Dig­itál­ní iden­ti­ta jako nové ​„klíče od bytu“. Jak banky chrání klien­ty před mod­erní­mi útoky?

V kyber­net­ické bezpečnos­ti označu­je takz­vaná ​„první lin­ie obrany“ týmy a pro­cesy, které mají za úkol před­cházet bezpečnos­t­ním hrozbám ještě dříve, než mohou ohroz­it sys­témy nebo klien­ty. V praxi jde o spoluprá­ci bezpečnos­t­ních spe­cial­istů s vývo­jový­mi, architek­ton­ick­ý­mi i busi­ness týmy na návrhu bezpečných aplikací, služeb a pro­cesů. Součástí této role je také nas­tavování bezpečnos­t­ních pravidel, dohled nad jejich dodržováním i hledání kom­pro­misu mezi bezpečnos­tí, provozem a uži­va­tel­sk­ou přívě­tivostí. ​„Pokud nějaké hroz­by nas­tanou, musíme je co nejdříve zachytit a reago­v­at na ně tak, aby měly co nej­menší dopad na banku a klien­ty,“ popisu­je Lorenc. 

Kyber­net­ická bezpečnost v bankovním prostředí není jen o blokování útoků. Ve skutečnos­ti jde čas­to o hledání kom­pro­misu mezi bezpečnos­tí, uži­va­tel­ským kom­fortem a obchod­ní­mi poža­davky. Bezpečnos­t­ní spe­cial­isté se pro­to zapo­ju­jí už do návrhu nových služeb, aplikací nebo změnových poža­davků. ​„Na řešení se díváme z jiného úhlu pohle­du. Nemáme primárně fokus na max­imál­ní uži­va­tel­sk­ou efek­tiv­i­tu, ale na to, aby nemoh­lo dojít k pro­lomení sys­té­mu, pokud se uži­va­tel nebo útočník bude chtít cho­vat pro­ti pravidlům,“ vysvětluje. 

Součástí práce bezpečnos­t­ních týmů je také tvor­ba interních stan­dardů, dohled nad jejich imple­men­tací a plnění reg­u­la­torních poža­davků, které na banky dopada­jí napřík­lad v rám­ci evrop­ské legislativy. 

Pojem dig­itál­ní iden­ti­ta dnes podle Lorence zna­mená mno­hem víc než obyče­jné přih­lašo­vací úda­je. Jde o online obdobu občan­ského průkazu, tedy sou­bor ověřených infor­ma­cí, které uži­va­tel posky­tu­je různým službám. ​„Klient pak může využít reg­is­traci, kter­ou má v bance, i pro jiné služ­by. Ban­ka garan­tu­je, že jde skutečně o daného klien­ta, a to vždy s jeho explic­it­ním souh­lasem,“ říká. 

Právě na tom­to prin­cipu fun­gu­jí i pro­jek­ty typu evrop­ské dig­itál­ní peněženky nebo bankovní iden­ti­ty. Cílem je, aby uži­vatelé nemuseli znovu procházet reg­is­trací u každé nové služ­by a zároveň měli větší kon­trolu nad tím, jaká data sdíle­jí. Dig­itál­ní iden­ti­ta přit­om není jen o úda­jích, ale i o metodách ověřování. Součástí iden­ti­ty může být hes­lo, tele­fon­ní čís­lo nebo napřík­lad mobil­ní aplikace George, která slouží jako bezpečnos­t­ní prostředek pro přih­lášení i potvr­zování transakcí. 

Dig­itál­ní iden­ti­ta a příst­up do inter­ne­tového bankovnictví dnes patří k nej­cen­nějším úda­jům, které uži­vatelé mají. Útoční­ci pro­to stále častěji cílí právě na přih­lašo­vací úda­je, mobil­ní zařízení nebo nepo­zornost klien­tů. Násle­du­jící desatero shrnu­je nejdůležitější doporučení, která pomáha­jí chránit vaše data: 

1. Chraňte své bezpečnos­t­ní údaje. 
   

2. Chraňte si svůj počí­tač i mobil­ní zařízení. 
   

3. Přis­tupu­jte ke službám s využitím Bankovní IDen­ti­ty výhrad­ně ze svého počí­tače či mobil­ního zařízení. Pozor na free Wi-Fi sítě. 
   

