Zalecenia bezpieczeństwa

Zalecenia bezpieczeństwa

1. Upewnij się, że logujesz się na stronie banku, sprawdź symbol „zatrzaśniętej kłódki”.

Na stronę logowania najbezpieczniej jest wchodzić bezpośrednio ze strony głównej banku. Należy unikać wchodzenia na stronę logowania banku za pomocą adresów zapisanych „w ulubionych” lub przez strony logowania proponowane przez wyszukiwarki internetowe. Nie otwieraj strony bankowości internetowej poprzez link z e-maila i nie instaluj oprogramowania z niezaufanego źródła.

Adres strony koniecznie musi zaczynać się od HTTPS i mieć symbol kłódki, co oznacza, że połączenie jest szyfrowane. Zawsze przed logowaniem zweryfikuj Certyfikat Bezpieczeństwa Banku, którego szczegóły są dostępne poprzez kliknięcie na symbol kłódki w oknie przeglądarki:

Kliknięcie w kłódkę wyświetli rozszerzone informacje dotyczące certyfikatu. Tu możesz zweryfikować bezpieczeństwo połączenia z witryną. Sprawdź, czy certyfikat został wydany dla Banku Spółdzielczego w Gliwicach.

2. Nie ignoruj problemów z certyfikatami strony.

Czytaj uważnie pojawiające się w przeglądarce komunikaty o zagrożeniach. Nie ignoruj ostrzeżeń o błędnym lub nieważnym certyfikacie i koniecznie zachowaj ostrożność. Dwukrotne kliknięcie na symbol kłódki umożliwia wyświetlenie informacji o certyfikacie (np. data ważności i dla kogo został wystawiony).

3. Dbaj o systemy i aplikacje, z których korzystasz.

Stosuj i aktualizuj programy antywirusowe. Używaj jedynie legalnego oprogramowania. Pamiętaj aby aktualizować systemy operacyjne, oraz przeglądarki internetowe w komputerze i telefonie. Regularnie skanuj urządzenia używane do bankowości internetowej aktualnym programem antywirusowym. Do korzystania z bankowości internetowej nie używaj obcych komputerów którym nie można ufać (np. w kafejkach internetowych). Po zakończeniu pracy w bankowości elektronicznej wyloguj się używając przeznaczonej do tego opcji w aplikacji, gwarantuje to poprawne zakończenie sesji przez użytkownika.

4. Uważaj na wiadomości próbujące wyłudzić Twoje dane.

Nigdy nie odpowiadaj na wiadomości z prośbą o podanie Twoich poufnych danych (np. do logowania) lub zawierających prośby o ich aktualizację. Bank nigdy nie prosi w wiadomościach o podanie poufnych informacji (dane osobowe, identyfikatory, hasła, kody SMS). Nie otwieraj wiadomości i dołączonych do nich załączników nieznanego pochodzenia.

5. Podstawą bezpieczeństwa jest silne hasło.

Imiona dzieci, partnera lub pupila, data urodzenia, kolejne znaki z klawiatury nie są dobrym zabezpieczeniem Twoich środków i danych osobowych. Silne hasło powinno być odpowiednio długie, mieć co najmniej 8 znaków, duże i małe litery, znak specjalny taki jak np. @, #, $ oraz przynajmniej jedną cyfrę. Pomieszane ciągi znaków są lepszym rozwiązaniem niż standardowe słowa z cyfrą na końcu. Dobrą praktyką jest zmienianie hasła np. raz w miesiącu, nawet wówczas gdy system tego nie wymusza.

6. Podczas logowania do bankowości internetowej nie wymagamy od Ciebie instalowania żadnych dodatkowych aplikacji ani certyfikatów.

System bankowy w procesie logowania nigdy nie prosi o żadne dodatkowe dane poza koniecznymi do uwierzytelnienia w systemie bankowości internetowej (np. login, hasło, wskazanie tokena, kod SMS).

7. Korzystaj z opcji bezpieczeństwa dostępnych w bankowości internetowej oraz w naszych placówkach.

Ustaw lokalizację geograficzną, skorzystaj z funkcjonalności „Filtrowanie adresów IP”, która daje możliwość określenia z jakiego adresu internetowego (IP) możesz się bezpiecznie logować. Dzięki temu dostęp do Twojego konta będzie lepiej zabezpieczony przed potencjalnymi niebezpieczeństwami.

Korzystaj z dostępnych funkcji pasywnych SMS udostępnianych przez Bank – komunikatów, dzięki którym automatycznie będziesz informowany o wystąpieniu danego zdarzenia. W celu uruchomienia tej usługi – skontaktuj się z Bankiem.

