Hakerzy 26 razy przelali pieniądze z konta

- Raz wziąłem ten kod, ale nie połączyło mnie, jeszcze raz spróbowałem i podobna sytuacja. Udałem się do Alior Banku i poprosiłem, żeby mi sprawdzili, dlaczego nie mogę wejść na swoje konto firmowe – opowiada pan Bogdan.

Okazało się, że mężczyzna najprawdopodobniej nie zalogował się do swojego banku, tylko na stronę podstawioną przez hakerów – dzięki temu dostali oni kody logowania do konta. Z rachunku pana Bogdana dokonano 26 przelewów, w sumie zniknęło ponad 90 tys. zł.

- W banku kasjer mi zaproponował, żeby jak najszybciej zadzwonić na infolinię, żeby zablokować konto – opowiada Bogdan Garbacz.

- Przede wszystkim powinniśmy pamiętać o tym, by wpisywać adres banku w naszą przeglądarkę. Oczywiście w praktyce robimy to szybko, chcemy się szybko zalogować, szybko zrobić jakąś transakcję i wpisujemy nazwę w adresie, „www” i „nazwa banku”. Zwróćmy też uwagę jak wygląda strona, jeśli nagle zmieniła się całkowicie, zmieniło się ułożenie przycisków, coś jest nie tak, powinna nam się zapalić czerwona lampka. Przestępcy wiedzą, że ludzie używają wyszukiwarek, dlatego mogą pozycjonować swoje strony, phishingowe i tylko czekają na to, by ktoś na nie trafił – przestrzega Kamil Gapiński z Fundacji Bezpieczna Cyberprzestrzeń.

O komentarz poprosiliśmy Alior Bank, w którym konto ma pan Bogdan. Odpowiedź otrzymaliśmy przez email. To jego fragment:

(…) Dzięki szybkiej reakcji banku - naszych systemów oraz ekspertów ds. bezpieczeństwa - około 75% kwoty, którą usiłowali ukraść przestępcy została zatrzymana na koncie klienta oraz zabezpieczona na kontach w dwóch innych bankach. (…)

Prawdopodobnie w wyniku zainstalowania złośliwego oprogramowania zamiast strony logowania do systemu bankowego, klient otworzył stronę podstawioną przez przestępców. Na stronie znajdowała się informacja o możliwości zalogowania się przy wykorzystaniu nazwy użytkownika i hasła do bankowości oraz potwierdzenia za pomocą kodu sms. W ten sposób przestępcy wyłudzili od klienta login oraz hasło oraz dwa kody sms. Umożliwiło im to zalogowanie się do prawdziwego systemu transakcyjnego tego klienta i poprzez wygenerowanie, a następnie wpisanie kodów sms - zdefiniowanie dwóch tzw. odbiorców zaufanych. W ten sposób pieniądze zostały wyprowadzone z konta klienta do dwóch różnych banków bez konieczności każdorazowego podawania kodu potwierdzającego przelew.

Podkreślam, że w naszym banku logowanie nigdy nie jest zatwierdzane kodem sms, a zalogowanie do systemu internetowego w trakcie prac serwisowych jest niemożliwe. (…)
Marcin Herman, dyrektor działu PR i Komunikacji Wewnętrznej

48-letnia pani Renata z okolic Biłgoraja na swój telefon komórkowy otrzymała wiadomość o zaległościach za usługi telekomunikacyjne. Do wiadomości załączony był link do zapłaty. - Przez telefon weszłam w link właśnie. Jak mi później tłumaczono, oni pierwszym moim kodem, co wysłałam, zmienili sobie limit przelewu. A później była poprawka, niby że to błędny jest kod. Poprawiłam drugim kodem i oni sobie moje euro przewalutowali na złotówki i wtedy przelali – opowiada Renata Łaszcz.
Kobieta straciła 24 tys. zł. Transakcję reklamowała w banku Santander, ale ten czeka na zakończenie śledztwa prowadzonego przez prokuraturę. To fragment oświadczenia banku:

(…) Klientka poinformowała bank, że do usług bankowości internetowej logowała się z przesłanego w SMS-ie linku – bank szczególnie zwraca uwagę na to, aby logować się tylko ze strony banku. Zawsze podkreślamy, że nie przesyłamy klientom żadnych linków mogących służyć do logowania. Konsekwentnie przestrzegamy tej zasady. (…)Po zgłoszeniu klientki na infolinię banku, bank niezwłocznie podjął stosowne działania m.in. dokonał blokady konta, co do którego pojawiło się po zgłoszeniu klientki podejrzenie przestępstwa, blokadę usług bankowości internetowej p. Łaszcz. Sprawę zgłosiliśmy do Prokuratury, zalecając Klientce zgłoszenie sprawy organom ścigania. Zablokowane na przestępczym rachunku środki są w dyspozycji Prokuratury, bank nie może podjąć co do nich żadnych decyzji. (…)

Biuro Prasowe Santander Bank Polska

- Jak się tylko konsument klient zorientuje, że jest jakaś nieautoryzowana transakcja, czyli przelew środków, powinien jak najszybciej poinformować swój bank i bank powinien niezwłocznie – bo to jest zmiana z zeszłego roku ustawy o Usługach Płatniczych, zwrócić płatnikowi środki na konto. To jest ta odpowiedzialność banku. Chyba, że bank będzie w stanie udowodnić – nie uprawdopodobnić, tylko udowodnić, że była to zła wola płatnika, czyli klienta – informuje Katarzyna Szwedo-Mackieiwcz, z-ca dyrektora w Biurze Rzecznika Finansowego.*

* skrót materiału

Reporter: Aneta Krajewska

akrajewska@polsat.com.pl