítají využít pouze screenshotů ze sociálních sítí, celkem logicky poukazují na možnost manipulace s tímto typem důkazů. Proto soudy vyžadují přístup přímo k účtům dotyčných, případně doplnění informací o další metadata, jako jsou identifikační čísla záznamů, datum vytvoření, případně datumy dalších změn a další. Jak je to s možností použít tyto důkazy v našich končinách?

Na Slovensku provedla drobnou analýzu právní kancelář Abelovský & Šulva. Z ní vyplývá, že i Slovenské soudy se v poslední době setkávají se sociálními sítěmi a používají je jako podklad pro rozhodnutí, z rozboru ale nepřímo vyplývá, že soudům stačí k rozhodnutí skutečně screenshot ze systému.

Odkazovány jsou i tři české případy, ve kterém hrály roli zprávy přes Facebook a v posledním případě dokonce i pouhé přátelství. To mělo sloužit jako důkaz zaujatosti soudu. Odvolací soud konstatoval, že přátelství na sítí Facebook může být samo o sobě důvodem pro vyloučení příslušného soudce z projednání věci podle § 30 odst. 1 tr. ř.

Sociální sítě tedy jednoznačně mohou sloužit jako důkaz, zbývá vyřešit otázku možného zneužití. Přihlásit se někomu na účet a poslat škodlivou zprávu nemusí být tak velký problém. Je ale nutné říct, že zatím byly důkazy ze sociálních sítí vždy jen jedny z mnoha předkládaných. Tyto skutečnosti jsou pro mě odpovědí na otázku, zda má význam sbírat data ze sociálních sítí pro prevenci a vyšetřování fraudů. Už mi zbývá jen odpověď na otázku, jak tato data efektivně a levně uchovávat a vyhodnocovat. Že by byl řešením v poslední době často omílaný koncept Big data?