8. Chroń swoje dane uwierzytelniające do bankowości internetowej.

Nie zapisuj wrażliwych danych w sposób łatwo dostępny dla osób postronnych. Nie przechowuj danych uwierzytelniających w sposób umożliwiający ich wykorzystanie przez osoby postronne w przypadku zagubienia lub kradzieży (np. hasła do aplikacji mobilnej nie trzymaj w łatwo dostępnym, przewidywalnym miejscu). Kartę mikroprocesorową używaną do podpisu zleceń usuń z czytnika po zakończeniu procesu autoryzacji i zawsze odpowiednio ją zabezpieczaj.

9. Sprawdzaj poprawność numeru NRB przed i po podpisie przelewu.

Zawsze zwracaj szczególną uwagę na poprawność numeru NRB odbiorcy Twojego przelewu. Zwróć szczególną uwagę po wklejeniu go ze schowka systemu. Najlepiej zrezygnuj z kopiowania numeru NRB.

10. W razie potrzeby zablokuj dostęp do swoich środków.

W przypadku zgubienia lub kradzieży danych uwierzytelniających do bankowości internetowej bądź telefonu z zainstalowaną aplikacją mobilną należy je niezwłocznie zastrzec lub zmienić dane uwierzytelniające za pośrednictwem bankowości internetowej lub pod wskazanymi na stronie internetowej numerami.

11. Zgłaszaj wszystkie nieprawidłowości.

Jeśli otrzymasz wiadomość sms lub e-mail z prośbą o Twoje dane do bankowości lub instalację dodatkowego oprogramowania lub jeśli zauważysz jakiekolwiek inne nieprawidłowości w działaniu systemu – zgłoś się do nas.

12. Śledź na bieżąco nasze komunikaty.

Na stronie logowania oraz w ramach komunikatów systemu bankowości internetowej oraz aplikacji mobilnej zamieszczamy informacje o potencjalnych zagrożeniach, które zostały zidentyfikowane przez bank i mogą zagrażać naszym klientom.

13. Śledź komunikaty o zagrożeniach publikowane przez Związek Banków Polskich.

Związek Banków Polskich na stronach internetowych (ZBP.PL) publikuje aktualne ostrzeżenia, komunikaty i poradniki dla klientów banków. W celu zachowania bezpieczeństwa swoich pieniędzy staraj się na bieżąco śledzić zamieszczane tam informacje.

Zwróć uwagę na kilka istotnych elementów, dzięki którym będziesz bezpiecznie korzystać z bankowości elektronicznej.

1. Podczas logowania pamiętaj, że Bank NIGDY nie prosi o:

podanie kodów SMS i numeru telefonu,
użycie certyfikatu przekazanego przez bank do autoryzacji transakcji,
podanie, ani aktualizację danych osobowych i/lub teleadresowych.

2. Podczas korzystania z serwisu pamiętaj, że Bank NIGDY nie prosi o:

instalowanie dodatkowych aplikacji lub innego dodatkowego oprogramowania na komputerze bądź telefonie.
Jeśli zostaniesz poproszony o pobranie takiego oprogramowania, skontaktuj się z Bankiem – to najprawdopodobniej próba oszustwa. Instalując program czy aplikację nieznanego pochodzenia, ryzykujesz zainfekowanie urządzenia, z którego korzystasz, złośliwym oprogramowaniem, które może umożliwić cyberprzestępcom przejęcie kontroli nad wysyłanymi na Twój numer telefonu SMS-ami z kodami autoryzacyjnymi, a tym samym nad dostępem do Twoich pieniędzy.
podanie, ani aktualizację danych osobowych i/lub teleadresowych

3. Podczas autoryzowania transakcji pamiętaj:

Jeżeli do autoryzacji operacji używasz kodów SMS, przed potwierdzeniem transakcji zlecanej w serwisie internetowym zawsze uważnie czytaj treść otrzymanego SMS-a, aby upewnić się, że dotyczy on właściwej operacji, a numer rachunku odbiorcy oraz kwota transakcji są zgodne ze złożonym przez Ciebie zleceniem. W SMS-ie z kodem autoryzacyjnym znajduje się informacja o tym, że kod został wygenerowany i wysłany w celu zatwierdzenia konkretnej dyspozycji przelewu na podany w wiadomości SMS numer rachunku i kwotę. Otrzymanie takiego SMS-a w przypadku, gdy nie zlecałeś żadnego przelewu, powinno wzbudzić Twój niepokój. Jeżeli zostałeś poproszony o podanie kodu z narzędzia autoryzacyjnego mimo, że nie zlecałeś żadnej dyspozycji, nie wprowadzaj żądanych danych i niezwłocznie skontaktuj się z Bankiem
by odczytać całą treść komunikatu z tokena, która zawiera szczególne cechy transakcji, takie jak w szczególności: nr rachunku odbiorcy oraz kwotę

