Вы используете устаревший браузер!

Страница может отображаться некорректно.

Правовед

Правовед

Другие выпуски этой рубрики (54)
  • добавить в избранное
    Добавить в закладки

О виновности жертв

Прочитали: 12553 Комментариев: 96 Рейтинг: 94

3 октября 2018

К чему приводит невнимательность:

Согласно сообщениям в чешской прессе, двое «хакеров» получали доступ к чужим аккаунтам, подбирая простые пароли.

Чешское подразделение телеком-провайдера Vodafone пытается возложить всю полноту ответственности на жертв взлома. Чешское издание Idnes.cz пишет, что оператор даже отправлял коллекторов к некоторым своим клиентам, чтобы заставить тех возместить украденное хакерами.

Сами жертвы, между тем, утверждают, что понятия не имели о том, что им при продаже установили пароль 1234, или что существовал какой-либо онлайновый магазин по продаже услуг Vodafone. Представители провайдера признали, что кто-то из работников компании мог устанавливать конечным клиентам простой пароль, но те всё равно должны были озаботиться собственной безопасностью и сменить пароль на более надёжный.

http://safe.cnews.ru/news/top/2018-09-07...

Как так получилось? Договоры нужно читать! Но не станем искать требования регуляторов в Чехии – вот требования Банка России:

4.2. Для снижения банковских рисков, которые связаны с недостаточной защитой от ВК (вредоносный код) клиентских АРМ систем ДБО (операционного, правового, стратегического, риска потери деловой репутации (репутационного риска) и риска ликвидности), кредитной организации рекомендуется:

  • 4.2.1. Разработать, утвердить уполномоченным органом управления кредитной организации и при необходимости пересматривать требования по организации и осуществлению клиентами - пользователями систем ДБО защиты от ВК клиентских АРМ систем ДБО*(3) (далее - требования по защите от ВК клиентских АРМ систем ДБО), а также порядок подтверждения выполнения клиентами - пользователями систем ДБО указанных требований по запросу кредитной организации*(4).
  • 4.2.2. Изложить требования по защите от ВК клиентских АРМ систем ДБО в договорах (соглашениях), предметом которых является предоставление клиентам услуг ДБО (далее - договоры), а также в эксплуатационной документации на системы ДБО и в памятках, передаваемых клиентам при заключении договоров.
  • 4.2.3. При внесении кредитной организацией изменений в состав и содержание требований по защите от ВК клиентских АРМ систем ДБО информировать клиентов об этом и вносить соответствующие изменения в ранее заключенные договоры и эксплуатационную документацию на системы ДБО.
  • 4.2.4. При изменении порядка подтверждения выполнения клиентами требований по защите от ВК клиентских АРМ систем ДБО вносить соответствующие изменения в ранее заключенные договоры.
  • 4.2.5. Предусматривать в договорах положения, в соответствии с которыми кредитная организация не несет ответственность в случаях финансовых потерь, понесенных клиентами в связи с нарушением и (или) ненадлежащим исполнением ими требований по защите от ВК клиентских АРМ систем ДБО, а также включать в договоры описание процедур разрешения споров, возникающих в связи с компрометацией аутентификационной и идентификационной информации, используемой клиентами для доступа к системам ДБО (логины, пароли, биометрическая информация и тому подобное) и (или) с нарушениями в работе клиентских АРМ систем ДБО, в том числе являющимися следствием воздействия на клиентские АРМ ВК.

https://www.garant.ru/products/ipo/prime/doc/70526030/

Короче: договор банка с клиентом должен описывать меры по защите. «Кредитная организация не несет ответственность в случаях финансовых потерь, понесенных клиентами в связи с нарушением и (или) ненадлежащим исполнением ими требований по защите», а на случай если клиент не исполняет требования или вообще не читал договор – требуется «включать в договоры описание процедур разрешения споров», возникших в том числе после «воздействия на клиентские АРМ ВК».

