Mobilne musi być bezpieczne

Do skutecznej walki z cyberprzestępcami potrzebne jest współdziałanie wszystkich podmiotów biorących udział w systemie płatniczym, współpraca z telekomami oraz edukowanie klientów. Takie są wnioski z debaty „Bezpieczeństwo płatności bezgotówkowych" zorganizowanej przez redakcję „Rz" .

Przestępcy coraz bardziej profesjonalni

– Cała sfera cyberprzestępczości się sprofesjonalizowała i już nie mamy do czynienia z licealistami, którzy bawią się, testując jakieś zabezpieczenia, ale ze zorganizowaną przestępczością oraz rynkiem, usługami wewnętrznymi i bardzo wąską specjalizacją. Dlatego trzeba reagować na te zjawiska adekwatnymi metodami – mówi Jakub Bojanowski, partner w firmie Deloitte. Podkreśla, że w takiej sytuacji pojedyncze instytucje – banki czy firmy telekomunikacyjne – nie mają możliwości samodzielnej walki z tymi zjawiskami. Trzeba działać wspólnie, a pod tym względem nie jest najlepiej.

Tomasz Galos, menedżer w wydziale bezpieczeństwa biznesowego mBanku, zwraca jednak uwagę, że banki coraz częściej współdziałają.

– Przykładem współpracy banków po wykryciu niebezpieczeństwa jest system otwierania konta poprzez autoryzację przelewem. W momencie gdy okazało się, że system próbują wykorzystać przestępcy, banki podjęły szczerą dyskusję, informując się nawzajem o tym, jakie praktyki stosują, by ten proces uszczelnić. W efekcie w ramach współpracy przy ZBP, banki opracowały dobre praktyki – uważa Galos.

Nie tylko bezpieczeństwo samych transakcji, ale także przechowywanych danych to wyzwanie dla wszystkich instytucji biorących udział w systemie płatniczym.

– Organizacje płatnicze mają jedną z największych baz danych na świecie, przetwarzają miliony transakcji dziennie. Z punktu widzenia MasterCard najistotniejsze jest to, żeby właściciel karty miał pełne zaufanie do instrumentu finansowego, jaki posiada. To podstawa, by rozwijać dalej nasz biznes. Spełnianie najwyższych standardów bezpieczeństwa jest wpisane w nasze DNA i dotyczy milionów transakcji, które procesujemy każdego dnia na całym świecie – mówi Michał Skowronek, dyrektor generalny na Polskę i kraje bałkańskie w MasterCard Europe. Podkreśla, że firma stale inwestuje we wzmacnianie zabezpieczeń.

– Ponieważ jesteśmy globalną organizacją, musimy spełniać te same standardy w każdym zakątku świata. W praktyce wygląda to tak, że wymagamy respektowania reguł gry od wszystkich uczestników systemu płatniczego. Dotyczy to zarówno agentów rozliczeniowych, jak i wydawców kart. Jeśli stawiane przez nas wymogi bezpieczeństwa nie są spełnione, to dany produkt nie uzyskuje certyfikacji MasterCard – dodaje Michał Skowronek.

Przechowywanie danych równie ważne

Eksperci zgadzają się co do tego, że bezpieczeństwo to jest proces, a nie stan.

– Dlatego kluczowe z punktu bezpieczeństwa jest to, by nie wyłączyć czujności zarówno jeśli chodzi o same instytucje, jak i ich klientów – apeluje Mariusz Rzepka, dyrektor regionalny na Polskę, Ukrainę i Białoruś firmy Fortinet.

Michał Skowronek podkreśla, że w systemie kartowym klient jest bezpieczny, ponieważ nawet w przypadku zaistnienia przestępstwa, odpowiedzialność posiadacza karty jest ograniczona. Przypomina, że banki w Polsce przez ostatnie 10 lat zainwestowały znaczne kwoty w poprawę bezpieczeństwa transakcji, m.in. dzięki wprowadzeniu technologii EMV (chip zamiast paska magnetycznego – red.).

– W efekcie udział transakcji oszukańczych to ułamki procentu wszystkich. Ale widzimy, że próby wyłudzeń, dokonywane jeszcze do niedawna przy płatnościach z „fizycznym" użyciem karty, przeniosły się teraz do internetu – mówi ekspert MasterCard.

Uczestnicy debaty podkreślają, że musi wzrastać świadomość klientów i że to również na nich spoczywa obowiązek zabezpieczenia sprzętu, z którego korzystają, przeprowadzając operacje bankowe i transakcje płatnicze.

Nie ma takiego systemu, który jest w stanie w pełni zabezpieczyć klienta przed możliwością wyłudzenia, jeśli ten postępuje niefrasobliwie i nieuważnie.

– Instytucje nie są w stanie stuprocentowo zadbać o to, żeby klient działał w bezpiecznym środowisku. Część odpowiedzialności leży po stronie samego klienta. Jeśli nie będzie on przestrzegał podstawowych zasad bezpieczeństwa, to nawet najlepsze systemy po stronie banku nie wyeliminują niebezpieczeństwa ataku i włamania na konto – przekonuje Michał Szymański, wiceprezes Krajowej Izby Rozliczeniowej.

Telefon i komputer ?muszą być bezpieczne

Czujność użytkowników musi być coraz większa, bo cyberprzestępcy stosują coraz bardziej wyszukane metody, zarówno technologiczne, jak i socjotechniczne.

– Zawsze znajdzie się ktoś, kto kliknie „ok" na wszystkie alerty, które system wygeneruje, i w ten sposób zainstaluje nieautoryzowane oprogramowanie i padnie ofiarą przestępstwa. Ale są też takie typy ataków, w których nawet uważny użytkownik zupełnie nieświadomie, korzystając z posiadającego luki w bezpieczeństwie oprogramowania, wejdzie na stronę, przez którą złośliwy kod zainstaluje się na jego komputerze – podkreśla Michał Kurek, starszy menedżer w dziale zarządzania ryzykiem informatycznym EY.