Care sunt cele mai întâlnite metode de fraudă din domeniul online? Cât de multe plângeri referitoare la fraude online se înregistrează anual și care este cea mai populară metodă? Ce soluții tehnice sunt disponibile? Ce reprezintă money mules? Despre toate acestea și nu numai am discutat într-un interviu acordat hotnews.ro, cu Sorin Stănică (Șef Birou Prevenire Institutul de Cercetare și Prevenire a Criminalității, Inspectoratul General al Poliției Române), Alin Becheanu (Președinte Comisia Antifraudă Asociatia Română a Băncilor) și Magda Popescu (Outside Legal Counsel EMEA Microsoft Digital Crimes Unit).
‘Money mules’ – cărăușii de bani. Ce sunt și cum se întâmplă cărăușia de bani?
Magda Popescu: Se întâmplă în felul următor: fraudele și în general activitățile nelegale, sunt derulate pentru a face bani. Banii aceia trebuie să ajungă într-un fel de la victimă la atacator, autorul fraudei. Desigur, autorul fraudei vrea să se ascundă și vrea să nu fie descoperit. Atunci, apelează la diverși intermediari, intermediari care pot fi servicii sau persoane. Persoane care, de exemplu, își deschid conturi bancare pe care le operează în numele lor, dar în care primesc bani pentru alții. Cărăușii de bani primesc un comision și li se spune că este vorba despre o activitate absolut legitimă, respectiv un job în care poți să stai acasă și să câștigi suficient. Jobul este să primească acei bani, să-i retragă și să-i predea cash sau să-i transfere mai departe în alte fluxuri financiare (spre exemplu în alte conturi, transferuri de bani, crypto).
Am să vă dau un exemplu real. În momentul în care cineva sună și se prezintă drept reprezentant al Serviciului de Suport Microsoft și spune „Am descoperit că aveți niște disfunctionalități. Vrem să vă ajutăm și să vă reparăm laptopul/desktopul, iar la final vom încasa o anumită sumă pentru acest serviciu”, dacă s-ar cere plata într-o cryptomonedă, asta ar da de bănuit și atunci se oferă un cont sau un merchant account, o plată cu cardul. Banii se duc la un astfel de cărăuș de bani, după care pleacă mai departe către autorii fraudelor. Fiind primul la care ajung banii, cărăușul de bani sau money mule ajunge să facă parte din lanțul de atac și fraudă, dar este și o victimă pentru că el este cel mai expus și va fi primul prins și luat la întrebări.
Cum pot să verific pe cineva care mă sună și îmi spune „Sunt de la Microsoft. Aveți probleme cu soft-ul din computer și trebuie reparat. Uitați contul în care trebuie virată suma, reprezentând contravaloarea soft-ului sau a reparației”? Cum îmi dau seama că sunt de fapt victima unei înșelăciuni?
Magda Popescu: De când a fost remarcată această nouă formă de înșelăciune care există de ceva ani, Microsoft, ca și alți titulari de branduri folosite în astfel de înșelăciuni, a început să deruleze activități de informare. Principala idee pe care am încercat să o transmitem permanent este faptul că Microsoft nu sună niciodată în mod proactiv. Este nevoie ca acel client să ne sune pentru a cere ajutor, nu sunăm noi primii. Acesta este cel mai important aspect, faptul că noi suntem sunați de clienti care doresc să beneficieze de suportul la care au dreptul, nu facem noi primul pas.
Probabil că așa se întâmplă și în cazul altor companii.
Magda Popescu: Da. Vă pot da un exemplu acum, intrând puțin pe teritoriul colegilor din sectorul de banking. În Marea Britanie există o organizație, Stop Scams UK, din care fac parte multe bănci și din care face parte și Microsoft. Pentru că acolo se confruntau cu fraude bancare de acest gen, apeluri aparent de la bănci către clienți în care le cereau diverse informații, inclusiv coduri PIN, au înființat o linie de apel unde se poate suna proactiv. Dacă ești sunat, imediat poți să oprești respectivul apel, să suni la acest număr unic, care te conectează cu banca ta și îți confirmă dacă au sunat ei sau nu. Totul este la început pentru că înșelăciunile există de mii de ani, însă oportunitățile oferite de mediul digital și de comunicațiile rapide la care avem acces și noi și autorii fraudelor sunt noi.
