Kritični ranljivosti v PHP, programski opremi, ki jo uporabljajo številne spletne strani in storitve, zahtevata predvsem ukrepanje njihovih upravljavcev. Uporabnikom zgolj zaradi objave ranljivosti ni treba prenehati uporabljati spletnega ali mobilnega bančništva, so pojasnili na Uradu Vlade Republike Slovenije za informacijsko varnost (URSIV). Pozivajo pa k spremljanju obvestil ponudnikov in previdnosti pred goljufi.
“Objava ranljivosti sama po sebi ne pomeni, da so bili vaši podatki razkriti ali da je bil vaš bančni račun zlorabljen,” so poudarili na uradu.
Za namestitev varnostnih popravkov in zaščito sistemov morajo poskrbeti upravljavci spletnih strani in storitev. Uspešna zloraba ranljive storitve bi lahko povzročila razkritje podatkov, zlorabo uporabniških računov ali motnje pri delovanju, so opozorili na URSIV.
Goljufi lahko opozorila izkoristijo za lažna sporočila in klice
Novice o ranljivostih lahko postanejo izgovor za prevare, pri katerih goljufi uporabnike prepričujejo v nujno “zaščito računa” ali “varnostno posodobitev”.
Na uradu zato svetujejo dostop do banke prek uradne aplikacije ali shranjenega, preverjenega spletnega naslova. Za prijavo ne uporabljajte povezav iz nepričakovanih sporočil, prav tako nikomur ne razkrivajte gesel, kod PIN ali enkratnih potrditvenih kod.
Posebej so opozorili tudi na potrjevanje zahtev v bančnih aplikacijah: uporabniki naj ne potrjujejo prijav, plačil ali drugih zahtev, ki jih niso sprožili sami. Pred potrditvijo plačila naj preverijo prejemnika in znesek.
“Na zahtevo klicatelja ne nakazujte denarja na domnevno ‘varen račun’ in ne nameščajte programov za oddaljeni dostop,” so opozorili na URSIV.
Če vas kdo obvesti o domnevni ogroženosti računa, svetujejo prekinitev pogovora. Banko nato pokličite sami, na številko z bančne kartice ali njene uradne spletne strani.
Množična menjava gesel zgolj zaradi novice ni potrebna
Za vsako storitev je priporočljivo uporabljati močno in edinstveno geslo, posebej za elektronsko pošto. Pri tem lahko pomaga upravljalnik gesel, dodatno zaščito pa omogoča večfaktorska avtentikacija oziroma dodatno preverjanje ob prijavi.
Na uradu so ob tem poudarili, da ti ukrepi zmanjšujejo možnost zlorabe računov, ne morejo pa nadomestiti varnostnih posodobitev pri ponudniku storitve.
“Zgolj zaradi novice o ranljivostih ni treba množično menjavati vseh gesel. Geslo zamenjajte ob sumu zlorabe ali po navodilu ponudnika; če ste isto geslo uporabljali tudi drugje, ga zamenjajte tudi tam,” so navedli.
Ob sumu bančne zlorabe takoj pokličite banko
Uporabniki naj bodo pozorni na nepričakovane prijave, spremembe nastavitev in neznane transakcije. Kjer je mogoče, naj vključijo obvestila o prijavah in plačilih.
Če ste razkrili bančne prijavne podatke ali potrditvene kode, potrdili sumljivo zahtevo ali opazili nepooblaščeno transakcijo, nemudoma pokličite banko, so pozvali na URSIV. Ob sumu kaznivega dejanja naj uporabniki dogodek prijavijo tudi policiji.
Ali je treba posodobiti telefon ali računalnik?
Pri običajni uporabi spletnih storitev zaradi teh ranljivosti praviloma niso potrebne posebne posodobitve uporabnikovega telefona ali računalnika, so pojasnili na uradu. Popravke PHP morajo namestiti upravljavci sistemov, ki ga uporabljajo.
Uporabnikom kljub temu svetujejo, naj svoje naprave in aplikacije še naprej redno posodabljajo prek njihovih uradnih mehanizmov ter upoštevajo morebitna posebna navodila ponudnikov spletnih storitev.
