Lue uutinen mobiilisivustolla

Verkkopankin tietoturva on asiakkaan ongelma

Suomalaiset verkkopankit ovat olleet suhteellisen turvallisia, sillä vaihtuva vahvistuskoodi on ollut vaikea pala phishing-huijareille.
Kuva: Kalle Parkkinen/Lehtikuva

19.4.2007 09:10 - Turvallisuusongelmana ovat laitteet, jotka eivät ole millään tavoin pankkien ylläpidettävissä. Ongelma ei koske vain verkkopankkeja, vaan kaikkia verkossa tarjottavia palveluita, joiden tunnisteilla pääsee käsiksi rahanarvoiseen tietoon, sanoo ylitarkastaja Sari Kajantie Keskusrikospoliisista.

Tilanne on Suomessa melko hyvä, koska tietoturvallisuus on alun perin suunniteltu verkkopankkipalveluihin.

- Pankeilla on myös hyvin toimiva turvallisuusprosessi. Siksi pankkien asiakkaisiin kohdistuva verkkorikollisuus on Suomessa ollut melko vähän näkyvä ilmiö - toisin kuin muualla, Kajantie sanoo.

Tietoturva-asiantuntija Kauto Huopio Viestintäviraston CERT-FI-ryhmästä muistuttaa, että verkkoasiointipalveluja käytetään koko tietotekniikan kirjolla, ensimmäisistä Windows-työasemista uusimpiin matkaviestimiin.

- Palvelun toteuttajan on turvallisuussuunnittelussa lähdettävä olettamuksesta, että käyttäjän päätelaitteen tietoturva ei ole kaikilla palvelun käyttäjillä aivan sataprosenttisesti kunnossa, Huopio sanoo.

Vaihtuva tunnusluku suojaa

CERT-FI:n tiedossa ei ole yhtäkään onnistunutta hyökkäystä suoraan suomalaisen pankin tietojärjestelmiin.

- Aina tietoihin on päästy asiakkaaseen kohdistuneella kalastelulla tai asiakkaan työaseman haittaohjelmatartunnan välityksellä, Huopio tähdentää.

Verkkopankkirikoksia ovat Suomessa ehkäisseet vaihtuvat tunnuslukulistat jo modeemiaikana, kauan ennen phishingiä ja pankkitroijalaisia.

- Tämä on hyvä perussuojataso, varsinkin jos itse maksutapahtumat vahvistetaan tunnusluvuilla, joiden käyttöjärjestys on satunnainen ja verkkopankin järjestelmien valitsema, sanoo Huopio.

Ruotsi on saanut verkkohuijareilta kovempaa kyytiä kuin Suomi. Huopion mukaan keskeisin ero maiden välillä on juuri verkkopankkien tunnistuksessa.

- Maksumääräyksen hyväksymisen yhteydessä kysytty erillinen vahvistuskoodi on ollut hankalampi pala phishing-huijareille, Huopio uumoilee.

Yhdistymisien myötä myös pieni Suomi saa entistä enemmän kansainvälisten rikollisten huomiota.

- Kieli toimii vielä nyt aika hyvänä palomuurina, mutta en usko että menee kauan ennen kuin rikolliset saavat värvätyksi tarpeeksi hyvää suomea kirjoittavan henkilön verkostoonsa, sanoo Nixun vanhempi tietoturvakonsultti Timo Vehviläinen.

Suurin uhka tulee sisältä

Pankkien hallinnollisessa tietoturvassa olisi paljon parannettavaa. Suurin tietoturvauhka tulee organisaation sisältä. Ohjeita ei noudateta.

- Varsinkin järjestelmien ylläpitoon liittyvien prosessien sekä käyttöoikeuksien valvontaan ja hallintaan liittyvät tietoturva-asiat ovat heikommin hoidettuja kuin palomuurit, virustorjunta, salatut etäyhteydet ja muu tekninen tietoturva, joka suomalaispankeissa on hyvällä mallilla, sanoo Vehviläinen.

Salasanojakin luovutetaan lähes kaikissa organisaatioissa ohjeiden vastaisesti muille.

- Verkottuvassa maailmassa käyttöoikeuksia tulee entistä useampaan sovellukseen, ja usein organisaation ulkopuolisille henkilöille. Käyttöoikeusviidakon hallinta vaatii omat työkalunsa - ja ennen kaikkea toimivat prosessit, Vehviläinen toteaa.

Myös todistusaineiston kerääminen ja luotettava säilyttäminen ovat usein heikoissa kantimissa. Vehviläinen uskookin, että lokidatan keräämiseen ja hallintaan panostetaan yhä enemmän.

Antti Kirves toimitus@digitoday.fi

Kirjoita kommentti

Kommentit (11)

0

0

- Turvallisuusongelmana ovat laitteet, jotka eivät ole millään tavoin pankkien ylläpidettävissä. Ongelma ei koske vain verkkopankkeja, vaan kaikkia verkossa tarjottavia palveluita, joiden tunnisteilla pääsee käsiksi rahanarvoiseen tietoon, sanoo ylitarkastaja Sari Kajantie Keskusrikospoliisista.

Digitoday

Lainaa Ilmoita asiaton viesti

# 19.4.2007 10:13

0

0

Niin vaan Nordealla edelleenkin käytetään tunnuslukuja numerojärjestyksessä. Ei pitäisi olla kummakaan temppu toteuttaa sitä että pankin kone kysyisi satunnaisessa järjestyksessä lukuja kun niitä tarvitaan. Nordea suorastaan houkuttelee phishereitä nykysysteemillään!