Atunci, mijloacele de combatere și de creștere a nivelului de conștientizare trebuie să țină pasul. Am împărtășit această experiență recentă a colegilor din Marea Britanie ca un exemplu. Toți ne putem gândi la diverse soluții, însă zona de conștientizare și de educare este cea mai importantă. Sunt convinsă că și pe siteul www.sigurantaonline.ro, pe care l-au creat colegii de la ARB împreună cu Poliția Română, și pe site-ul Microsoft și pe site-urile băncilor, există avertismente. Este important să îți păstrezi un nivel de suspiciune rezonabil și să cercetezi înainte de a merge mai departe și de a da acces la computerul tău sau de a plăti bani. Partea de bani este una, alta este accesul la computer, unde pot fi instalate diferite coduri malițioase care își îndeplinesc o anumită funcție după ce apelul sau interacțiunea se încheie.
Cum depistează băncile asemenea fraude de tip money mules?
Alin Becheanu: În general, băncile pun foarte mult accent pe partea de educație. Încercăm ca din momentul în care un client vine și deschide relația să primească informații în cadrul discuției pe care o are cu consultantul cu privire la scopul acelui cont bancar, astfel încât să poată ști dacă va fi cumva victima unei scheme de fraudă, să poată să semnaleze direct consultantul sau chiar consultantul poate să își dea seama de acest lucru.
Niciodată o persoană care își va deschide un cont la bancă nu va zice „Mi-am deschis un cont pentru că urmează să primesc niște bani pe care o să îi transfer și o să rămân cu un comision”.
Alin Becheanu: Este foarte bună observația dumneavoastră. Luând în calcul faptul că persoana care deschide contul este de multe ori naivă și nu cunoaște foarte bine consecințele acțiunilor sale, de cele mai multe ori ea răspunde clar la întrebările pe care consultantul le pune. Persoana spune că a obținut o colaborare pe internet de la o cunoștință și urmează să se ocupe de o activitate temporară sau poate chiar constantă. Din aceste discuții pot decurge mai departe și alte lucruri pe care consultantul le poate observa și le poate semnala mai departe. Plecând de la premisa că de cele mai multe ori acești cărăuși de bani nu știu exact care sunt consecințele acestor fapte și ce se întâmplă mai exact în spate.
De asemenea, vorbim si de sisteme dedicate care, în mod normal, captează aceste tranzacții suspecte. De multe ori vedem că sunt bani care provin din afară și care mai departe sunt retrași sau transferați către alte persoane, însă fără a avea neapărat un scop economic. Există o colaborare destul de bună între autorități și sistemul bancar astfel încât putem să avem un sistem de investigație mult mai bun atunci când se întâmplă astfel de cazuri și de ce nu, să ajutăm la prinderea acestor rețele infracționale care până la urmă nu fac altceva decât să recruteze oameni pe care îi folosesc pentru a deschide conturile respective, a încasa sume de bani și, nu în ultimul rând, pentru a retrage sumele de bani sau pentru a le transfera către alte conturi.
Putem să devenim cărăuși de bani fără să fim conștienți de asta?
Alin Becheanu: Absolut. Să vă dau un exemplu punctual. Să spunem că văd pe contul meu de Social Media un anunț care spune „Stai acasă și câștigi bani fără probleme”. Primul lucru la care mă gândesc este să dau click. Atunci văd că mi se oferă o oportunitate fantastică în care singurul lucru pe care îl am de făcut este să merg în București și să caut câte hoteluri sunt în București care pot organiza evenimente de o anumită dimensiune. Acesta este un simplu pretext, pot fi multe altele.
În urma acestor demersuri iau legătura, de cele mai multe ori, cu o persoană online, niciodată nu mă întâlnesc fizic cu persoana respectivă, care pare a fi un reprezentat al acelui angajator. Persoana respectivă spune „Sunteți persoana potrivită pentru această colaborare fructuoasă și chiar avem nevoie de cineva care să ne ajute cu acest demers”.