4. Przypominamy:

nie wchodź na stronę logowania do Systemu korzystając z odnośników otrzymanych pocztą e-mail lub znajdujących się na stronach nie należących do Banku
nie odpowiadaj na żadne e-maile dotyczące weryfikacji Twoich danych (np. identyfikator, hasło) lub innych ważnych informacji - Bank nigdy nie prosi o podanie danych poufnych pocztą elektroniczną
zawsze przed logowaniem sprawdź, czy adres strony rozpoczyna się od https://bsgliwice24.pl.
zawsze przed logowaniem zweryfikuj Certyfikat Bezpieczeństwa Banku , którego szczegóły są dostępne poprzez kliknięcie na symbol kłódki w oknie przeglądarki:
Kliknięcie w kłódkę wyświetli rozszerzone informacje dotyczące certyfikatu. Tu możesz zweryfikować bezpieczeństwo połączenia z witryną. Sprawdź, czy certyfikat został wydany dla Banku Spółdzielczego w Gliwicach.
zachowuj poufność danych do logowania. Nie przechowuj nazwy użytkownika i haseł w tym samym miejscu oraz nie udostępniaj ich innym osobom,
pamiętaj, że regularna zmiana hasła podwyższy Twoje bezpieczeństwo,
nie zezwalaj przeglądarce na zapisywanie identyfikatora i hasła,
unikaj logowania z komputerów, do których dostęp mają również inne osoby (np. w kawiarenkach, u znajomych, w otwartych hot-spotach, w centrach handlowych),
w trosce o ochronę przed wyłudzeniem poufnych danych i innymi oszustwami internetowymi korzystaj tylko ze stacji roboczych wyposażonych w program antywirusowy, przeprowadzaj jego bieżące aktualizacje i systematycznie skanuj nim komputer.
po zalogowaniu do systemu transakcyjnego nie odchodź od komputera,
zawsze kończąc pracę korzystaj z polecenia - Wyloguj
Jeżeli podczas logowania do serwisu zauważysz nietypowe komunikaty lub prośby o podanie kodów autoryzacyjnych danych osobowych bądź innych poufnych, powinieneś natychmiast zgłosić ten fakt do Banku (tel. w godz. 8-17, w dni pracy banku: (32) 30 20 161, (32) 30 20 162, (32) 30 20 126.

Pomoc techniczna

Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript.

pomoc telefoniczna

tel. w godz. 8-17, w dni pracy banku
(32) 30-20-161
(32) 30-20-162
(32) 30-20-126

- wysłanie wiadomości SMS z numeru telefonu, na który przesyłane są kody do autoryzacji transakcji (o treści bi#identyfikator na numer +48 724-725-382)
- wysłanie wiadomości SMS z dowolnego numeru telefonu (o treści bi#identyfikator#PESEL na numer +48 724-725-382).

Upewnij się, że SMS na pewno został wysłany przez Bank

1. Autoryzacja kodem SMS

SMSy z Banku wysyłane są z numeru telefonu: 661 002 224.
Treść komunikatu zaczyna się od słów: BS Gliwice, po którym następuje kolejno: tytuł operacji, kwota, data, część numeru NRB odbiorcy przelewu oraz kod autoryzacyjny.

2. Komunikaty SMS

SMSy z Banku wysyłane są z numerów telefonu: 724 725 382 lub 724 725 383.
Treść komunikatu zaczyna się od słów: BS Gliwice, po którym następuje treść powiadomienia o wysokości salda na rachunku z podaniem wartości kwoty oraz tytułu operacji wpływającej na jego zmianę.

Pamiętaj!
Bank nigdy nie wysyła SMSów z kodami autoryzacyjnymi do transakcji, których nie zleciłeś. Zawsze dokładnie sprawdź treść wiadomości i upewnij się, że wszystkie wskazane w nim informacje są zgodne z wydaną przez Ciebie dyspozycją.
Jeśli treść SMSa wzbudzi Twoje zaniepokojenie skontaktuj się z Bankiem.

Aby bezpiecznie korzystać z bankowości należy zadbać również o bezpieczeństwo urządzeń, na których używamy systemów bankowych, czyli o własne komputery i telefony.