MattiE

Lainaa Ilmoita asiaton viesti

# 19.4.2007 10:13

0

0

OP taas päästää kirjautumaan sisään aina samalla tunnuksella.

hmm

Lainaa Ilmoita asiaton viesti

# 19.4.2007 12:06

0

0

OP taas päästää kirjautumaan sisään aina samalla tunnuksella.

Toimeksiantoihin tulee käyttää satunnaisessa järjestyksessä kysyttäviä kertakäyttösalasanoja.

tai ei

Lainaa Ilmoita asiaton viesti

# 19.4.2007 12:14

0

0

Nordean verkkopankkiin tulee tietää oma asiakasnumeronsa. Asiakasnumero vieläpä piilotetaan niinkuin salasanakentät netissä yleensä.

Sampo verkkopankkiin tarvitaan asiakasnumero ja lisäksi valitaan oma henkilökohtainen 4-numeroinen salasana.

Molemmissa pankeissa toimeksiannot vaativat kertakäyttösalasanan, joka molemmissa noudattaa numerojärjestystä. Nykyään molemmissa pankeissa jo kirjautuminen vaatii kertakäyttöisen salasanan.

Vastaus MattiE:lle:
On ihan sama valitaanko numero satunnaisesti vai numerojärjestyksessä, jos käyttäjä itse luovuttaa toiselle henkilölle nämä tunnukset. En nyt keksi mitä haittaa numerojärjestyksessä käytettävistä tunnuskoodeista on, khalastelijalle ne ovat yhtä kaikki satunnaisia.

Sampo ja Nordea

Lainaa Ilmoita asiaton viesti

# 19.4.2007 13:22

0

0

Vastaus MattiE:lle:
On ihan sama valitaanko numero satunnaisesti vai numerojärjestyksessä, jos käyttäjä itse luovuttaa toiselle henkilölle nämä tunnukset. En nyt keksi mitä haittaa numerojärjestyksessä käytettävistä tunnuskoodeista on, khalastelijalle ne ovat yhtä kaikki satunnaisia.

Jos tekee valesivun sisäänloggaukselle ja pyytää sillä antamaan seuraavan numeron, niin saa toimivan tunnuksen varmemmin kuin pyytämällä satunnaista lukua.

Ajatusleikkijä

Lainaa Ilmoita asiaton viesti

# 19.4.2007 14:50

0

0

Siis nordealla homma pelaa näin:
Kirjaudutaan sisään omalla asiakasnumerolla ja numerojärjestyksessä seuraavalla kertakäyttösalasanalla.
(100kpl á 4 numeroa).
Toimeksiantoon tarvitaan sitten arvottu salasana, jotka ovat uudelleenkäytettäviä (30 kpl á 4 numeroa)
Nämä uudelleenkäytettävät numerot uusiutuvat aina uuden kertakäyttölistan mukana.

nordealla

Lainaa Ilmoita asiaton viesti

# 19.4.2007 15:34

0

0

..kun nykymaailmassa työnnetään joka paikkaan
erilaisia prosessoreja jotka voisivat kohtuullista
kelloa ja yksilöllistä siemenlukua käyttäen laskeskella
näitä lukuja niin ettei niiden kalastamisella ole merkitystä
muutaman sekuntin kuluttua, niin miksi meidän pitää
käyttää aatamin aikuisia paperiruksauslistoja ja muovikortteja.

Ei mene jakeluun

Lainaa Ilmoita asiaton viesti

# 19.4.2007 20:00

0

0

Nordea voisi kysyä apua Osuuspankki - ryhmittymältä: siellä tunnuslukuja kysellään satunnaisessa järjestyksessä ...

JariH

Lainaa Ilmoita asiaton viesti

# 19.4.2007 20:26

0

0

..kun nykymaailmassa työnnetään joka paikkaan
erilaisia prosessoreja jotka voisivat kohtuullista
kelloa ja yksilöllistä siemenlukua käyttäen laskeskella
näitä lukuja niin ettei niiden kalastamisella ole merkitystä
muutaman sekuntin kuluttua, niin miksi meidän pitää
käyttää aatamin aikuisia paperiruksauslistoja ja muovikortteja.

Eipä nuo minuutin välein vaihtuvat numeronäytötkään ongelmaa poistaisi. Phisherit vain tekisivät lomakkeestaan reaaliaikaisen, eli kun saadaan riittävä määrä tietoa, tilisiirto tapahtuu välittömästi. Tällöin pankin palvelin haluaa juuri sen satunnaisluvun minkä käyttäjä kaavakkeelle laittoi.

Satunnaiset numerolistat paperilla ovat turvallisempia, sillä käyttäjä ei itse voi tietää mitä numeroa pankki sillä hetkellä haluaa. Numeronäytössä numero on se yksi ja tietty mikä siinä juuri silloin on.

Sami

Lainaa Ilmoita asiaton viesti

# 20.4.2007 9:24

Sivut: 1 2 Edellinen Seuraava

Uutiset

Seksuaalirikoksesta epäilty valmentaja löytyi kuolleena sellistä

• Miljoonien viinakokoelma myyntiin vaimon vuoksi
• Pohjanlahdelta löytyi upotettu konjakkilaiva
• USA:n tiedustelupalvelu kumoaa huhut Kim Jong-unin salamurhasta
• Tukholman teinit tilaavat vodkaa tekstiviestillä