Mergem mai departe și semnăm anumite documente, de cele mai multe ori online, care să dea o aparentă legalitate acestui demers și la final urmează și perioada în care mergem și căutăm acele hoteluri care sunt doar un pretext. În urma misiunii respective trimitem un răspuns (spre exemplu „Am găsit un număr de X hoteluri care pot acomoda…”). Urmează o încasare și apoi o plată din contul personal pe care trebuie să o trimitem mai departe, sub pretextul că plata se face către un furnizor sau închirierea hotelului. Să spunem că primim o sumă de 10.000 euro, din care venitul pentru munca prestată este undeva la câteva sute de euro din suma respectivă. În spatele acestui proces nu există niciodată menționat faptul că banii respectivi provin din infracțiuni sau că persoana care ne transferă banii ar avea o problemă cu legea.
Normal ar fi să nu apelăm la asemenea procedee, dar, pe fondul unui grad ridicat de vulnerabilitate financiară, mulți acceptă asemenea cărăușii. Pentru că asemenea infracțiuni nu se petrec doar pe canalul bancar, cum reușiți să îi prindeți și ce putem face noi ca victime?
Sorin Stănică: În primul rând, trebuie să întelegem că persoanele care intră în acest cerc de cărăușie de bani sunt în egală măsură victime, dar și autori de infracțiuni. Pe de o parte, unii dintre ei în primă fază chiar nu realizează, sunt ferm convinși că sunt angajații unor companii și sunt implicați într-o activitate legitimă.
Pe de altă parte, nu toate lucrurile sunt atât de frumos colorate și unii dintre ei pur și simplu sunt recrutați să primească și să distribuie sumele de bani mai departe și în felul acesta se implică în rețele de spălare de bani. Ei devin autori de infracțiuni de spălare de bani sau de complicitate la spălarea de bani.
În astfel de situații, pentru investigatori este foarte importantă colaborarea cu băncile pentru că sunt multe situații în care infracțiunea se desfășoară pe flux bancar. Astfel pot fi identificați cei care inițiază aceste rețele pentru că de cele mai multe ori vorbim de recrutori care încearcă să găsească persoane aflate într-o nevoie acută de bani. Marea majoritate a celor de la baza rețelei, cei care se ocupă efectiv de transferuri și de această faptă de cărăușie de bani, sunt persoane care au o situație dificilă din punct de vedere financiar, care găsesc din asta un mod de a-și rotunji veniturile.
Mulți dintre ei, deși în aparență nu înțeleg cu adevărat fenomenul, nici nu se pot prevala de necunoașterea situației atunci când sunt trași la răspundere. Ei trebuie să mai înțeleagă un lucru. Ei sunt parte dintr-un lanț care poate să finanțeze terorism, criminalitate informatică, inclusiv tipuri de criminalitate a căror ei însăși pot deveni victime (spre ex. criminalitate informatică, fraudă online, trafic de droguri, trafic de persoane). Toți banii care se rulează în astfel de rețele sunt bani proveniți din săvârșirea de infracțiuni. În felul acesta nu vorbim doar de complicitatea sau de fapta în sine de a spăla bani, ci de complicitatea la săvârșirea de infracțiuni mult mai grave.
Dumneavoastră sunteți și comisarul-șef al Biroului de Prevenire. Pot să vă întreb ce fel de proiecte care țin de educație financiară ați derulat pe zona aceasta de cărăușie de bani?
Sorin Stănică: În primul rând, Poliția Româna contribuie și face parte din European Money Mule Action. Acest proiect desfasoară acțiuni atât de combatere a fenomenului, dar și de prevenire, derulat la nivel european de către Europol împreună cu celelalte agenții de aplicare a legii, la care am contribuit și noi.
În această toamnă am dezvoltat acest parteneriat cu Asociația Română a Băncilor, cu Microsoft și cu Directoratul Național de Securitate Cibernetică (fostul CERT.ro). Acestea sunt instituțiile cu care lucrăm constant în ceea ce privește conștientizarea și prevenirea criminalității informatice în general.
Acest subiect, cărăușii de bani, a făcut obiectul unei inițiative distincte începând cu luna noiembrie a acestui an. Am încercat să le prezentăm oamenilor atât riscurile la care se expun ca și victime, dar și riscurile la care se pot expune din punct de vedere infracțional. Ei pot fi trași la răspundere penală pentru săvârșirea de infracțiuni în zona de spălare de bani.
