Verkkopankissa riski on sinun

Tänä talvena tietoturvafirmat ovat raportoineet aiempaa äkäisemmistä, tieto-, salasana- ja henkilöllisyysvarkauksia tehtailevista haittaohjelmista. Niillä on isketty suuryrityksiin, mutta myös tavallisiin verkkopankkien käyttäjiin.

Suomessa näistä ovat tammikuun lopulla varoittaneet muun muassa Sampo Pankki ja Nordea.

Konnat eivät yritä turhaan murtaa pankkien vahvoja tietosuojauksia, koska on paljon helpompaa koukata tileille kotikoneiden kautta.

Haittaohjelmat pääsevät kotikoneille samalla tavalla kuin  muutkin verkkokonnuudet: yleensä käyttäjän erehdyksessä tai huolimattomuuttaan lataamina.

– Ne voivat tarttua myös käyttäjän vieraillessa saastuneella sivustolla, kertoo Finanssialan keskusliiton tietoturva-asiantuntija Taina Mantovaara.

Kun haittaohjelma on vaivihkaa latautunut tietokoneelle, se alkaa toimia kun käyttäjä seuraavan kerran kirjautuu verkkopankkiinsa.

Yleensä verkkopankin sisäänkirjautumissivu muuttuu englanninkieliseksi tai muuten hiukan tavallisesta poikkeavan näköiseksi. Usein valesivulla näkyy myös varoituksia nettipankin huoltokatkosta ja käyttöhäiriöistä.

Jos käyttäjä syöttää sisään tunnuslukunsa ja salasanansa, ohjelma kaappaa ne ja alkaa jossain vaiheessa imuroida tilejä tyhjäksi.

Pankki ei voi rakentaa
omaa muuria

Tammikuussa levinnyt uusin haittaohjelma-aalto saatiin todennäköisesti pysäytettyä, mutta kaikki viranomaiset varoittavat että uudenlaisia yrityksiä voi tulla minä päivänä tahansa.

Kuluttajan kannalta on raivostuttavaa, että pankkiasioita on käytännössä nykyisin hoidettava lähes kokonaan verkossa. Silti pankit eivät ole pystyneet luomaan systeemeistään aukottomia.

– Tietojärjestelmät voi tietysti rakentaa siten, etteivät ne olisi alttiita haittaohjelmille. Tästä syntyy uusi ongelma: järjestelmät olisivat todennäköisesti käytettävyydeltään kelvottomia, kertoo tietotekniikan keskusliiton FiComin varautumispäällikkö Kari Wirman.

Asiakkaan sisäänkirjaus olisi tavattoman hankalaa, joka toimenpide pitäisi varmentaa erikseen moneen kertaan ja käyttö hidastuisi. Todennäköisesti nopeammin asiansa saisi hoidettua käväisemällä pankin konttorissa, jonoista huolimatta.

Pankit lupaavat nyt tehostaa maksuliikenteensä valvontaa, jotta poikkeavat tilisiirto-ryöpsähdykset huomattaisiin ajoissa. Mutta yleisesti konnuuksien torjunta jää täysin käyttäjien vastuulle.

– Pankeilla ei ole mahdollisuuksia vaikuttaa asiakkaiden laitteisiin ja niiden suojauksiin muuten kuin neuvomalla ja opastamalla, Taina Mantovaara huomauttaa.

Samaa sanoo Kari Wirman.

– Vaikka palvelun tarjoaja tekisi mitä, mikään ei suojaa käyttäjää häneltä itseltään.

Osta virustorjuntaa
ja toivo parasta

Pankit patistavat asiakkaitaan pitämään ainakin virustorjuntaohjelmistonsa ajan tasalla ja palomuurit pystyssä. (Katso jutun lopusta tarkempi lista siitä, miten parantaa omaa pankkiturvallisuuttasi.)

Tietoturvaa Suomessa valvova viranomainen Cert-fi myönsi kuitenkin viime torstaina, etteivät kotitietokoneiden yleiset virustorjuntaohjelmat aina ehdi pysäyttää uusimpia haittaohjelmia ajoissa.

Jos ohjelma pääsee jotain kautta koneelle, virustorjunta ei pysty estämään sen toimintaa.

Vuodenvaihteessa havaitut haittaohjelmat käyttivät hyväkseen etenkin Windows XP:n ja Explorer-selaimen tietoturva-aukkoja.

– Verkkopankkiasiointiin voi käyttää eri selainta kuin muuhun verkossa liikkumiseen, Taina Mantovaara neuvoo.

Tämäkään ei takaa ehdotonta suojaa: osa haittaohjelmista toimii jo muillakin kuin Microsoftin selaimella.

Asiakas joutuukin epäilemään kaikkea, pitämään silmänsä tarkkana ja vähän stressautumaan joka kerta nettipankkiin mennessään.

Mutta samalla tavallahan olemme joutuneet vuosikausia huolehtimaan lompakoistammekin.

Kuinka kauan
omat mokat korvataan?

Suomessa haittaohjelmien uhreiksi joutui tammikuussa 15 Nordean asiakasta, jotka menettivät yhteensä 50 000 euroa. Pankki korvasi rahat.

Maailmalla rahalaitokset alkavat olla huomattavasti tylympiä: liian usein toistuvat tietoturvamöhläykset asiakas on joutunut kärsimään nahoissaan.

Alan korvausasiantuntijat ovat joskus verranneet tietorosvouksia tavallisiin rikoksiin.

Jos pankista ulos kävellyt asiakas levittelee rahojaan näyttävästi ja hänet ryöstetään kadulla, miksi pankin pitäisi korvata menetys?

Suomalaispankit eivät toistaiseksi ole ryhtyneet riitelemään menetyksistä, koska niille on tärkeää pitää kiinni verkkopankkien turvallisesta imagosta.

Silti ihan kaikkea nekään eivät sulata, esimerkiksi omien tilien tahallista avaamista kaikille väärinkäyttäjille.

– Pankin antamia salasanalistoja ja käyttäjätunnuksia on säilytettävä niin, etteivät ne voi joutua vääriin käsiin, muistuttaa Taina Mantovaara. Näin lukee jo nykyisissä verkkopankkien sopimusehdoissa.

Jos verkkorosvouksista tulee jokapäiväinen ilmiö, sopimuksiin lisättäneen vielä pienellä printillä uusia tietoturvaehtoja. Varmaa on, ettei nykyinen lähes avokätinen korvauslinja pankeissa enää monta vuotta jatku.