А вот – первый случайно попавшийся банковский документ:

Банк настоятельно рекомендует придерживаться приведенных ниже правил:

  • Использовать SMS-подтверждения. Сервис позволяет подтверждать суммы платежных документов отправляемых Клиентом.
  • Использовать IP-фильтрацию - дополнительный сервис, запрещающий пользование ключами ЭП на компьютерах вне вашего офиса. IP-фильтрация позволяет быть уверенным в том, что информация, передаваемая в банк, будет обработана только в случае совпадения IP-адреса передающего компьютера с IP-адресом клиента, хранящимся в базе данных банка;
  • Не допускать использования «пустых» или простых паролей, например 123456, qwerty, для всех учетных записей, имеющих право входа в Windows. Осуществлять периодическую смену паролей, рекомендуемая частота смены паролей -1 раз в месяц;
  • Ограничить доступ к компьютерам, используемым для работы с;
  • При обслуживании компьютера ИТ-сотрудниками, обеспечивать контроль над выполняемыми ими действиями;
  • На компьютерах, используемых для работы с Системой, исключить посещение Интернет-сайтов сомнительного содержания, загрузку и установку нелицензионного программного обеспечения и т.п. По возможности, полностью запретить все соединения (входящие и исходящие) с сетью Интернет, разрешив только доступ к необходимым ресурсам;
  • Использовать только лицензионное программное обеспечение, обеспечив автоматическое обновление системного и прикладного программного обеспечения;
  • Применять на рабочем месте лицензионные средства антивирусной защиты, обеспечив возможность автоматического обновления антивирусных баз, а также еженедельную полную антивирусную проверку;
  • Применять на рабочем месте специализированные программные средства безопасности: персональные файрволы, антишпионское программное обеспечение и т.п.;
  • Осуществлять антивирусную проверку любых файлов и программ, загружаемых из сети Интернет, полученных по электронной почте или на внешних носителях (дискеты, флеш-накопители, CD/DVD и др.);
  • Проводить полную антивирусную проверку после любых действий внештатных IT-специалистов или других сотрудников, выполнявших операции на компьютере, используемом для работы с системой. Например, решение технических проблем: подключения к сети Интернет, установки или обновления бухгалтерских и информационно-правовых программ;
  • Не допускать работу под учетной записью Windows, имеющей права администратора. Необходимо использовать учетную запись с ограниченными правами в операционной системе Windows, установленной на компьютере;
  • Запрещать использование любых средств удаленного (дистанционного) доступа, которые обычно используется IT-специалистами для удаленной поддержки. Заблокировать возможность использования таких средств с помощью файрвола (программного и/или аппаратного);
  • При возникновении подозрений на несанкционированное использование Секретных ключей ЭП или наличие в компьютере вредоносных программ – обязательно заблокировать ключи ЭП;
  • Если Вы заметили проявление необычного поведения программного обеспечения ... или какие-то изменения в интерфейсе программы – позвонить в Банк и выяснить, не связаны ли такие изменения с обновлением версии программного обеспечения. Если нет – заблокировать ключи ЭП.

Все вменяемо, логично, ничего сверхсложного. Тем более что добрая половина требований выполняется за счет установки и настройки современного антивируса.

Еще вариант:

  1. Используйте компьютер только для целей осуществления электронных платежей в системе ДБО Банка. Разрешите доступ с компьютера в сеть Интернет только на необходимые для работы IP-адреса (сервер системы ДБО Банка, серверы обновления операционной системы, антивируса и т.п.). Ни в коем случае не используйте компьютер, с которого осуществляется работа в системе ДБО, для развлечений и Интернет-серфинга, не посещайте сайты сомнительного содержания (наибольшие источники распространения вредоносных программ).
  2. Используйте на компьютере с системой ДБО только лицензионное программное обеспечение, что снижает риск «взлома» (например, операционных систем, пакетов для офисной работы и т.п.). Своевременно устанавливайте все обновления на операционную систему.
  3. Используйте современное лицензионное антивирусное программное обеспечение, которое имеет режим постоянного файлового мониторинга, контролирует сетевой трафик, электронную почту. Своевременно обновляйте антивирусные базы.
  4. Установите пароль на доступ к компьютеру. Желательно установить на рабочий стол «экранную заставку» со временем блокировки экрана не более 5 минут после окончания работы (т.е. если ответственный сотрудник не работает за компьютером более 5 минут - компьютер включает «экранную заставку»), которую можно разблокировать только после ввода пароля.
  5. Используйте для повседневной работы только пользователя с ограниченными, минимальными полномочиями. Не работайте на компьютере с правами Администратора.
    Административные полномочия в операционной системе следует использовать только Системным Администраторам для решения задач администрирования или для установки и настройки операционной системы и программного обеспечения.
  6. Ограничьте доступ к компьютеру, с которого осуществляется подключение к системе ДБО Банка: компьютер установите в недоступном для посторонних лиц месте, в закрываемом на ключ помещении.
  7. Отключите режим автозапуска на сменных носителях (CD, флеш-накопителях и т.п.). Всегда проверяйте посторонние сменные носители на отсутствие вирусов и иных вредоносных программ, а также свои флеш-накопители, если они подключались к другим компьютерам.
  8. Не устанавливайте на компьютер системы удаленного управления, не разрешайте подключения к компьютеру как к удаленному рабочему месту.
  9. Не устанавливайте и не сохраняйте подозрительные файлы, полученные из ненадежных источников, скачанные с неизвестных web-сайтов, присланные по электронной почте, полученные в телеконференциях. Такие файлы лучше немедленно удалять. В случае необходимости загрузки файла убедитесь, что он проверен антивирусом.