Am să apelez și eu la un exemplu cu o investigație pe care o derulau colegii mei pentru destructurarea unei astfel de rețele de cărăuși de bani. Unul dintre recrutori a declarat în urma depistării că a câștigat foarte mulți bani în urma activității derulate. El și-a permis în primă fază destul de multe vacanțe, mașini și alte capricii financiare, dar a spus că nu mai reușea să doarmă noaptea și că până la urmă a pierdut tot.
Oamenii trebuie să conștientizeze și să înțeleagă că, în general, fraudele online lasă urme. Ele sunt mai greu sau mai ușor de depistat, în funcție de complexitate, dar tot pot fi identificate și depistate de către colegii mei din zona de investigații. Cred că acesta este lucrul pe care mulți trebuie să îl conștientizeze.
Pe de altă parte, repet, insistând foarte mult asupra acestui fapt, poți deveni în mod paradoxal complice la o infracțiune a cărei victimă poți fi chiar tu. Oamenii trebuie să conștientizeze și să înțeleagă lucrul acesta. Banii nu sunt ușor de câștigat. Nu există bani ușor de câștigat. Banii câștigați ușor au ceva în spate și te pot afecta la un moment dat în mod direct.
Din păcate, poți să cazi victima acestei activități de cărăușie de bani, dacă ești suficient de naiv, fără să vrei. Cum mă pot feri să cad victima „inocentă și neintenționată” recrutorilor?
Magda Popescu: Sfatul meu este ca fiecare dintre noi să aplicăm vechiul principiu „Ceea ce pare prea bun ca să fie adevărat, cel mai probabil chiar este”. Dacă ajungem în poziția în care putem să vedem un anunț de job pe Social Media, înseamnă că avem acces la resurse digitale. Atunci, trebuie să verificăm și să căutam ce se vorbește despre astfel de joburi. Informația există. Într-adevăr, informația este atât de multă, inclusiv cea care vine de la poliție, instituții bancare, furnizori de tehnologie, încât trebuie să o cauți și să o discerni. Este foarte important să nu te repezi până când nu verifici, mai ales când vine dintr-o sursă perfect străină, chiar și dacă este aparent de încredere (spre exemplu, vărul unui prieten). Nu îți oferă nimeni ceva bun fără a dori ceva în schimb, fie eforturi, ceea ce este benefic, fie participarea la o astfel de schemă. Deci, informarea este cheia.
Alin Becheanu: În plus, aș pune accent pe un lucru foarte important. În aceste scheme, chintesența schemei în sine este de fapt folosirea contului propriu. Contul bancar este un lucru care ne aparține și ar trebui folosit doar pentru tranzacțiile noastre, de exemplu încasarea unui salariu, pentru plățile efectuate în interes personal, în nici un caz pentru a încasa sume de bani în numele așa-zisului angajator și apoi pentru a le transfera mai departe.
Acum, ținem minte un lucru, poate la momentul în care ni se propune acea afacere nu avem un cont bancar deschis și ni se spune să deschidem contul bancar în acest scop. De asemenea, dacă avem deja un cont bancar, plecăm de multe ori de la premisa falsă că dacă nu avem bani în el putem să îl împrumutăm unei alte persoane pentru că nu se poate întâmpla nimic, cum nu avem ce să pierdem. Total greșit. Există consecințe grave în momentul în care dai contul tău bancar unei alte persoane, sau ești în postura în care primești sume de bani în contul tău bancar și apoi transferi mai departe fară ca aceste sume de bani să fie legate de activitatea ta.
Bănuiesc că dumneavoastră la Asociația Română a Băncilor, și fiecare bancă în parte, aveți un fel de beculeț care se aprinde atunci când într-un cont unde stau adormiți 300- 400 RON intră 10.000 euro.
Alin Becheanu: Scenarii există la nivelul băncilor și este o dinamică din acest punct de vedere, însă scopul nostru este să protejăm clienții înainte ca lucrurile respective să se întâmple. Altfel spus, nici ei la rândul lor să nu primească bani prin alte metode. Atunci, rolul este să ia la cunoștință despre acest lucru și să ia masuri înainte ca banii respectivi să fie transferați în contul personal sau să transfere mai departe.