4. Zvolte si sil­né a bezpečné hes­lo a PIN. 
   

5. Pozor na pod­vod­né zprávy, neotevíre­jte neznámé odkazy na cizí servery. 
   

6. Kon­trolu­jte posled­ní úspěšné přih­lášení a neza­pomeňte se odhlásit. 
   

7. Zkon­trolu­jte si, pro co udělu­jete souh­las a co potvrzujete. 
   

8. Buďte obezřet­ní při svých náku­pech na internetu. 
   

9. Pravidel­ně sle­du­jte infor­ma­ce o bezpečnosti. 
   

10. V pří­padě podezření na pod­vod se ihned spo­jte s bankéřem. 

Ačko­liv banky inves­tu­jí obrovské prostřed­ky do tech­nické ochrany sys­témů, nejčastější útoky dnes míří na psy­chologii klien­tů. Útoční­ci podle Lorence využí­va­jí přede­vším sociál­ní inženýrství. ​„Útoční­ci využí­va­jí nej­jednodušší a nejméně nák­lad­nou ces­tu manip­u­laci klien­ta tak, aby jim své finance poskytl sám,“ upo­zorňu­je. Typ­ick­ým scénářem je falešný bankéř, policista nebo investiční porad­ce, který klien­ta vyděsí hrozbou ztrá­ty peněz nebo ho naopak naláká na rych­lý výdělek. Právě pro­to banky stále více inves­tu­jí nejen do tech­nologií, ale také do edukace klien­tů. Zák­lad­ní doporučení zůstává jednoduché: nejed­nat pod tlakem, ukončit podezřelý hov­or a vše si ověřit přes ofi­ciál­ní kon­tak­ty banky.

Mod­erní ochrana bankovních aplikací dnes pracu­je s kom­bi­nací více fak­torů tedy s tím, co uži­va­tel zná, vlast­ní nebo čím bio­log­icky je. Vedle hes­el a SMS kódů se stále více prosazu­jí bio­met­rické metody nebo kryp­tografické klíče uložené v tele­fonu. Banky zároveň ana­lyzu­jí chování uži­vatelů i prostředí, ve kterém aplikace běží. 

„Vyhod­nocu­jeme, zda se může jed­nat o čin­nost útoční­ka, nebo oprávněného uži­vatele služ­by,“ popisu­je Lorenc. Důleži­tou roli přit­om hra­je i ochrana soukromí. Banky podle něj pracu­jí pouze s daty, která jsou nezbyt­ná pro zajištění bezpečnos­ti a splnění reg­u­la­torních poža­davků včet­ně GDPR. 

Jed­nou z nejdůležitějších dis­ci­plín mod­erní kyber­net­ické bezpečnos­ti je tzv. threat mod­el­ing, tedy sys­tem­at­ické hledání možných hrozeb už při návrhu řešení. Bezpečnos­t­ní spe­cial­isté společně s IT týmy procháze­jí jed­notlivé scénáře používání aplikací a hleda­jí poten­ciál­ní zran­itel­nos­ti. Ty násled­ně řeší tech­nick­ý­mi opatření­mi, pro­cesy nebo monitoringem. 

„Reál­ně jde o hledání hrozeb v návrhu řešení. Někdy se je nepo­daří elim­i­no­vat úplně, a pak nas­tupu­je pro­ces akcep­tace zbytkových rizik,“ říká. Právě ten­to příst­up umožňu­je odhalit prob­lémy ještě před nasazením sys­té­mu do provozu. Čas­to dřív, než by je dokázal zneužít útočník. 

Podle Lorence bude v příštích letech stále důležitější stan­dard­izace dig­itál­ní iden­ti­ty a větší srozu­mitel­nost pro běžné uži­vatele. Lidé by měli lépe chá­pat, co zna­mená přih­lášení, jaká data sdíle­jí nebo co před­stavu­jí jejich dig­itál­ní ​„klíče“. ​„Je nut­né u lidí budovat obec­né vědomí, co je tře­ba chránit a kon­trolo­vat. Disku­tu­jeme o určité for­mě ​“řidičáku” pro dig­itál­ní iden­ti­tu,“ uza­vírá. Ste­jně jako se člověk musí naučit bezpečně řídit auto, bude podle něj potře­ba naučit se bezpečně fun­go­vat i v online světě. Tech­nolo­gie budou dál pokročilé, ale bez zák­lad­ního porozumění uži­vatelů neb­ude možné dig­itál­ní služ­by dlouhodobě chránit.