Nettbank - trygg og sikker bruk

Transkript

1 Kilde og for mer info, besøk: Nettbank - trygg og sikker bruk Her er fem gode råd om trygg bruk av nettbank. Følger du disse rådene er du fornuftig sikret mot svindel på nettet: 1. Pass godt på sikkerhetskoder og passord 2. Hold datamaskinen oppdatert og sikret 3. Skriv inn adressen til nettbanken i nettleseren - ikke klikk på lenker 4. Sjekk at adresselinjen er grønn når du logger på nettbanken 5. Husk alltid å logge ut av nettbanken når du er ferdig Pass godt på sikkerhetskoder og passord Sikkerhetskoder og passord må ikke komme på avveie. Sikkerhetskoder og passord er måten banken din vet at det er du som logger inn. Det er dermed viktig at denne informasjonen ikke kommer på avveie enten ved at det skrives ned og lagres på et usikkert sted, eller at koden eller passordet er så enkelt at man kan gjette seg frem til det. Kommer koden eller passordet ditt på avveie, kan en ondsinnet person logge inn på kontoen din, bestille ting i ditt navn, eller utgi seg for å være deg (begå ID-tyveri). Velg gode passord Velg alltid et passord som både er vanskelig å gjette, og som ikke finnes i noen ordbok. Koder som for eksempel fødselsdatoer eller passord som "kake" er dårlige valg. For en målrettet person som har litt kjennskap til deg eller hackere som bruker store ordlister i automatiserte angrep, er slike koder og passord lette å knekke. En tommelfingerregel er at tallkoder bør være tilfeldig valgt, og passord være så lange som mulig og inneholde både tegn, tall og en blanding av store og små bokstaver. Unngå å bruke samme passord på forskjellige steder. Hvis du bare bruker ett passord til "alt" og dette kommer på avveie, kan en ondsinnet person raskt få tilgang til samtlige ressurser og gjøre desto større skade. Slik lager du gode passord: BankID BankID er en personlig og enkel elektronisk legitimasjon for sikker identifisering og signering på nett, og benyttes av alle norske banker - i tillegg til en rekke andre tjenester på nett. De samme rådene for passord og tallkoder gjelder også ved bruk av BankID.

2 Les mer om BankID: Hold datamaskinen oppdatert og sikret Bruk et oppdateringsprogram Noe av det viktigste du kan gjøre for å holde datamaskinen din sikker, er å oppdatere alle programmer. Oppdateringene kommer ofte og det kan være vanskelig å holde oversikt. Heldigvis finnes det egne oppdateringsprogrammer som hjelper deg med å holde oversikt og som også kan stilles inn slik at oppdateringene skjer automatisk. Nedenfor nevner vi noen oppdateringsprogrammer. For de fleste vil det være nok å bruke ett av dem: Secunia ( har et oppdateringsprogram for Windows som er gratis til privat bruk. Programmet kan lastes ned fra nettet. Det sjekker jevnlig hvilke programmer som trenger oppdatering. Oppdateringer kan skje automatisk hvis du ønsker det. Heimdal ( er et oppdateringsprogram fra den danske leverandøren CSIS og finnes i en gratisversjon for privat bruk. Heimdal kan lastes ned fra nettet. Det sjekker jevnlig hvilke programmer som trenger oppdatering og oppdaterer automatisk når det trengs. F-secure ( har en gratistjeneste som sjekker om du har programmer som trenger oppdatering og som kan hjelpe deg å gjøre nødvendige oppdateringer. Tjenesten er gratis å bruke. Hvorfor er det viktig å oppdatere programmer ofte? Både forskere og hackere finner stadig nye sikkerhetshull i helt vanlige programmer som de fleste bruker. Det gjelder både Microsofts og Apples produkter. Det gjelder også produkter som Java og Adobe Reader og Acrobat eller Flash. Når du oppdaterer programmene, tettes kjente sikkerhetshull. Når det oppdages nye sikkerhetshull i et program, må du oppdatere det på nytt. Flere leverandører sender ut oppdateringer nesten ukentlig og det er alltid viktig å få installert oppdateringene så snart som mulig. Har du programvare med kjente sikkerhetshull kan det være nok at du besøker et helt vanlig nettsted eller leser en nettavis. Kriminelle utnytter dårlig sikrede nett steder og bruker dem til å distribuere

3 skadelig kode, som igjen utnytter kjente sikkerhetshull på din datamaskin for å infisere den med skadelig programvare. Har du skadelig programvare på datamaskinen din, kan kriminelle stjele din personlige informasjon eller dine passord. De kan også misbruke datamaskinen din til kriminelle aktiviteter. Hvis du har oppdatert programvare, blir det vanskeligere for de kriminelle å infisere akkurat din datamaskin. Det er derfor det er så viktig å holde alle programmer oppdatert. Hvorfor er det ikke nok å ha et oppdatert sikkerhetsprogram? Dessverre er det ikke slik at sikkerhetsprogrammet ditt alene er nok til å oppdage og stenge ute skadelig kode. Sikkerhetsprogrammer kjenner igjen og sperrer ute mange typer skadelig kode, men langt fra alle. Det kommer så mange titusen nye varianter av skadelige koder hver uke at sikkerhetsprogrammene ikke klarer å fange opp alle. Derfor er det så viktig at man også holder alle programmer oppdatert. Og bruk et sikkerhetsprogram fra en anerkjent leverandør! Støtt deg på kilder som Nettvett og andre for å finne frem til ekte sikkerhetsprogrammer. Les mer om hvordan du beskytter datamaskinen din: Les mer om virus, ormer og trojanere: Skriv inn adressen til nettbanken i nettleseren - ikke klikk på lenker Oppgi aldri privat informasjon på e-post, og ikke klikk på lenker til nettbanken En måte hackere benytter for å få tak i bankinformasjonen din på, er ved såkalte phishingforsøk. Dette består som oftest i at du mottar en e-post som tilsynelatende er fra banken, der du bes om å trykke på en lenke for å bekrefte passordet ditt eller annen personlig informasjon. Lenken du trykker på fører deg til en side som ser identisk ut med nettbanksiden du er vant til, men befinner seg egentlig en helt annen plass. Norske banker og finansinstitusjoner vil aldri sende deg e-post der de ber deg oppgi sikkerhetskode, passord eller annen kontoinformasjon. Kontakt banken dersom du er i tvil om en e-post du har mottatt er ekte. Det er lett å forfalske avsenderadressen på en e-post. Det er også lett å etterligne innloggingssiden til banken din - og ofte tar man seg ikke tid til å dobbeltsjekke at adressen i adressefeltet på nettleseren er korrekt. Gi derfor aldri fra deg koder, passord, eller annen kontoinformasjon basert på en e-post du mottar, og tast heller inn adressen i nettleseren i stedet for å følge en lenke.

4 Sjekk at adresselinjen er grønn når du logger på nettbanken Sjekk at adresselinjen er grønn når du logger på nettbanken Kommunikasjonen mellom maskinen din og banken skjer kryptert og er sikret med såkalte SSLsertifikater. Gyldige SSL-sertifikater er en måte å garantere at nettstedet du besøker virkelig er det som det utgir seg for å være. En enkel måte å bekrefte at nettstedet du besøker har et gyldig sertifikat, og at kommunikasjonen mellom maskinen din og nettstedet er kryptert og uleselig for andre, er å: se om adressen i adressefeltet i nettleseren din begynner med " se etter grønn adresselinje Den grønne adresselinjen ser litt forskjellig ut, avhengig av hvilken nettleser du bruker: Internet Explorer Google Chrome Mozilla Firefox Felles for alle nettlesere er at du kan trykke på sertifikat for å se om alt er slik det skal være: Se alltid etter det grønne sertifikatet før du begynner å logge deg inn. Husk å alltid logge deg ut av nettbanken når du er ferdig. Husk alltid å logge ut av nettbanken når du er ferdig Når du er ferdig med det du skal gjøre i nettbanken; logg deg alltid ut. Selv om nettbanken automatisk vil logge deg ut etter en bestemt tid, kan det være en sjanse for at uvedkommende får tilgang til den i mellomtiden hvis du lar nettbanken stå oppe og forlater maskinen. Avansert ondsinnet programvare kan også utnytte åpne sider når den merker at maskinen din ikke er i bruk.

5 For å være sikker på at du er ordentlig logget ut. Lukk ikke bare nettleseren: bruk alltid "Logg Ut"- lenken i nettbanken din først, og lukk heller nettleseren når du er ferdig logget ut. Og husk: Vær nøye når du betaler regninger i nettbanken. Kontroller at du har tastet inn riktig beløp og kontonummer til mottaker, slik at du ikke risikerer å overføre penger til feil person eller firma. Flere gode råd for trygghet i nettbanken: Følg med på kontoutskriften Sjekk jevnlig mottakere i ditt mottakerregister Bruk KID-nummer hvis det er mulig Bruk efaktura eller AvtaleGiro når du kan Svindel e-post Phishing - slik unngår du å bli lurt Phishing er en form for nettsvindel der brukere av e-post blir fralurt fortrolig informasjon. Informasjonen kan senere utnyttes til bedrageri. Følg rådene nedenfor og unngå å bli lurt. Det finnes to hovedtyper av phishing. Den første typen innebærer at du mottar en e-post med falsk avsenderadresse, mens den andre er en e-post med lokketilbud med lenke til en nettside. E-post med falsk avsenderadresse E-posten ser ut til å komme fra et vanlig firma, for eksempel banken din. Hensikten er å lure deg til å gi i fra deg personlig informasjon eller informasjon av økonomisk karakter, som for eksempel brukernavn og passord, personnummer, kredittkortnummer eller bankkontonummer. Svindlerne kan lure deg til å gi i fra deg informasjon på flere måter. For eksempel kan de oppfordre deg til å svare på en e-post med falsk svaradresse slik at de selv mottar informasjonen fra deg. En annen metode er å oppgi en lenke i e-posten som leder til en falsk nettside der du blir bedt om å gi opplysninger. Nettsiden kan se ekte ut, og for eksempel se ut til å være fra banken din. Lokkende tilbud Den andre hovedtypen av phishing innebærer at e-posten inneholder et lokkende tilbud og en lenke til en nettside med mer informasjon. Når du går til nettsiden lastes det ned et program til datamaskinen uten at du merker det.

6 Programmet samler deretter automatisk inn fortrolig informasjon, som for eksempel brukernavn og passord til banktjenester, og sender så denne informasjonen videre til uvedkommende. Råd for å unngå phishing: Ikke bruk lenker til nettsider fra en e-post du har mistanke om er fra en mistenkelig eller ukjent avsender. Skal du gi fra deg personlig informasjon på en nettside, må du forsikre deg om at du er på en såkalt sikker oppkobling. En enkel måte å sjekke dette på er å se om det finnes et symbol med en liten hengelås ved adressefeltet i nettleseren. Står det HTTPS først i adressen, betyr det at nettsiden har en sikker tilkobling. Dette gir ikke noen garanti, men gjør det sikrere å gi fra seg personlig informasjon. Er du usikker kontakter du organisasjonen du skal gi informasjon til via telefon.. Husk at banken aldri ber om sensitiv informasjon via e-post. Er du usikker på om du har gitt fra deg opplysninger som kan misbrukes, sjekk kontoutskriften nøye. Bruk antivirusprogram og brannmur. Sørg for at disse programmene, samt operativsystemet og nettleseren alltid er oppdatert. Ord og uttrykk Ord Antivirus Forklaring En felles betegnelse for program som fjerner ulike typer virus. Programvaren søker gjennom filer og datamaskinens minne for å finne og fjerne datavirus. Det er også vanlig å installere antivirusprogramvare på eposttjeneren eller brannmuren for å oppdage virus som kommer inn via internett. For enkelhets skyld brukes "antivirus" også som programvare som ikke bare fjerner datavirus, men som oftest også mange andre former for malware som f. eks ormer, trojanere, spyware osv. Blacklisting Innen it-sikkerhet er blacklisting ofte brukt i forbindelse med filtrering av e- post, websider, datatrafikk og lignende. For eksempel på e-post, når en bruker setter en avsender på sin blacklist, vil all e-post fra denne avsenderen ende i søppelkassen. Botnet En bot (av robot) eller zombie er en kompromittert datamaskin som kan kontrolleres eksternt. Et bot-program på en bot åpner en kanal (port) mot omverdenen der den mottar instruksjoner. Instruksjoner kan være å sende ut virus og e-postreklame (spam), eller delta i tjenestenektangrep. Et botnet er en samling av boter som blir kontrollert av én person eller datamaskin. Til enhver tid er flere titusen datamaskiner over hele verden med i aktive botnet uten at eierne er klar over det. Botnet og botprogramvare blir leid ut eller omsatt blant spammere og utpressere. Mindre botnet lages også for å unngå å bli oppdaget, og for å kunne gjennomføre målrettede angrep. Brute force Metode for å knekke passord og krypteringsnøkler ved å prøve et stort antall