Sorin Stănică: Există o situație aparte în ceea ce privește acest proces de cărăușie de bani. Situația în care deținătorii contului deschid acel cont, după care cedează toate credențialele către alte persoane care vor utiliza contul. Atunci, persoana respectivă nu se poate scuza, spunând că ea oricum nu folosea contul și a fost rugată de un prieten pentru că avea de primit bani.
În primul rând trebuie să ne întrebăm de ce o altă persoană ne-ar cere datele personale și să ne deschidem un cont și de ce nu ar putea să facă persoana respectivă lucrul acesta. În al doilea rând, trebuie să înțelegem un lucru, că de obicei această cedare a credențialelor se face contra unei sume de bani. Există un citat celebru deja în ceea ce privește utilizarea datelor personale în mediul online și se aplică și în cazul de față „Atunci când primești ceva gratis, mai ales în ceea ce privește utilizarea internetului, de fapt nu ești cumpărător, ești marfa de pe raft”. Exact în asta te transformi dându-ți credențialele și accesul la cont altei persoane. Ai devenit marfă pentru el, nu ești utilizator sau partener. În plus, nu vei fi exonerat de răspundere în cazul în care prin acel cont se vor realiza tranzacții frauduloase.
Din păcate stiu și eu un caz în care cineva a cedat contul bancar, pe motiv că persoana căreia i-a împrumutat datele avea contul „blocat”, și trebuia să primească niște bani și dacă i-ar fi primit în contul blocat nu ar fi putut beneficia de ei. Se poate da o dimensiune a acestei cărăușii de bani? Cam cât de mare este fenomenul? Există niște cifre?
Magda Popescu: Eu aș putea să vă împărtășesc cam câte plângeri primește Microsoft lunar cu privire la fraudele cu suport tehnic fals. În jur de 6,000 de persoane lunar la nivel mondial. Într-adevăr, nu am o statistică pentru România, în România fiind mult mai puțin. Sunt foarte mult vizate piețele cu persoane ieșite la pensie care au resurse, resurse care sunt vizate mai departe de către acești criminali cibernetici. Este un fenomen major. Aceasta este doar una din sursele banilor care circulă în acest mod, întâi semi-subteran iar după aceea de-a dreptul subteran. Există și zona de business email compromise, phishing și alte fraude care amplifică fenomenul. Cifra pe care v-am dat-o eu este o picătură dintr-o întreagă cană de fraude.
Domnule comisar-șef, îmi spuneați despre o rețea pe care ați depistat-o și este investigată. Cam ce dimensiune avea cărăușia de bani acolo? Este de ordinul miilor sau zecilor de mii de euro?
Sorin Stănică: Mai important este să înțelegem un aspect. Tot ce înseamnă cărăușie de bani înseamnă spălare de bani de proveniență ilicită, din comiterea de infracțiuni. Magda a prezentat o cifră legată de tech support fraud și, într-adevăr acolo vorbim doar de o picătură, pentru că este doar un mod de operare în informatică.
Cred că este foarte relevantă o altă cifră. Peste 90% din fraudele informatice au la bază tentative de phishing. Cu toții știm și primim pe adresele de mail personale sau de serviciu diverse mesaje prin care ni se cere să deschidem diverse atașamente sau linkuri. Fie că provin, așa zis, de la bănci, fie de la furnizori de tehnologie, ca Microsoft sau alte companii furnizoare, sau că am primit o moștenire.
Toate acestea sunt tentative de phishing. Trebuie să rămânem la un nivel destul de ridicat de alertă în ceea ce privește aceste mesaje care în ultimii ani s-au diversificat și nu mai vin doar pe mail în spam, mai nou vin și pe Whatsapp, prin SMS, sau prin apel telefonic. Ce este important din punctul nostru de vedere, este să rămânem atenți la astfel de mesaje și să nu le dăm curs la primul impuls, să verificăm și în felul acesta cea mai mare parte dintre tentative vor rămâne tentative. Unele sunt vizibil false și nu necesită foarte mult efort ca să ne dăm seama că acel mesaj este fals. În momentul în care am lăsat puțin garda jos, este suficient un click pe un link să ne instalăm un malware, fie pe telefon, laptop sau desktop. Acest malware poate să preia controlul calculatorului sau poate să acceseze contul de Internet Banking. Daunele pot fi destul de mari, atât financiar, cât și asupra sistemului pe care îl utilizezi.
