Podle odborníků je v současné době největším limitujícím faktorem bezpečnosti internetbankingu chování klienta. Banky obyčejně nedoporučují používat k přihlášení na váš účet počítače, o nichž nic nevíte – typicky v internetových kavárnách.
"Neznámý počítač" je pro Vás potenciálně nebezpečný, neboť Vám může bez Vašeho vědomí "zcizit" certifikát / soukromý klíč (uložený společně v souboru) a heslo, příp. uživatelské jméno a heslo. Dalším nebezpečím je tzv. phishing, kdy jsou klienti prostřednictvím e-mailové zprávy vyzváni k vyplnění a odeslání citlivých údajů. Jak vypadá? Dostanete mail, který působí dojmem, že jej zaslala vaše banka, s žádostí o vyplnění citlivých údajů na stránce uvedené v odkazu. Stránky, na které jste přesměrováni, však samozřejmě nepatří bance, a vy tak útočníkovi svěříte svá data. Ta pak bývají obratem zneužita pro přístup na váš účet.
Úrovní zabezpečení se mohou banky zásadně lišit. U dvou (Česká spořitelna a Citibank) stačí k přihlášení do služby internetbanking přihlašovací jméno (číslo) a heslo. Tento způsob je sice pohodlný, nicméně z uvedených způsobů nejméně bezpečný. Existují dokonce volně prodejné miniaturní sondy, které dokáží „odposlouchávat“ klávesnici, jsou velmi nenápadné a nevyžadují žádný zásah do programového vybavení počítače – potenciální útočník pak při použití tohoto zařízení zná všechny údaje, které potřebuje. Česká spořitelna umožňuje těm klientům, kterým tento způsob zabezpečení nestačí, možnost používat PIN kalkulátor, tedy zařízení, které po zadání PINu (případně údajů vztahujících se k transakci) vygeneruje jedinečný kód pro danou transakci. Jeho vydání stojí 300 korun.
 |
Jaké chyby vám banky rozhodně neodpustí? |
U Raiffeisenbank stačí klientům pro pasivní transakce rovněž pouze přihlašovací jméno a heslo. Pro provedení aktivních operací ovšem již potřebují certifikát. Po zadání hesla, které si při jeho generování zvolili, je transakce provedena. Mezi operace, které lze provést bez použití certifikátu, však patří například i změna hesla.
Tři banky zabezpečily pomocí certifikátu přístup na účet i potvrzování aktivních operací – Komerční banka, GE Capital Bank a Živnostenská banka. U Komerční banky si klient vygeneruje jeden certifikát, který použije pro přihlášení i potvrzení transakce. U GE Capital Bank a Živnostenské banky je třeba vy generovat certifikáty dva – SSL certifikát a podpisový certifikát. SSL certifikát je třeba importovat do prohlížeče (slouží k přihlášení), podpisový je poté zapotřebí pro autorizaci transakcí. Živnobankachystá pro své klienty možnost ukládat certifikáty na zažízení USB token.
Klientům vyžadujícím vyšší zabezpečení nabízí Komerční banka a ČSOB bezpečnostní certifikát na čipové kartě. Nejde ovšem o zcela snadnou věc – čtečka čipových karet není standardní součástí vybavení PC a není levnou záležitostí. V ČSOB ji lze získat v rámci balíčku Aktivní konto, za něž zaplatíte 170 korun za měsíc (součástí je dále kromě běžného účtu kreditní a debetní (embosovaná) karta, kontokorent, tři kanály přímého bankovnictví, 10 elektronických operací měsíčně a několik SMS zpráv o účtu zdarma). Jinak stojí vydání čipové karty s bezpečnostním certifikátem 100 Kč, vydání čtečky čipových karet potom dle druhu 500 až 1950 korun). Komerční banka zpoplatňuje vydání čipové karty 390 korunami.
Klienti HVB Bank používají pro přístup ke službám internetového bankovnictví i jejich provádění vždy PIN kalkulátor. Jednorázový poplatek za jeho získání a inicializaci elektronického bezpečnostního klíče činí 490 korun.
