Poradnik klienta usług finansowych

Mateusz Górnisiewicz, Radosław Obczyński, Mariusz Pstruś

BEZPIECZEŃSTWO FINANSOWE W BANKOWOŚCI ELEKTRONICZNEJ – PRZESTĘPSTWA FINANSOWE ZWIĄZANE Z BANKOWOŚCIĄ ELEKTRONICZNĄ

Warszawa 2014 – wydanie papierowe

Warszawa 2014 – wydanie elektroniczne

Publikacja została wydana nakładem Komisji Nadzoru Finansowego

© Komisja Nadzoru Finansowego
Pl. Powstańców Warszawy 1 
00-030 Warszawa
www.knf.gov.pl

Warszawa 2014
Wydanie I

ISBN ePUB: 978-83-63380-13-7
ISBN Mobi: 978-83-63380-19-9

Stan prawny na dzień: 15 lipca 2014 r.

Skład wersji elektronicznych
INPINGO SA

Niniejsza publikacja wydana została w celach edukacyjnych w ramach projektu CEDUR. Informacje w niej zawarte mają wyłącznie charakter ogólny i nie stanowią porady inwestycyjnej.

Urząd Komisji Nadzoru Finansowego nie ponosi odpowiedzialności za wszelkie decyzje inwestycyjne, podjęte przez czytelnika na podstawie zawartych w niniejszej publikacji informacji.

SPIS TREŚCI

WSTĘP

SŁOWNIK POJĘĆ

CZĘŚĆ PRAKTYCZNA – ZASADY BEZPIECZNEGO KORZYSTANIA Z BANKOWOŚCI ELEKTRONICZNEJ

1. CO ZAGRAŻA NASZEMU BEZPIECZEŃSTWU W BANKOWOŚCI ELEKTRONICZNEJ I JAK SIĘ PRZED TYM BRONIĆ?

1.1 Wyłudzenia danych pozwalających na przeprowadzenie transakcji

1.2 Kradzieże z wykorzystaniem złośliwego oprogramowania

1.3 Kopiowanie kart płatniczych

1.4 Kradzieże związane z kartami zbliżeniowymi

1.5 Kradzieże przy użyciu danych karty płatniczej

1.6 Zagrożenia dotyczące płatności mobilnych

1.7 Kradzieże tożsamości

1.8 „Oszustwa nigeryjskie”

1.9 Kradzieże w sklepach internetowych

1.10 Co zrobić, gdy pieniądze znikną z rachunku bankowego w wyniku przestępstwa?

2. PODSTAWOWE ZASADY ZAPEWNIENIA BEZPIECZEŃSTWA FINANSOWEGO W BANKOWOŚCI ELEKTRONICZNEJ

2.1 Poufność

2.2 Spokój

2.3 Zdrowy rozsądek

2.4 Wiedza

CZĘŚĆ TEORETYCZNA – ZAGADNIENIA PRAWNE

3. PRZESTĘPCZOŚĆ W BANKOWOŚCI ELEKTRONICZNEJ – ZAGADNIENIA OGÓLNE

3.1 Zakres definicyjny przestępstw związanych z bankowością elektroniczną

3.2 Przestępstwa związane z bankowością elektroniczną w polskim systemie prawnym

4. PRZESTĘPSTWA ZWIĄZANE Z BANKOWOŚCIĄ ELEKTRONICZNĄ

4.1 Charakterystyka poszczególnych typów przestępstw

4.1.1 Formy działania przestępczego

4.1.2 Kierunki pozyskiwania dowodów w postępowaniach w sprawach karnych dotyczących przestępstw w bankowości elektronicznej

CZĘŚĆ PRAKTYCZNA – ZASADY BEZPIECZNEGO KORZYSTANIA Z BANKOWOŚCI ELEKTRONICZNEJ

1. CO ZAGRAŻA NASZEMU BEZPIECZEŃSTWU W BANKOWOŚCI ELEKTRONICZNEJ I JAK SIĘ PRZED TYM BRONIĆ?

1.1 WYŁUDZENIA DANYCH POZWALAJĄCYCH NA PRZEPROWADZENIE TRANSAKCJI

Przykład

Po ciężkim dniu spędzonym w pracy zmęczony Pan Robert w końcu wsiadł do samochodu i ruszył w kierunku domu. Nagle usłyszał dzwonek telefonicznego zestawu głośnomówiącego.

– Dzień dobry Panie Robercie. Dzwonię z pańskiego banku w związku z realizowanym przez nas projektem, którego celem jest znaczące podniesienie poziomu bezpieczeństwa naszych klientów oraz deponowanych przez nich środków pieniężnych. W celu potwierdzenia pańskiej tożsamości, uprzejmie proszę podać swój login do bankowości internetowej.

– Bardzo proszę: robkow123.

– Dziękuję. Proszę jeszcze podać pierwsze sześć znaków pańskiego hasła.

– „L”, „u”, „b”, „i”, „e”, „K”.

– Niestety, coś się nie zgadza. Proszę w takim razie podać sześć ostatnich znaków.

– Przepraszam, musiałem coś pomylić. Ostatnie sześć znaków to: „i”, „e”, „K”, „o”, „t”, „y”.

– Dziękuję, już wszystko się zgadza. Jednym z elementów naszego projektu jest przeniesienie funkcji potwierdzeń SMS na nowoczesne, superbezpieczne serwery. W związku z tym, w celu przełączenia pańskiego konta na nowy serwer, za chwilę prześlemy panu SMS testowy. Proszę sprawdzić, czy tytuł przelewu testowego w SMSie to „SMS testowy – bezpieczne transakcje”.

– Tak, zgadza się.

– Czy kwota operacji to 10 000 PLN?

– Tak.

– Doskonale, wygląda na to, że wszystko działa poprawnie. już tylko jeden krok dzieli pana od pełnego zabezpieczenia pańskiego konta. W celu ostatecznej weryfikacji, proszę jeszcze tylko o podanie ośmiocyfrowego kodu zawartego w SMSie.

– Proszę bardzo: 01021418.

– Dziękuję, operacja przebiegła poprawnie. Teraz może pan spać spokojnie. Jeszcze raz dziękuję za współpracę i życzę miłego wieczoru.

Nastrój Pana Roberta bardzo się poprawił. W końcu to miło, że jego bank sam z siebie dba o wzmacnianie poziomu bezpieczeństwa jego pieniędzy. Po powrocie do domu postanowił jeszcze sprawdzić, czy w związku z „przełączeniem jego konta na nowy serwer” uległ zmianie wygląd serwisu jego bankowości internetowej. Po zalogowaniu okazało się jednak, że jedyne, co uległo zmianie, to stan jego konta – zostało ono bowiem uszczuplone o 10 000 złotych.

Zapamiętaj!

Żaden bank nigdy, pod żadnym pozorem nie prosi o podawanie żadnych danych logowania do bankowości internetowej (loginów, haseł, kodów jednorazowych z kart-zdrapek ani przesyłanych SMSem itp.), czy to telefonicznie, czy poprzez pocztę elektroniczną, czy w jakikolwiek inny sposób – poza serwisem internetowym bankowości elektronicznej i udostępnianymi przez banki aplikacjami (np. instalowanymi na telefonach komórkowych).

Jest to podstawowa zasada bezpieczeństwa korzystania z bankowości internetowej, o której zawsze należy pamiętać. O ile bowiem opisana powyżej historia Pana Roberta może wydawać się stosunkowo naiwna, o tyle przestępcy potrafią wymyślać bardzo zróżnicowane i wyrafinowane metody wyłudzania tego rodzaju danych. Niekiedy są to np. wiadomości e-mail (również rzekomo przesyłane przez bank), w których potencjalne ofiary proszone są o wprowadzenie kilkudziesięciu kodów jednorazowych z kart-zdrapek. Innym sposobem często wykorzystywanym przez przestępców jest przesyłanie w wiadomościach e-mail linków rzekomo prowadzących do serwisów bankowości internetowej, a w praktyce będących stronami internetowymi na serwerach przestępców, które zwykle do złudzenia przypominają te serwisy.

„Sposobem często wykorzystywanym przez przestępców jest przesyłanie w wiadomościach e-mail linków rzekomo prowadzących do serwisów bankowości internetowej, a w praktyce będących stronami internetowymi na serwerach przestępców, które zwykle do złudzenia przypominają te serwisy.”

Użytkownik wprowadzając na takiej stronie swoje dane logowania oraz dane autoryzacyjne płatności w praktyce przekazuje je przestępcom. Taki rodzaj przestępczej działalności często nazywany jest phishingiem. Warto tu również zwrócić uwagę, że w celu zwiększenia skuteczności tego rodzaju działań przestępcy często stosują różnorodne metody manipulacji (co jest niekiedy nazywane socjotechniką lub inzynierią społeczną), takie jak informowanie ofiar o „jedynej, niepowtarzalnej okazji”, która za chwilę ucieknie ofierze „sprzed nosa”, czy też opisywanie swoich przestępczych działań jako nakierowanych właśnie na rzekome zwiększenie bezpieczeństwa ofiary.

Zapamiętaj!

W celu zabezpieczenia się przed wyłudzeniem danych pozwalających na przeprowadzenie transakcji bankowości internetowej, należy bezwzględnie przestrzegać następujących zasad:

nigdy, pod żadnym pozorem nie należy podawać żadnych danych logowania do bankowości internetowej (loginów, haseł, kodów jednorazowych z kart-zdrapek ani przesyłanych SMSem itp.) w żadnym innym miejscu niż strona internetowa banku prowadzącego dany rachunek lub w udostępnianej przez niego aplikacji (np. instalowanej na telefonie),

wejście do serwisu bankowości internetowej powinno zawsze odbywać się poprzez wprowadzenie jego adresu w pasku przeglądarki – nie należy korzystać w tym zakresie z wyszukiwarek internetowych ani – w szczególności – z linków przesyłanych w otrzymanych wiadomościach e-mail,

przed zalogowaniem do serwisu bankowości internetowej zawsze należy sprawdzić, czy połączenie jest szyfrowane, tj. czy przed adresem strony znajduje się przedrostek „https://” (a nie „http://”), a obok niego widnieje symbol kłódki; dodatkowo należy kliknąć we wspomniany symbol kłódki i sprawdzić, czy nie pojawia się informacja o błędnym certyfikacie klucza publicznego.