Și eu am primit ieri un e-mail de la o bancă, în care mă informau că nu s-a reușit activarea unui serviciu, și mi-am dat seama imediat că este vorba despre phishing pentru că nu am cont la banca respectivă. Dacă venea de la banca cu care am relații contractuale și nu aveam această educație financiară formată, este foarte posibil să fi dat click pe acel link. Doamna Popescu vorbea despre platforma sigurantaonline.ro. Când ați înființat această platformă și care au fost motivele? Cui i se adresează și câți o accesează?
Sorin Stănică: Este o platformă pe care am relizat-o împreună cu partenerii de la Asociația Română a Băncilor și de la Directoratul Național de Securitate Cibernetică în acest an. Prin această platformă ne-am propus să venim către utilizatorul obișnuit al internetului. În primul rând, cu informații de bază în ceea ce privește siguranța în mediul online. Pe de altă parte, am venit și cu un chestionar de testare a cunoștințelor, pe care fiecare dintre noi îl poate accesa pe platformă. Este un quiz care nu vine doar cu întrebări și răspunsuri, ci la fiecare dintre ele vine și cu o serie întreagă de exemple și explicații, astfel încât să înțelegem unde am putea greși și cum ne putem proteja pe viitor. În ceea ce privește cifrele, vă pot spune că din 14 octombrie 2021, când el a fost lansat oficial în online, până astăzi au fost peste 16.000 de completări ale chestionarului. Aceste chestionare au avut o medie de 11 răspunsuri corecte din 15 întrebări. O cifră puțin îngrijorătoare este faptul că puțin peste 350 de utilizatori au răspuns corect la toate întrebările.
Aceasta este o bună justificare pentru existența site-ului, adică este nevoie de așa ceva.
Sorin Stănică: Asta voiam să punctez și eu. Este un lucru care confirmă că demersul nostru este unul corect. Atât noi, cât și partenerii cu care am inițiat platforma, ne-am dorit să ajungem la utilizatori cu acest test, astfel încât fiecare dintre ei să înțeleagă riscurile cu care se pot confrunta în utilizarea internetului. Dar să fie și o sursă de informații de unde să învețe lucruri noi care să îi ajute să își corecteze comportamentul. Este o platformă pe care ne dorim să o dezvoltăm. Ne dorim ca în acest demers preventiv să vină alături de noi cât mai mulți parteneri cu interes în domeniu. Nu suntem singurii în dorința de a îi face pe utilizatori să înțeleagă riscurile și vulnerabilitățile cu care se pot confrunta. Ne dorim că toți să vină alături de noi și împreună să mergem către cetățeni, către utilizatori și să le transmitem mesajele noastre și să îi informăm. Noi ne dorim foarte mult ca această platformă să se dezvolte în sensul acesta.
Alin Becheanu: Cred că aș mai adăuga un lucru, legat de exemplul pe care l-ați dat dumneavoastră. Platforma conține și răspunsul la întrebarea „Cum identificăm dacă un mesaj care pare că a venit din partea băncii unde chiar avem un cont este legitim?”. Este important să ținem minte că o bancă nu va transmite niciodată astfel de mesaje care să conțină un link unde informațiile utilizatorului: user si parola Internet Banking sau datele cardului: numar, cod CVV2 sau data expirării sunt solicitate.
În plus, băncile nu creează această stare de urgență prin mesaje, spunând că vor exista consecințe drastice dacă utilizatorul nu se logheaza imediat (cont blocat, acces suspendat). Când avem aceste informații în minte este foarte ușor să ne dăm seama că este o tentativă de phishing și nu este un mesaj legitim din partea băncii. Asta este o modalitate simplă de a ne da seama, fără a avea competențe tehnice. De fiecare dată când avem astfel de suspiciuni, cel mai important lucru pe care îl putem face este să sunăm banca pe un număr de telefon pe care îl avem noi, sau de pe spatele cardului, fără să luam informațiile din mailul respectiv, și să întrebăm dacă este un mesaj legitim. Este foarte important să notificăm imediat banca. Trebuie să gândim ca o comunitate. Pot fi persoane care să nu fie la fel de vigilente ca noi, iar telefonul nostru ar putea preveni alte persoane din a deveni victime.
Dumneavoastră, prin platforma sigurantaonline.ro, deveniți cărăuși de educație financiară. Supliniți lipsa educației financiare care ar trebui făcută în școală. Cum putem să rămânem în siguranță online, date fiind toate aceste pericole și vulnerabilități?
Magda Popescu: Foarte bună întrebarea. Răspunsul este: igienă cibernetică. Așa cum ne spălăm pe mâini pentru a preveni majoritatea microbilor, la fel trebuie să urmăm câteva sfaturi și câteva direcții de igienă cibernetică pentru a ne feri, conform statisticilor, de aproximativ 98% din amenințări.
În primul rând, trebuie să ne protejăm identitatea. Zona de nume de utilizator și parolă, care ne permite accesul la anumite conturi și servicii, să le întărim cu Multiple Factor Authentification. Trebuie să avem cel puțin un factor suplimentar de autentificare (SMS, apel).
Un alt element foarte important este să ne menținem sistemele și aplicațiile updatate. Furnizorii de tehnologie sunt alerți și vor să își protejeze produsele și clienții, așa că dau în mod periodic diverse patch-uri de securitate care vin să repare diverse vulnerabilități. Acesta este al doilea element foarte important.
Al treilea este să folosim anti-virus/anti-malware. Trebuie să folosim tehnologia în favoarea noastră și să nu o lăsăm să fie folosită în defavoarea noastră.
Un alt element foarte important este să ne segmentăm spațiul digital. Ransomware-ul sau compromiterea conturilor vizează tocmai accesul la datele și conturile pe care le avem pentru a vedea ce avem acolo sau pentru a le refolosi în scop răuvoitor. Ceea ce trebuie să facem este să le fragmentăm. Fiecare cont trebuie să aibă credențialele sale și parola sa.
Fiecare zonă de conținut să fie păstrată într-un loc (fotografii personale, activitatea profesională) și să facem back-up periodic. În momentul în care facem back-up, orice amenințare de tip ransomware își va pierde substanța pentru că putem oricând să recăpătăm acele resurse.
Acestea sunt cinci sfaturi care ne protejează de 98% din atacuri sau consecințe ale atacurilor informatice. În plus, să fim vigilenți și să ne informăm. Ceea ce pare a fi prea bun pentru a fi adevărat, realmente este. Nu trebuie să picăm pentru diverse înșelăciuni, ci să ne informăm.
Este bine sau nu să păstrăm la toate conturile același username și aceleași parole și să fie salvate în memoria computerului?
Sorin Stănică: Mai dați-mi două informații conexe și mâine mă conectez eu la contul dumneavoastră.
La conturile respective sunt atașate și cardurile de pe care se fac plăți. Ar trebui ca utilizatorii să nu mai procedeze așa?
Magda Popescu: Este un răspuns în mai multe părți. Existe diverse soluții tehnice care sunt accesibile pentru a gestiona astfel de acces la lumea digitală. Unul este Password Managers, există un software care poate să gestioneze parole. Însă foarte important este o nouă tendință în zona tehnică care este Zero Trust și lumea fără parole, deci cu alte tipuri de acces, din sfera biometrică și alte metode de identificare. Cel mai bine este să înțelegem că zona de parole este cumva depășită. Trebuie să ne uităm la management de parole, la factori de multi autentificare, la o lume password-less. Din 280.000 de atacuri de tip brute force la parole, peste 90% erau parole simple, doar cuvinte, fără cifre sau semne speciale. Erau niște parole foarte slabe. Este important să fim atenți și ce fel de parole folosim și cum le multiplicăm zona de acces.
Domnule comisar-șef, apropo de manager de parole și de alte aplicații care să ne ajute să le gestionăm, lumea caută aplicații gratuite. Întrebarea mea este: cât de gratuite sunt aplicațiile gratuite? Există un scop ascuns?
