Jste etický hacker. Co si pod tím pojmem mám představit?
Etický hacker dělá vesměs to samé, co klasický hacker: přemýšlí stejně, používá stejné nástroje. Jen se nesnaží obohatit, nesnaží se uškodit, naopak upozorňuje na chyby v bezpečnosti a testuje například interní systémy firmy.
V kterých oborech kromě bankovnictví se s etickými hackery můžeme setkat?
Ve všech oborech, kde se bere bezpečnost vážně. I když většina pozic se tak nenazývá přímo. Spíše se setkáte s označením „blue“ tým a „red“ tým a tyto dva týmy mezi sebou soupeří. Červený tým je ten útočný - snaží se zaútočit na systémy, najít tam skulinku a dostat se dovnitř, kdežto modrý tým se jim v tom snaží zabránit a vytvořit tak neprůstřelnou obranu. Pro firmu jsou tito lidé velice cenní.
Etický hacker a bezpečnostní expert mBank Tomáš Mika
V Česku je 67 tisíc e-shopů. V počtu e-shopů na hlavu jde o světový unikát. To samozřejmě láká podvodníky. Aktuální průzkum od výzkumné agentury Focus pro mBank ukazují, že 25 procent lidí má zkušenost s podvodnými e-shopy a každý šestý už přišel o peníze. Co by nás na první pohled mělo varovat?
Varovné červené světýlko by nám mělo naskočit pokaždé, když vidíme extrémní slevy a okamžitou dostupnost i na zboží, které je jinde vyprodané. Bohužel spousta lidí se rozhoduje pouze na základě nejnižší ceny, kterou najdou, nebo podle toho, jak rychle mohou mít zboží doma.
Dejme za příklad nějaký telefon, který prostě není jinde k sehnání. A najednou se objeví e-shop, kde k sehnání je - posledních pár kusů - a ještě za nejnižší cenu. Zní to až příliš dobře, což by nás mělo varovat, ale dost lidí se spíše zaraduje, že našli to, co hledali a ještě tak výhodně. A tím jdou průšvihu sami naproti.
Dle průzkumu pouze 25 procent nakupujících řeší známost e-shopu. Co si ale pod pojmem „známý e-shop“ vlastně představit?
Například jestli dotyčný už daný e-shop zná nebo ho vede v patrnost. Praxe je spíše taková, že si vygooglíme konkrétní produkt a nakupujeme jen podle parametrů cena a dostupnost. Takže ani nevíme, jak jsme se na eshop dostali a neřešíme, kde a od koho nakupujeme.
Existují základní pravidla bezpečného nákupu? Co si mám zkontrolovat, než e-shopu odevzdám své platební údaje ke kartě?
Pokud narazíte na zcela neznámý e-shop, tak bych se v první řadě podíval, jak dlouho existuje na trhu, jak dlouho je zaregistrovaná internetová doména a určitě bych zkontroloval bezpečnostní certifikát. Také si u registrátora domény můžete zjistit, na koho je doména registrovaná a jak dlouho. Pokud e-shop existuje pět nebo deset let, je samozřejmě důvěryhodnější, než doména existující týden.
Další jednoduchou možností je ověřit si eshop u České obchodní inspekce, ta vede seznamy podezřelých a nedůvěryhodných obchodů a jsou to seznamy už poměrně rozsáhlé. Základní ochranou je využívání bezpečnostních prvků, které vám nabízí banka. Například pracovat s limity u karty, dočasnými blokacemi nebo využívat speciální kartu pro nákupy online. V mBank máme pro tyto případy eKartu, jde o virtuální kartu, která je oddělená od vašeho účtu a dobijete si ji jen na částku, kterou zrovna potřebujete. Pokud dojde k úniku dat, nikdo se k vašim úsporám na účtu nedostane.
To je tak snadné si dneska založit e-shop? Je nějaký státní úřad, který by ho zastřešil?
Ne, e-shop si můžete udělat kdykoliv, velmi rychle a levně. Není to technologicky složité a vytvořit ho může AI na míru jen na základě několika promptů.
Ze stejného průzkumu vyplývá, že online nakupují častěji ženy, zároveň se ale podvodů obávají více než muži. Je to tím, že mají s podvody častější zkušenost, nebo muži při nákupech jednoduše méně přemýšlejí nad riziky?
Je to kombinací obojího, obrovskou roli v tom hraje sebedůvěra. Nejhorší je si říct, že mně se to stát nemůže, že já podvod bezpečně poznám. To je cesta do pekel. Bohužel to bývá velmi časté a řešíme to v bance neustále.
E-šmejdi letos lidi obrali už o 798 milionů, průměrná škoda je 33 460 korun |
Obrovský byznys je kolem bazarů. Jaké tam mají podvodníci fígle?
U bazarů nejčastěji funguje to, že vy něco prodáváte, podvodník vás kontaktuje většinou velmi rychle po vystavení inzerátu a nesmlouvá. Tvrdí, že aby usnadnil celý nákup, pošle pro zboží kurýra. A pošle vám odkaz, kam máte zadat adresu a platební údaje ke kartě. Tvrdí, že peníze vám pošle rovnou na kartu, což nedává smysl.
Ale bohužel je pořád ještě spousta těch, kteří nevědí, jak platby vlastně fungují, a tak jsou opravdu schopni veškeré údaje ze své platební karty poskytnout.
Co dělat v případě, že opravdu naletím?
Tam je potřeba nechat si zablokovat kartu a zažádat o novou. Buď tak, že zavoláte do banky a ta vám ji zablokuje okamžitě, nebo ještě lépe si ji zablokujete jedním tlačítkem přímo ve svém mobilním nebo internetovém bankovnictví.
Co se může stát, když tu kartu nezablokuju? Jaký je modus operandi těchto útočníků?
V případě, že zadáte platební informace, tak vám většinou začne okamžitě pípat telefon, jak se někdo snaží něco zaplatit. Dalo by se namítnout, že nákupy vyžadují dodatečné ověření – ať už SMS či notifikaci z banky.
Ale to platí pouze v případě, že platební brány, na kterých se podvodník snaží zaplatit, jsou opatřený 3D Secure zabezpečením. U nás to tak bývá, ale v zahraničí je spousta poskytovatelů platebních bran, které 3D Secure nepodporují. Pro tyto případy si můžete v mobilní aplikaci mBank například zablokovat zahraniční platby kartou, pokud zrovna necestujete.
Mezi další podvody patří falešné telefonáty. S jedním podvodem jsem měl osobní zkušenost. Volal mi člověk, co se představil jako kapitán policie České republiky a že se s mým účtem něco děje. Domáhal se mé součinnosti. Je tohle taky častý podvod?
Bohužel ano, ba dokonce je to jeden z nejčastějších podvodů, určitě bude patřit do první pětky. Volá podvodník, představí se jako pracovník policie a snaží se vás přesvědčit o tom, že na vašem účtě jsou podezřelé převody a dotlačit vás k tomu, abyste své peníze okamžitě poslal na údajně „záchranný“ účet. Podobně to zkouší i falešní bankéři s nabídkou investic.
Kdo za těmito podvody stojí? Jsou to jednotlivci, kteří náhodně zkoušejí důvěru nicnetušících lidí?
To rozhodně ne. Jsou to velké organizované skupiny, které mají různé úrovně. Klidně si představte i celá call centra, která najímají pracovníky všech řečí, aby odbouraly podezření kvůli přízvuku. Princip této metody je vyvolat pocit nátlaku a strachu, že jsou vaše peníze v ohrožení a musíte okamžitě jednat. U investic zase cílí na vidinu rychlého a jednoduchého zbohatnutí.
Předpokládám, že rok od roku jsou podvody sofistikovanější.
Je to tak. Dnes už se díky AI vytvoří velmi jednoduše tzv. „deep fake“, tedy falešný obsah, grafika, fotky, recenze. Lze generovat celé videozáznamy či manipulovat se zvukovými stopami. To platí pro podvodné e-shopy i pro volající, kteří se klidně prokáží podvrženými materiály.
Největší zbraň podvodníků? Spěch a pocit výhodné koupě |
Jaké technologie může banka nasadit, aby tomu dokázala zabránit? Lze vůbec důvěřivého jedince chránit?
Samozřejmě jdeme s dobou a nasazujeme technologie a obranné mechanismy jako právě možnost ověření volajícího, pokud vám volá opravdu mBank. Takže jak podvodníci přicházejí neustále s novými nástroji, tak i my přicházíme s účinnější obrannou, která nám pomáhá rychle vyhodnocovat podezřelé transakce. V neposlední řadě se snažíme klienty edukovat v tom, jak nenaletět a jak se případně bránit, protože nejslabším článkem je stále člověk.
Umíte si představit, jak bude váš obor vypadat za deset let?
Nedokážu si představit, kam se dokážeme technologicky posunout. Nicméně oblast kybernetické bezpečnosti tu vždycky bude a její význam bude ještě více stoupat. Spoustu věcí už dnes přebírá AI, ale nebojím se, že by nás plně nahradila. Lidská síla v tomto prostředí bude vždy důležitá.
Uvádí se, že každý šestý nakupující už v podvodném e-shopu o peníze. Je to zhruba 16 procent lidí. Myslíte si, že tohle číslo ještě poroste?
Jde o to, jak moc ti podvodníci jsou vynalézaví, jak dokážou ten svůj podvod zastřít, schovat se a přesvědčit toho nakupujícího, že jsou legitimní obchod, který je v pořádku. A pak ten prvý člověk zjistí, že to až tak v pořádku nebylo.
Proto je potřeba nepolevovat v ostražitosti, i když „pouze“ nakupujeme online. Můžeme se cítit v bezpečí, protože sedíme doma na gauči, nicméně reálně se pohybujeme v online prostředí, kde se to podvody jen hemží. Základní pravidlo je nepodléhat nátlaku a zamyslet se, zda nabídka dává smysl a informace si ověřovat za použití oficiálních kontaktních informací.