    10. Прочие рекомендации

    1. При ошибке и (или) сбое в работе аппаратно-программного обеспечения системы ДБО, которые могут привести к нарушению целостности данных в информационном контуре системы, обязательно позвоните в банк и убедитесь, что не произошло несанкционированного использования системы ДБО.

Тоже ничего нелогичного и сверхсложного!

Перед установкой и настройкой системы «Клиент-Банк» на рабочем месте Уполномоченного лица Клиента необходимо установить и настроить средства антивирусной защиты. Приобретение, установка и настройка данных средств осуществляется Клиентом самостоятельно. Антивирусное программное обеспечение должно быть настроено на ежедневное обновление его баз данных, текущий и не реже 1 раза в неделю полный контроль рабочего места Клиента на наличие вирусов и других вредоносных кодов

Банк не несет ответственности за ущерб, возникший ... в связи с нарушением и(или) ненадлежащим исполнением Клиентом требований по антивирусной защите своего рабочего места, а также в результате несанкционированного доступа к информации Клиента, возникшего не по вине Банка

Настоящим договором устанавливается, что до Клиента доведена информация о возможных рисках получения несанкционированного доступа к защищаемой информации

Банк не несет ответственность за последствия, возникшие в результате того, что Клиент не предоставил информацию, либо предоставил неполную информацию

Банк не несет ответственности за последствия, возникшие в результате того, что Клиент не ознакомился с сообщениями, переданными Банком посредством системы «Клиент-Банк» в порядке и в сроки, установленные Договором

Все логично.

А вот банк обязан:

  • 4.2.6. Организовать консультирование клиентов - пользователей систем ДБО по вопросам защиты от ВК на постоянной основе с использованием телефонной связи, web-сайтов, электронной почты и тому подобное (прежде всего клиентов - пользователей систем ДБО, использующих сеть Интернет).
  • 4.2.7. Организовать информирование клиентов - пользователей систем ДБО кредитной организации о новых разновидностях ВК, угрожающих безопасности клиентских АРМ систем ДБО, способах защиты от их воздействия и устранения последствий такого воздействия.

https://www.garant.ru/products/ipo/prime/doc/70526030/

Так что если есть проблемы с вирусами – смело можете обращаться в банк. Обязаны помочь!

#ДБО #взлом #пароль #законодательство

Антивирусная правДА! рекомендует

  1. Читайте договоры и выполняйте их требования. Если что – виноваты будете вы.
  2. Не забывайте о безопасности. Ваши деньги должны остаться у вас, не правда ли?

Оцените выпуск

Сделайте репост

Необходимо войти на страницу выпуска через аккаунт на сайте «Доктор Веб» (или создать аккаунт). Аккаунт должен быть связан с вашим аккаунтом в социальной сети. Видео о связывании аккаунта.


Нам важно ваше мнение

Чтобы оставить комментарий, нужно зайти через свой аккаунт на сайте «Доктор Веб». Если аккаунта еще нет, его можно создать.

Комментарии пользователей

Комментарии к другим выпускам | Мои комментарии

 
На страницу: