A mobilra kiküldött kódokat is ellopják az adathalászok

Az ING pénzintézet lengyel leányvállalatának ügyfeleit verték át a szakértők szerint az eddigi legprofibban kivitelezett banki adathalász támadással, amelynek végrehajtása során már nemcsak a számítógépet, de az áldozat mobiltelefonját is kártevővel fertőzik meg.

Az F-Secure egy lengyel biztonsági szakértő blogja nyomán számolt be az esetről, amelyhez hasonló módszerrel tavaly ősszel egy spanyol bank számos ügyfelének adatait is ellopták. Az adatrablást a kifejezetten online banki belépési információk eltulajdonítására kiélezett Zeus nevű kártevő segítségével hajtották végre: ennek első változata még egyszerűen az általa megfertőzött PC-kről volt képes készítőinek továbbítani a belépéshez szükséges adatokat, újabb variánsa azonban már ennél összetettebb megoldást használ - ezzel a lengyel ING ügyfeleinek pénzéhez próbáltak meg hozzájutni online bűnözők két héttel ezelőtt.

Amikor az SMS-ben küldött jelszó sem véd

Miután egyre több pénzintézetnél alkalmaznak SMS-ben kiküldött, egyszer használatos belépési kódokat, az adathalászok is új módszerhez folyamodtak. Először magát a Zeus kártevőt juttatják a potenciális áldozatok számítógépére a látogató PC-jén lévő biztonsági réseken keresztül, egy meghamisított internetbanki oldalról. Ezen egy olyan felületet is elhelyeznek, amelyben az "ügyfél" megadhatja telefonjának típusát és hívószámát, hogy arra egy "biztonsági tanúsítványt" küldjenek, ami a belépéshez szükséges.

Szabad prédává válik az áldozat netbankja

Ez azonban valójában egy mobiltelefonos kártevő, amely jelenleg a Nokia telefonokon futó Symbian, illetve a Blackberry operációs rendszereket tudja támadni. Ha a csalárd mobilapplikációt a felhasználó önként feltelepíti a készülékre, az a későbbiekben a bejövő SMS-ek közül a netbankba való belépéshez használt jelszavakat tartalmazó üzeneteket megkaparintja, és titokban továbbítja készítőinek. Ha egy online banki ügyfél adatait ilyen módon megszerezték, a későbbiekben bármikor átutalhatnak számlájáról pénzt a netes bűnözők, ehhez elég a netbank belépési oldalát felkeresniük, az SMS-ben kiküldött jelszó pedig nem az ügyfélhez jut, hanem annak fertőzött mobiltelefonjáról ők fogják megkapni.