Sorin Stănică: Fără doar și poate. Cum spuneam și mai devreme, nimic nu mai este gratuit. În primul și în primul rând, atunci când instalăm aplicații pe telefon trebuie să ne gândim și să fim foarte atenți la permisiunile pe care le acordăm acelor aplicații. De exemplu, dacă instalăm un joc, la ce îi trebuie acces la agenda personală sau la email? Ce urmărește acel joc, dacă este gratuit? Probabil acces la anumite date.
În urmă cu doi ani, niște parteneri de ai noștri au realizat o aplicație gratuită, la instalarea căreia se cerea acces absolut la tot ce avea utilizatorul pe telefon, inclusiv contul bancar. Într- adevăr, nu exista posibilitatea de a le accesa, fiind un experiment. Interacțiunea cu utilizatorul se termina la solicitarea accesului, nu și la primirea lui. Dar îngrijorător era că peste 60% dintre utilizatori au acceptat, fără să își pună un semn de întrebare. Acesta este primul semn de întrebare atunci când instalăm o aplicație gratuit „De ce i-ar trebui acces la mai mult informații decât îi sunt necesare?”.
Acesta este cel mai important aspect pe care trebuie să îl avem în vedere la aplicațiile gratuite. Este adevărat, unele pot să funcționeze și să fie furnizate gratuit doar pentru a avea acces la cât mai mulți utilizatori și a vinde publicitatea. Dar nu este justificat doar acest motiv la toate aplicațiile. Trebuie să fim foarte atenți la permisiunile pe care le acordăm acestor aplicații. Nu mai există ceva cu adevărat gratuit. Trebuie să înțelegem ce ne cere în schimb.
Domnule Becheanu, vreau să vă întreb dacă pandemia a schimbat tipurile de atacuri pe care hackerii le dau? Așa cum hackerii atacă persoanele fizice pentru banii lor din conturi, atacă și băncile pentru a avea acces la bazele de date ale clienților?
Alin Becheanu: Cred că în primul rând pandemia ne-a afectat viata de zi cu zi, nu doar modul de lucru, ci și modul în care interacționăm cu băncile. Atunci bineînțeles că dinamica s-a schimbat foarte mult de la varianta în care foarte mulți clienți mergeau în sucursale, acum au mers foarte mult pe varianta de online.
Așadar, modalitatea prin care interacționăm cu banca s-a schimbat foarte mult din punctul acesta de vedere. Foarte multe bănci au încercat să acomodeze această nevoie, astfel încât clienților să nu li se pară o dificultate în a accesa în continuare produsele bancare. Dacă ne uităm din perspectiva fraudelor, vedem o intensificare masivă pe cel puțin trei componente. Acele campanii de phishing, în care se trimit mesaje care se pretind ca fiind din partea băncilor, prin care se încearcă de fapt obținerea credențialelor bancare (nume de utilizator, parolă, datele cardului).
A doua componentă este frauda de tip marketplace, în care clienții își postează pe diverse platforme de anunțuri anumite bunuri pe care vor să le scoată la vânzare (spre exemplu, un telefon). Ulterior, clienții sunt contactați de fraudatori (mail, Whatsapp, SMS) cu un link unde li se cer datele cardului sub pretextul de a primi cât mai rapid banii pentru produsul lor.
Trebuie să ținem minte – cardul este un instrument de plată, nu unul de încasare. Foarte multe persoane cad în această capcană, introduc datele cardului iar după aceea încep să observe tranzacții neautorizate pe contul bancar.
Cea de a treia tipologie pe care o observăm este cea legată de frauda la plata facturilor. Atunci când există o relație de lungă durată între client și furnizor, intervine și un fraudator. De exemplu, prin compromiterea email-ului furnizorului, fraudatorul transmite o factură cu un cont bancar diferit față de cel obișnuit. Clientul face plata în contul greșit și banii se duc către fraudator.
Cam acestea trei ar fi cele mai frecvente tipuri de fraudă. Atacurile au fost și vor fi în continuare, atât împotriva clienților, cât și împotriva băncilor, dar aici ne bazăm foarte mult pe expertiza acumulată și cooperarea bună pe care o avem cu autoritățile. Varianta de compromitere a clienților este cea care se folosește cel mai des acum.