Zlevní v rámci EU výběry z bankomatů? Čtěte ZDE.
eBanka nabízí svým klientům tři druhy zabezpečení – mobilním, internetovým či osobním elektronickým klíčem. Nejběžnějším je mobilní – na mobilní telefon je klientovi po identifikaci klientským číslem zaslán autentizační kód (k jeho přečtení je nutno zadat BPIN, speciální osobní identifikační číslo, které chrání přístup k mobilnímu elektronickému klíči (MEK); k využívání MEK je nutné mít SIM kartu s bankovní aplikací). Pro potvrzení údajů k případné aktivní operaci je pak stejným kanálem zaslán ještě certifikační kód. Osobní elektronický klíč (OEK) není nic jiného než PIN kalkulátor – stojí ovšem klienta 89 Kč/ měsíc. Internetový elektronický klíč (IEK) je založený na standardních certifikátech. Jádro klíče představuje soubor, ve kterém je bezpečně uložen certifikát a soukromý klíč. Tento soubor si klient vygeneruje a nainstaluje na svůj počítač a využívá jej k přístupu k účtu nebo zadávání aktivních operací. Vlastní přístup k IEK je chráněn heslem, které si uživatel sám zvolí.
Jak již bylo řečeno, mají tyto různé způsoby zabezpečení své výhody i nevýhody. U první metody (přihlašovací jméno + heslo) již byly zmíněny. Co ostatní druhy? U certifikátu je nevýhodou nepohodlí spojené s generováním certifikátu a nutností nosit certifikát včetně soukromého klíče s sebou. Navíc v internetové kavárně hrozí zneužití certifikátu (resp. soukromého klíče), což se týká i případů, kdy klient v tomto prostředí používá čipovou kartu. U některých bank je navíc jeden z certifikátů nutno importovat do prohlížeče a poté mazat. Z tohoto hlediska jsou ostatní „předměty“ používané k zabezpečení bezpečnější a pohodlnější. Nejpohodlnější je pak mobilní telefon, neboť ten má jeho uživatel u sebe stále a nemusí přenášet nic navíc.
Samozřejmostí internetbankingu je šifrovaná komunikace mezi bankou a klientem. Dalšími bezpečnostními opatřeními mohou být tyto prvky: automatické odhlášení při nečinnosti, limity operací, zablokování při několika špatných zadáních hesla či možnost zasílání informačních zpráv. Banky navíc radí "fixní" hesla často měnit. Jednorázová hesla (generovaná PIN kalkulátory či rozesílaná pomocí mobilu) mívají potom omezenou platnost (obyčejně v řádech minut).
|
Některé banky ovšem mohou naopak překvapit negativně. U tří bank jsme zjistili vážný nedostatek - pokud se klient z účtu neodhlásí a přejde rovnou na jiné stránky, dostane se tlačítkem „back“ zpět na svůj účet. U Komerční banky a ČSOB alespoň nemůže případný útočník bez dalších prvků provádět aktivní operace, u České spořitelny by ale klienti měli dát pozor – pokud nepoužívají autentizační kalkulátor, mohli by o své peníze snadno přijít. |
Řekli jsme si o možnostech zvýšeného zabezpečení služby internetbanking. Část klientely však podle bank preferuje větší jednoduchost služby, a to i za cenu nižší funkčnosti a bezpečnosti.
GE Capital Bank na tento požadavek zareagovala zavedením internetového bankovnictví Genius. Oproti standardní Internetbance se liší zejména ve třech aspektech: funkce „ochuzeny“ o možnosti spoření, zabezpečení funguje pouze na úrovni přihlašovacího jména a hesla (není třeba certifikát) a denní limit činí 10 tisíc korun. Obě verze internetového bankovnictví stojí samostatně (mimo balíčky) 39 korun za měsíc.
Komerční banka zřídila službu zjednodušeného internetového bankovnictví pro klienty, kteří využívají telebanking (expresní linku). Těm za 10 korun měsíčně navíc umožní pomocí přístupových hesel pro telefonní bankovnictví internetový přístup k účtu. Služba ovšem má svá omezení. Především umožňuje provádět přes internet pouze jednoduché operace – zejména kontrolu zůstatku, historie účtu či zadání platebního příkazu. Denní limit pro operace je 10 tisíc korun. Aktivaci Expresní linky Plus (internetového přístupu) lze provést prostřednictvím telefonního bankéře.
Výhodou je zpoplatnění platebních příkazů zadaných přes internet – je totiž shodné se službou internetového bankovnictví – 1,90/3,90 Kč za příkaz (3,90/5,90, od šesté platby 7/9 Kč u telebankingu).
