Softwin si BCR au descoperit in dimineata zilei de 18 iulie o tentativa de furt de date personale (phishing) care viza posesorii de carduri ai mai multor banci romanesti. Mesajul primit pe mail parea sa vina din partea BCR. Atacul a fost blocat si se pare ca pana acum nu a facut nici o victima in randul posesorilor de card.
Phishingul implica in general un e-mail trimis aparent de o banca, o companie sau o institutie de stat catre clientii sai, prin care le cere sa intre pe un site pentru a-si reintroduce datele personale (cod numeric personal, card bancar si PIN, conturi de plata online si parolele lor).
Tentativa descoperita de BitDefender, divizia de securitate a datelor din cadrul Softwin, s-a concretizat intr-un mesaj pe email care parea a veni de la BCR. Mesajul incerca sa ii convinga pe utilizatori sa intre pe o pagina de web speciala, unde li se solicita numarul cardului, codul PIN si banca emitenta.
Acest email avertiza potentialul detinator de card ca o anume persoana, cu numele de Bill Chang, cu domiciliul in SUA, a cumparat un telefon mobil in valoare de 470 lei, folosindu-i cardul. Pentru a bloca aceasta tranzactie si a primi banii inapoi, detinatorului de card ii era indicata o adresa de internet (http://150.7.22.97/~shimizu/www.bcr.ro/login/).
Pagina incearca sa fie cat mai convingatoare, afisand logo-urile Visa, Mastercard, BCR si continea un formular prin care posesorul cardului, presupus a fi emis de BCR, Banca Tiriac, Alpha Bank, Banca Comerciala Carpatica, Banca Transilvania, Eurombank, Citibank sau HVB Bank, era rugat sa-si divulge datele personale.
Atac dupa model occidental
Specialistii Laboratorului Antispam BitDefender au ajuns la concluzia ca acest phishing e copia fidela - tradusa in limba romana intr-un mod deficitar - a unui spam ce are ca tinta utilizatorii serviciului de plata online PayPal.
La cateva ore dupa descoperirea facuta de Softwin, site-ul respectiv a fost sters de pe serverele din Japonia, unde era gazduit. Site-ul a fost descoperit pe 18 iulie, dar nu se cunoaste de cat timp era activ.
Pana in prezent, nu exista informatii ca vreuna dintre persoanele care a primit un astfel de mail a intrat pe site si si-a divulgat datele. Corneliu Cojocaru, directorul de comunicare al BCR, afirma ca nu s-a primit inca nici o sesizare in acest sens de la vreun posesor de card al bancii. In plus, Cojocaru precizeaza ca BCR si-a avertizat de mai multe ori clientii despre metodele de furt de date personale si ca acestia ar trebui sa stie ca nici o banca nu apeleaza la emailuri pentru a solicita acest gen de date posesorilor de carduri.
?Credem ca acest email nu va avea un impact foarte mare. Aspectul ingrijorator in aceasta situatie e insa frecventa din ce in ce mai mare a acestui fel de atacuri, indreptate asupra romanilor ce folosesc servicii de online banking. Utilizatorii de internet din Romania nu sunt inca obisnuiti cu acest fenomen, iar un atac mai bine pus la punct si mai credibil ii va convinge probabil pe multi sa isi introduca datele personale?, e de parere Daniel Raduta, Project Manager al Laboratorului Antispam BitDefender.
Tentativa de phishing vine la aproape un an de la primul atac major de acest tip din Romania. Pe 26 iulie 2005, s-a semnalat transmiterea, tot prin intermediul postei electronice, a unui mesaj care pretindea a fi din partea BNR. Infractorii doreau sa profite de campaniile sociale initiate in urma inundatiilor si indemnau pe destinatarii mailul-ului sa doneze online o suma de bani de cel putin 0,50 RON.
Odata ajuns la adresa care imita site-ul BNR, victima era indrumata sa introduca datele cardului sau, inclusiv codul PIN. Pana la blocarea serverului care adapostea site-ul fals, destui utilizatori furnizasera datele de pe cardurile lor, riscand astfel sa ramana fara intreaga suma de pe acestea.
SUA ia masuri de prevenire a furtului de identitate
Tentativele de furt de date personale se inmultesc in Romania si este de asteptat ca atacurile sa se amplifice, urmand tendintele occidentale. Fenomenul este in crestere la nivel mondial, pagubele cauzate ridicandu-se la peste 50 de miliarde de dolari pe an.
Recent, in Statele Unite, agentiile federale de reglementare a institutiilor financiare si Comisia Federala de Comert au elaborat o serie de reglementari privind avertizarile in caz de furt de identitate si schimbarea de adrese.
Conform acestor reglementari, fiecare institutie financiara va trebui sa dezvolte si sa implementeze un program de prevenire a furtului de identitate, care sa includa masuri si proceduri pentru detectarea, prevenirea si diminuarea atacurilor legate de conturile nou deschise sau de cele deja existente. Propunerile includ evaluari si proceduri care ar trebui sa semnaleze un posibil risc de furt de identitate.
De asemenea, reglementarile vor obliga emitentii americani de carduri de debit si de credit sa dezvolte reguli si proceduri de evaluare a validitatii unei cereri de schimbare a adresei, urmata imediat de solicitarea de catre client a unui card aditional sau a inlocuirii celui existent.
Poate ca reglementari asemanatoare elaborate de BNR ar fi necesare si la noi, avand in vedere ca tot mai multe banci romanesti incep sa priveasca internetul ca un canal de distributie. Ar fi o noua masura pro-activa din partea bancii centrale, inainte ca fenomenul de phishing sa se amplifice, iar numarul victimelor sa atinga o masa critica.
Ne puteți urmări și pe pagina noastră de Facebook sau pe Google News