1. Urządzenie powinno mieć zainstalowany program antywirusowy z aktualną bazą wirusów.

Dzięki temu jest zabezpieczone przed większością złośliwego oprogramowania, które jest już znane. Zalecamy stosowanie pełnych wersji programów antywirusowych, tj. wyposażonych w następujące funkcje: antywirus i antyspyware, antyphishing, Anti-Theft, ochrona bankowości internetowej, ochrona przed botnetami, zapora osobista (firewall), antyspam.

2. Aktualny system i oprogramowanie gwarantuje większe bezpieczeństwo.

Ponieważ wiele aktualizacji naprawia luki w zabezpieczeniach, które przestępcy mogą wykorzystać. Należy pamiętać o systematycznych uaktualnieniach programów na komputerach i w telefonach.

3. Systematyczna aktualizacja przeglądarek internetowych zapewnia większy poziom bezpieczeństwa.

4. Dobrą praktyką jest zabezpieczanie urządzenia dodatkowym hasłem.

Chroni to nasz komputer i telefon przed dostępem osób niepowołanych np. w sytuacji gdy zgubimy urządzenie, na którym korzystamy z systemu bankowego.

5. Oprogramowanie należy instalować na komputerze i telefonie jedynie z oficjalnych źródeł.

Pirackie wersje programów nie są wspierane przez producentów w kwestiach bezpieczeństwa. Drastycznie rośnie też ryzyko, że pobierzemy nieświadomie złośliwe oprogramowanie.

6. Należy zachować ostrożność i nie otwierać żadnych wiadomości i plików, które wydają nam się podejrzane, a ich pochodzenie nie jest potwierdzone. Trzeba je niezwłocznie usunąć z dysku.

1. Nie podawaj informacji o karcie na stronach, które nie są bezpieczne.

Adres strony koniecznie musi zaczynać się od HTTPS i mieć symbol kłódki, co oznacza, że połączenie jest szyfrowane. Czytaj uważnie pojawiające się w przeglądarce komunikaty o zagrożeniach. Nie ignoruj ostrzeżeń o błędnym lub nieważnym certyfikacie i koniecznie zachowaj ostrożność. Dwukrotne kliknięcie na symbol kłódki umożliwia wyświetlenie informacji o certyfikacie (np. data ważności i dla kogo został wystawiony).

2. Zachowaj ostrożność przy przekazywaniu numeru karty telefonicznie.

Nie należy udostępniać numeru karty nikomu, kto do Ciebie dzwoni prosząc przez telefon o numer karty płatniczej. Jeżeli to Ty inicjujesz połączenie, również nie należy udostępniać numeru karty przez telefon, gdy nie masz pewności, że rozmówca zasługuje na zaufanie.

3. Nie odpowiadaj na pocztę elektroniczną, z której wynika konieczność podania informacji o karcie. Nigdy nie należy odpowiadać na maile, które zapraszają do odwiedzenia strony internetowej w celu weryfikacji danych, w tym o kartach. Ten rodzaj oszustwa jest nazywany „phishingiem”.

4. Nie zapisuj kodu PIN na karcie, ani nie przechowuj go razem z kartą.

Postępowanie takie jest niezgodne z przepisami prawa, a także w przypadku posłużenia się Twoją kartą płatniczą przez osobę nieuprawnioną bank będzie zwolniony z obowiązku pokrycia powstałej szkody.

5. Chroń swój numer karty i inne poufne kody umożliwiające dokonane transakcji.

Przestępcy mogą wchodzić w posiadanie numeru PIN, numeru CVV2 lub CVC2 (ostatnie trzy cyfry numeru umieszczonego na pasku do podpisu na odwrocie karty), rejestrując obraz karty np. przy użyciu telefonu komórkowego z aparatem fotograficznych, kamerą video lub w inny sposób.

Ostrzeżenia dotyczące spoofingu/vishingu:

Ostrzegamy przed wzmożonym działaniem oszustów, którzy podszywają się pod Bank Spółdzielczy w Gliwicach.

Możliwe jest to dzięki technice zwanej spoofingowi. Oszuści wykorzystują słabe strony sieci GSM, które pozwalają im podszywać się pod dowolny numer telefonu. Kontaktują się i informują, że właśnie padłeś ofiarą oszustwa i ktoś włamał się na Twój rachunek. Rozmowa głównie dotyczy zablokowania wykonanego przelewu lub dokonania transakcji kartą, aby pod pretekstem usprawnienia komunikacji z bankiem lub usunięcia wirusa, przekonać do zainstalowania aplikacji, która przejmie kontrolę nad urządzeniem ofiary. Zdarza się również, że oszuści nakłaniają ofiarę do przelania środków na "zapasowy i bezpieczny" rachunek bankowy, ponieważ środki zgromadzone na jego rachunku nie są już bezpieczne.
Oszuści dzwonią z rożnych numerów. NA TWOIM TELEFONIE MOŻE WYŚWIETLIĆ SIĘ NAWET NUMER NASZEGO BANKU!!!!

Pamiętaj:
- Pracownicy Banku nigdy nie proszą o podanie hasła do bankowości elektronicznej oraz kodów autoryzacyjnych;
- Nie podawaj danych poufnych odnośnie Twojej karty czy dostępu do bankowości internetowej.
- Nie podawaj przez telefon kodów z SMS-ów autoryzacyjnych.
- Nigdy nie instaluj dodatkowego oprogramowania na prośbę osoby dzwoniącej.
- Zwróć uwagę na akcent dzwoniącego, czy używane słowa np. konto zamiast rachunek.
- Zachowaj zdrowy rozsądek. Nie działaj pod presją czasu. Chroń swoje dane!
- Jeśli masz jakiekolwiek wątpliwości z kim rozmawiasz, rozłącz się, odczekaj minimum 30 sekund i samodzielnie skontaktuj się z Bankiem lub z osobą z którą kontaktujesz się zawsze w jednostce Banku. Koniecznie wybierz oficjalny numer na klawiaturze numerycznej, nie oddzwaniaj z listy połączeń, które wyświetlają się na telefonie.
- Bądź ostrożny! A jeśli podałeś poufne dane skontaktuj się z Bankiem pod numerem telefonu 32 30 20 161/ 126 lub 512 868 189

Ostrzeżenia dotyczące fałszywych stron www oraz wiadomości SMS:

Każdy z nas codziennie jest narażony na zagrożenia w cyberprzestrzeni, ale są momenty, gdy czujność trzeba jeszcze dodatkowo wzmocnić. W związku z obecną sytuacją na Ukrainie oraz ogłoszeniem stopnia alarmowego CHARLIE-CRP, polecamy przygotowane przez CERT Polska rekomendacje dla obywateli i firm, których wdrożenie uważamy za konieczne.

Rekomendacje dla obywateli

Zapoznaj się z poradnikiem dotyczącym bezpieczeństwa skrzynek pocztowych i kont w mediach społecznościowychoraz zastosuj się do jego rekomendacji.
Bądź wyczulony na sensacyjne informacje, w szczególności zachęcające do natychmiastowego podjęcia jakiegoś działania. Weryfikuj informacje w kilku źródłach. Upewnij się, że informacja jest prawdziwa przed podaniem jej dalej w mediach społecznościowych. Jeśli masz jakieś wątpliwości, wstrzymaj się.
Uważaj na wszelkie linki w wiadomościach mailowych i SMS-ach, zwłaszcza te sugerujące podjęcie jakiegoś działania, np. konieczność zmiany hasła, albo podejrzaną aktywność na koncie. Obserwowaliśmy w przeszłości tego typu celowane ataki na prywatne konta, gdzie celem było zdobycie informacji zawodowych.
Upewnij się, że posiadasz kopię zapasową wszystkich ważnych dla siebie plików i potrafisz je przywrócić w przypadku takiej potrzeby.
Śledź ostrzeżenia o nowych scenariuszach ataków na naszych mediach społecznościowych: Twitter, Facebook.
Zgłaszaj każdą podejrzaną aktywność przez formularz na stronie cert.pllub mailem na Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript.. Podejrzane SMS-y prześlij bezpośrednio na numer 799 448 084. Rekomendujemy zapisanie go w kontaktach.

Rekomendacje dla firm

Należy:

Przetestować przywracanie infrastruktury z kopii zapasowych. Kluczowe jest, żeby zostało to wykonane w praktyce na wybranych systemach, nie tylko proceduralnie. Jeśli do tej pory Twoja organizacja nie testowała nigdy procedury przywracania kopii zapasowych, to jest to właściwy moment na zrobienie tego.
Upewnić się, że posiadane kopie zapasowe są odizolowane i nie ucierpią w przypadku ataku na resztę infrastruktury.
Upewnić się, że dokonywane są aktualizacje oprogramowania, w szczególności dla systemów dostępnych z internetu. Należy zacząć od podatności, które są na liście obecnie aktywnie wykorzystywanych w atakach.
Upewnić się, że wszelki dostęp zdalny do zasobów firmowych wymaga uwierzytelniania dwuskładnikowego.
Przejrzeć usługi w adresacji firmowej dostępne z internetu i ograniczyć je do niezbędnego minimum. Można w tym celu wykorzystać np. portal Shodan. W szczególności nie powinny być bezpośrednio dostępne usługi pozwalające na zdalny dostęp jak RDP czy VNC.
Aktualizować w sposób automatyczny sygnatury posiadanych systemów bezpieczeństwa typu AV, EDR, IDS, IPS, itd.
Wdrożyć filtrowanie domen w sieci firmowej na bazie publikowanej przez nas listy ostrzeżeń. Dzięki temu w szybki sposób zablokowane zostaną zaobserwowane przez nas złośliwe domeny.
Zapoznać się z przygotowanym przez CSIRT KNF poradnikiem dotyczącym obrony przed atakami DDoSi wdrożyć jego rekomendacje.
Zapoznać się z naszym poradnikiem omawiającym sposoby wzmocnienia ochrony przed ransomwarei wdrożyć jego rekomendacje.
Zapoznać się z naszymi materiałami dotyczącymi bezpieczeństwa haseł.
Zapoznać się z naszym artykułem dotyczącym mechanizmów weryfikacji nadawcy wiadomościi wdrożyć je dla domen wykorzystywanych do wysyłki poczty.
W przypadku posiadania własnego zakresu adresów IP zalecamy dołączenie do platformy N6. Za jej pośrednictwem udostępniamy na bieżąco informacje o podatnościach i podejrzanej aktywności obserwowanej przez nas w podanym zakresie adresowym.
Wyznaczyć osobę odpowiedzialną za koordynację działań w przypadku wystąpienia incydentu i przećwiczyć procedury reagowania.
Uczulić pracowników na obserwację podejrzanej aktywności oraz poinformowanie o sposobie jej zgłaszania do wyznaczonej w firmie osoby.
Zgłosić do nas osobę kontaktową, nawet jeśli nie zobowiązuje do tego ustawa. Dzięki temu będziemy w stanie szybko skontaktować się z właściwą osobą w celu przesłania ostrzeżenia.
Zgłaszać każdą podejrzaną aktywność do właściwego CSIRT-u, tj.:
CSIRT NASK
CSIRT GOV
CSIRT MON

Uwaga! Jeśli Twoja firma współpracuje z podmiotami na Ukrainie lub ma tam oddziały, dodatkowo:

Sprawdź reguły dla dostępu sieciowego, ogranicz dozwolony ruch do minimum.
Monitoruj ruch sieciowy, w szczególności na styku sieci z tymi firmami/oddziałami.
Obejmij szczególnym monitoringiem hosty, na których jest zainstalowane oprogramowanie, które otrzymuje automatyczne aktualizacje od podmiotów na Ukrainie.
Ostrzeż pracowników, aby byli szczególnie wyczuleni na informacje nakłaniające ich do podjęcia jakiegoś działania.

Opracował: Zespół CERT Polska działający w strukturach NASK (Naukowej i Akademickiej Sieci Komputerowej).

Więcej szczegółów na CERT.PL

Wszyscy codziennie używamy haseł chroniących nasze komputery, telefony, aplikacje czy też bankowość elektroniczną. Pomimo, że hasła stoją na straży ważnych informacji o nas, nie zawsze należycie przykładamy się do ich stworzenia. Oto najważniejsze zasady tworzenia i korzystania z haseł, których nie powinniśmy lekceważyć, jeśli nie chcemy martwić się o nasze dane i pieniądze:

Stwórz hasło, które liczy co najmniej 12 znaków. Czy wiesz, że hasło 8 znakowe, zawierające jedną dużą literę program komputerowy może odszyfrować w 22 minuty, tymczasem na odszyfrowanie hasła 12 znakowego z jedną dużą literą potrzeba 300 lat.
Unikaj prostych słów lub fraz. Hasło powinno składać się z kombinacji liter (w tym wielkich i małych liter), cyfr i znaków specjalnych.
Unikaj oczywistych informacji: takich jak imiona, daty urodzenia lub numerów - są zbyt łatwe do odgadnięcia.
Nie używaj tego samego hasła do różnych kont: jeśli ktoś uzyska dostęp do jednego konta, a używasz tylko jednego hasła, to złodziej znając je uzyska też dostęp do wszystkich zasobów.
Zmieniaj hasło co 3-6 miesięcy, stosując zasady tworzenia haseł, które podajemy w poradniku.
Unikaj korzystania z publicznych sieci Wi-Fi – mogą to być sztucznie stworzone sieci w celu przechwycenia przesyłanych przez Ciebie informacji. Sugerujemy korzystać z własnego Internetu mobilnego albo z zaufanych sieci WiFi WPA2 zabezpieczonych hasłem.
Używaj menedżera haseł, który pomaga generować i przechowywać bezpieczne hasła dla różnych kont. Dzięki temu nie musisz pamiętać wielu różnych haseł. Wystarczy, że pamiętasz jedno główne hasło do menedżera haseł.
Nie udostępniaj swojego hasła nikomu. Nie umieszczaj go w miejscach łatwo dostępnych, takich jak notatnik czy na pulpicie komputera, telefonu.

Dodatkowe zabezpieczenia - co oferuje współczesna technologia

Dzięki innowacyjnym rozwiązaniom możemy dodatkowo zabezpieczyć nasze urządzenia lub aplikacje. Czasami, jak to jest w przypadku systemów biometrycznych, umożliwiają one szybkie i wygodne logowanie za pomocą technologii rozpoznawania twarzy, czytnika tęczówek oka lub skanera linii papilarnych. Większość nowych komputerów i smartfonów ma wbudowane czytniki biometryczne. Wystarczy tylko odpowiednio skonfigurować procesy logowania, do czego bardzo zachęcamy.

Innym dostępnym rozwiązaniem jest klucz bezpieczeństwa. To urządzenie podobne do pendrive'ów, które zapewniają bezpieczny dostęp do kont online. Po włożeniu takiego klucza do portu USB komputera, musisz wprowadzić dodatkowy kod lub zatwierdzić logowanie przyciskiem na kluczu. Takie urządzenie U2F można kupić nawet online – koszt jednorazowy to około 200 zł. Są też bardziej zaawansowane i jednocześnie droższe klucze z czytnikiem biometrii. Klucz U2F jako bezpieczny sposób autoryzacji będzie już niedługo dostępny w naszym Banku.

Zagrożenie – wyciek danych

W ostatnich dniach została opublikowana baza ponad miliona danych uwierzytelniających dotyczących użytkowników z Polski. W sieci Internet został udostępniony zestaw danych pochodzących z komputerów prywatnych użytkowników, których urządzenia zostały zainfekowane złośliwym oprogramowaniem tzw. "stealerem" wykradającym wpisywane przez nich hasła. Baza danych jest bardzo obszerna i dotyczy rozmaitych instytucji, w tym instytucji rządowych, banków itp. Ponadto zbiór danych może być aktywnie wykorzystywany przez cyberprzestępców. Należy zwrócić uwagę, że w tych danych może być sporo danych niepoprawnych (tzw. false-positive).

Opis zdarzenia

W trakcie analizy zbioru danych, zespół wykazał, że dane znajdujące się w wycieku są złączeniem wielu mniejszych zbiorów pozyskanych przez złośliwe oprogramowanie typu "information stealer". Informacje były pozyskiwane bezpośrednio z zainfekowanych urządzeń. W związku z tym, przestępcy mogli mieć dostęp zarówno do haseł wpisywanych na klawiaturze oraz do danych logowania zapisanych w przeglądarkach. W ramach tego wycieku udostępniono ponad milion unikalnych rekordów z loginem oraz hasłem do różnych serwisów i usług. W związku z tym jednostki odpowiedzialne za cyberbezpieczeństwa podjęły odpowiednie działania w celu ograniczenia skutków tej sytuacji.

Rekomendacje

W związku z dużą skalą wycieku, rekomendujemy sprawdzenie, czy Państwa dane znajdują się w upublicznionym zbiorze. Istnieje rządowy serwis internetowy za pomocą którego każdy klient może zweryfikować czy jego dane zostały upublicznione przez cyberprzestępców w sieci Internet.

• serwis bezpiecznedane.gov.pl – serwis rządowy, który po zalogowaniu poprzez Profil Zaufany umożliwia zweryfikowanie czy dane konto lub email znalazło się w wycieku. Na obecną chwilę w tym serwisie dostępne są dane wyłącznie ze wspomnianego wcześniej incydentu.

W trosce o bezpieczeństwo Państwa środków oraz danych, ostrzegamy przed oszustwem kryptowalutowym polegającym na inwestowaniu na rynkach kryptoaktywów i FOREX za pośrednictwem fałszywych serwisów internetowych. Należy zaznaczyć, że inwestycje
w kryptoaktywa oraz na rynku FOREX co do zasady są legalne, i nadal bardzo popularne.

Wariantów wyłudzeń związanych z inwestowaniem w kryptoaktywa jest wiele.

Obecność i atrakcyjność reklam inwestycyjnych w Internecie, w tym tych, które wykorzystują wizerunek osób znanych (bez ich wiedzy i zgody) mogą wskazywać na możliwość osiągnięcia bardzo wysokich zysków, które mogą być nieprawdziwe, i zazwyczaj kończą się utratą środków. W związku z coraz częstszym występowaniem tego rodzaju ofert inwestycyjnych należy zachować szczególną ostrożność w podejmowaniu decyzji inwestycyjnych.

Poniżej prezentujemy zasady, które mogą Państwa zabezpieczyć przed utratą własnych środków w wyniku wydania dyspozycji realizacji polecenia przelewu na rachunek bankowy wykorzystywany przez przestępców.

Zachowaj czujność i działaj rozsądnie!

Fałszywi doradcy inwestycyjni mogą kontaktować się Tobą bezpośrednio np. telefonicznie, czy pocztą email albo za pośrednictwem wykorzystania reklam w mediach społecznościowych, serwisach internetowych oraz aplikacjach mobilnych. Najczęściej oferują klientom pomoc
w inwestowaniu typu np. świadczenie doradztwa inwestycyjnego, rekomendowania transakcji na rynku Forex za pośrednictwem platform inwestycyjnych, zarządzanie portfelami klientów czy podejmowanie i realizowanie decyzji inwestycyjnych na ich rachunek.

Mogą Cię poprosić o udostępnienie poufnych danych, takich jak login i hasło do bankowości elektronicznej czy aplikacji mobilnej. Mogą Cię prosić również o udostępnienie danych dotyczących karty płatniczej. W celu pozyskania wrażliwych danych, oszuści zwykle proszą
o zainstalowanie dodatkowego oprogramowania na komputerze (np. Anydesk, TeamViewer). Jeśli tego dokonasz oszuści mają dostęp do twojego komputera i mogą korzystać z twojej bankowości elektronicznej (tzw. zdalny pulpit). Mogą wykorzystać też kody SMS-ów, które przekażesz, aby np. potwierdzić wniosek o pożyczkę lub kredyt w banku, wykorzystując twoją tożsamość.

Dlatego, jeśli natrafisz na artykuł o możliwości uzyskania wysokich zysków z inwestycji lub skontaktuje się z Tobą osoba informująca Cię o:

możliwości uzyskania szybkich i wysokich zysków dzięki inwestycji
w kryptoaktywa lub na rynku FOREX,
gwarancji zysku dla „każdego” bez względu na poziom wiedzy o rynkach finansowych,
pomocy”brokera”i konieczności pierwszej wpłaty (tzw. opłaty rejestracyjnej),
konieczności instalacji aplikacji (na komputerze lub telefonie), dającej możliwość automatyzacji operacji związanej z kupnem i sprzedaży kryptowaluty lub operacji na rynku Forex.

Pamiętaj o podstawowych zasadach bezpieczeństwa!

Zastanów się na spokojnie, zachowaj zdrowy rozsądek i dużo ostrożności.
Zachowaj szczególną ostrożność, kiedy szukasz informacji o inwestycjach.
Nie ulegaj presji i nie daj się skusić atrakcyjnymi ofertami. Nie działaj pod wpływem chwili.
Dokładnie sprawdź wiarygodność podmiotu, który oferuje wysokie zyski
z inwestycji.

Zweryfikuj, czy:

jeżeli nie masz wiedzy na temat działania kryptowalut, inwestowanie w nie może okazać się dla Ciebie zbyt ryzykowne,
unikaj inwestowania dużych sum pieniędzy bez weryfikacji, komu je udostępniasz,
nie udostępniaj nikomu danych do logowania w bankowości elektronicznej
i mobilnej,
nie instaluj dodatkowego oprogramowania na urządzeniach, z których następuje logowanie do bankowości elektronicznej.

Stosuj się też do zasad bezpiecznego korzystania z bankowości elektronicznej określonych na stronie Banku w module Bezpieczeństwo oraz Bankowość Elektroniczna

Przydatne linki ostrzegawcze:

https://www.knf.gov.pl/dla_konsumenta/ostrzezenia_publiczne

https://uwazajnakryptowaluty.pl

Jesteś ofiarą oszustwa?

Jak najszybciej skontaktuj się z naszym bankiem oraz zgłoś przestępstwo na Policji.

W razie jakichkolwiek dodatkowych pytań lub wątpliwości skontaktuj się z Bankiem.

Bezpieczeństwo systemów teleinformatycznych - KNF 2018

Pomoc techniczna

Pomoc i kontakt

Pomoc i kontakt