7 muligheter. For å finne en pinkode på fire siffer må man i verste fall prøve alle kombinasjonene. Cracking Å bryte seg inn i datamaskiner og nettverk uten tillatelse. Også brukt om å modifisere programvare for å fjerne kopibeskyttelse. Cross-Site Scripting Defacing Dos Cross-site Scripting (XSS) er en type sikkerhetshull der angriperen setter inn fiendtlig programkode i websider som kjøres når siden vises. Eksempler på slik kode er HTML og Javascript. Typisk bruk av XSS er stjeling av cookies og phishing. Vandalisme mot websider er angrep der noen bytter ut et element (gjerne bilder) på en webside for å tilkalle brukerens oppmerksomhet. Man kan se på dette som en type graffiti på internett, men det kan også være politisk motivert. I et tjenestenektsangrep (DoS) forsøker en angriper å hindre legitime brukere i å få tilgang til en tjeneste eller informasjon. Ved å angripe din maskin, eller maskiner på nettstedet du forsøker å bruke, kan en angriper hindre at du får tilgang til e-post, nettsteder, nettbanken din etc. Den vanligste formen for tjenestenektsangrep er å oversvømme nettet med trafikk. Når du skriver inn URL-en til et nettsted i nettleseren din, sender du en forespørsel til nettstedets maskin om å få se nettsiden. Maskinen kan bare håndtere et visst antall forespørsler på en gang, så dersom en angriper har overbelastet maskinen med forespørsler, kan den ikke håndtere din forespørsel om å se nettsiden. Effekten blir at du opplever et tjenestenekt fordi du ikke får se nettstedet. DDos I et distribuert tjenestenektingsangrep kan en angriper bruke din maskin for å angripe en annen maskin. Ved å utnytte sikkerhetshull eller sårbarheter kan en angriper ta kontroll over datamaskinen din og sende store mengder data til et nettsted eller til å spamme bestemte e-postadresser. Angrepet sies å være distribuert fordi angriperen bruker flere maskiner for å utføre angrepet, dette kalles et BotNet. Ved hjelp av et distribuert tjenestenektangrep kan en angriper totalt lamme en bedrifts IT-systemer. Hvis bedriften er helt avhengig av de berørte systemene kan dette gi store konsekvenser. Hacker/Hacking Hoax IRT (Incident Response Team) Kompromittert En person som bryter seg inn i datamaskiner og nettverk uten tillatelse. En tekst, ofte sendt via e-post, med falske advarsler. Formålet med en hoax er å spre frykt og tvil, eksempelvis ved falske virusadvarsler. En gruppe mennesker som responderer på en alvorlig hendelse. I Terra har vi en CS IRT (Computer Security) Betyr at noen har kommet seg forbi sikkerhetsløsningene på en datamaskin eller et nettverk. Kompromittert blir ofte brukt hvis en angriper har brutt seg

8 inn, eller om man har blitt smittet av et datavirus. Kryptering Malware Man-in-the-middle Gjøre en leselig tekst uleselig for andre ved hjelp av en matematisk funksjon (krypterings- teknikk/algoritme) og en forhåndsbestemt nøkkel. Fellesbegrep for programvare som er laget for å infisere eller skade datamaskiner eller nettverk. Et angrep hvor angriperen kan lese, redigere og modifisere beskjeder mellom to kommuniserende parter uten at noen av partene er klar over at det foregår. Angriperen må få muligheten til å observere og avskjære beskjeder mellom to ofre.

9 Norcert CERT Norges nasjonale senter for håndtering av alvorlige dataangrep mot samfunnskritisk infrastruktur og informasjon. I tillegg drifter og organiserer NorCERT et nasjonalt sensornettverk på Internett Et CERT er en ekspertgruppe som håndterer sikkerhetshendelser. Et CERT skal forebygge alvorlige angrep mot samfunnskritisk infrastruktur og informasjon på IT-siden. De skal også varsle om alvorlige angrep, trusler og sårbarheter, og koordinere responsen i forbindelse med alvorlige sikkerhetsangrep. NorCERT er den norske CERT-gruppen. CERT er et registrert varemerke for Carnegie Mellon University. Mange benytter derfor forkortelsen C(S)IRT; Computer (Security) Incident Response Team. Alle CERT/CSIRT-team i Europa er godkjent av TERENA, som koordinerer virksomheten deres. NorSIS Norsk senter for informasjonssikring (NorSIS) er en del av regjeringens helhetlig satsing på informasjonssikkerhet i Norge. NorSIS jobber for at informasjonssikkerhet skal bli en naturlig del av hverdagen, gjennom å: Bevisstgjøre om trusler og sårbarheter Opplyse om konkrete tiltak gjennom nyheter, råd og veiledninger Påvirke til gode holdninger innen informasjonssikkerhet Målgruppen er norske virksomheter i privat og offentlig sektor, og NorSIS skal så langt som mulig også imøtekomme innbyggernes behov. Alle samfunnsgrupper skal kunne dra nytte av våre tjenester. NorSIS er faglig underlagt Fornyings-, administrasjons- og kirkedepartementet. Orm En orm er et program som benytter allerede eksisterende kommunikasjonsmetoder for å sende kopier av seg selv til andre datamaskiner. En orm kan for eksempel sende en kopi av seg selv som et vedlegg i e-post. Dersom mottakeren åpner vedlegget vil ormen spre seg videre til nye mottakere. Noen ormer er også laget for å utføre oppgaver som å stjele passord eller legge inn en bakdør på maskinen din. Pharming Phishing Teknikk hvor man sender brukeren til en falsk webside. Målet med «pharming» er å stjele sensitiv informasjon som passord, kredittkortnummer, etc. Phishing er angrepsmetode der angriperen prøver å lure til seg opplysninger som kan brukes i vinnings øyemed. Eksempler er henvendelser på e-post der mottakeren bes oppsøke en webside (f.eks. en nettbank) hvor de må legge inn sine passord. Internettsiden ser ut til å være troverdig, men i realiteten en falsk side for at angriperne skal få tilgang til dine opplysninger. Det har også vært eksempler hvor andre kanaler som telefon og chattekanaler er brukt.

10 Scareware Script Kiddie Spam Spyware Et begrep som betegner falske meldinger som sier at din PC er infisert med virus, og lurer brukere til å installere en falsk A/V software. Falske A/V pakker blokkerer gjerne legitime A/V produkter samtidig som de lurer brukere til å betale penger for det som i utgangspunktet er en falsk tjeneste. De kan også inneholde trojanere. En person uten spesielle tekniske kunnskaper som bruker ferdiglagde verktøy (programmer) for å utføre angrep mot andre datamaskiner. En Script kiddie vil som regel utføre angrep uten å vite nøyaktig hva som skjer eller hva konsekvensene av angrepet er. Uønsket reklame på internett, ofte sendt per e-post. Programvare med skadelig kode som har til hensikt å uthente informasjon fra datamaskinen. Dette kan være alt fra personinformasjon til søkevaner. Spionprogramvare kan føre til at datamaskinen arbeider tregere enn normalt. Spionprogramvare kan også berøre ditt personvern, avhengig av hva slags informasjon som blir fanget opp, hvem som mottar denne informasjonen og hvordan den brukes. SpyEye Er et malware-kit hvor man kan lage trojanere spesialdesignet for en bestemt tjeneste, for eksempel nettbanken. SpyEye utfører angrep som kalles for "man-in-browser"-angrep, siden den på samme måte som trojanere infiserer web-leseren, der websider og transaksjoner blir redigert for å stjele verdifull personlige opplysninger som personnummer, brukernavn og passord til nettbanker, kredittkort informasjon og til og med komplette identitetsprofiler fra autoutfylte applikasjoner. En privatperson eller en bedrift kan bli infisert, mens man uskyldig surfer rundt på infiserte(ofte populære) websteder. SpyEye venter på at brukeren logger inn på deres nettbankkonto før den aktiveres. Man antar at SpyEye og Zeus har slått seg sammen. SQL injection Trojaner Virus Whitelisting SQL Injection er en angrepsteknikk der man utnytter svakheter i webapplikasjoner ved å tvinge inn SQL-koder på databaseserveren for å få tilgang til informasjon man verken er autorisert til å se, endre eller slette. Ondsinnet program som utgir seg for å være noe annet enn det er, eksempelvis et legalt program eller spill. Når brukeren prøver å kjøre eller installerer dette programmet vil datamaskinen infiseres med ondsinnet kode som spyware, virus, etc. Ondsinnet programvare som kopierer seg selv inn i filer eller datamaskinens oppstartsektorer. Virus kan kun spres dersom noen kjører en infisert fil. Det vil si at infiserte filer må overføres til mottakers maskin via diskett, CD, USBpinne, eller via nedlasting av filer, for eksempel vedlegg i e-post. Innen it-sikkerhet er whitelisting ofte brukt i forbindelse med e-post, websider, datatrafikk og lignende.. For eksempel på e-post, når en bruker setter en avsender på sin whitelist så vil ingen av e-postene fra denne

11 avsenderen ende i søppelkassen. Zeus Samme som SpyEye. Finnes også i en variant for mobil telefoner.