Загальна Інформація

ПРО БЕЗПЕКУ

Останнім часом  активізувались спроби викрадення і компрометації секретних даних клієнтів, що працюють з системами дистанційного банківського обслуговування, в тому числі з системою  Інтернет-Банкінг. Це виражається в застосуванні зловмисниками спеціальних шкідливих програм, якими заражаються комп’ютери користувачів при спробі заволодіти секретними даними клієнтів. Такі програми, замість справжніх вікон для введення ЕЦП і паролю, виводять на екран користувачів підроблені вікна, чимось схожі на справжні. Користувачі системи, не помітивши  різниці, вводять в таке вікно електронні ключі і паролі, після чого програма передає їх по мережі Інтернет зловмисникам. Для запобігання компрометації секретних даних і можливого викрадення грошових коштів, при виявленні такого роду вікон, необхідно припинити спроби входу в систему, проінформувати співробітників банку про ситуацію і узгодити з ними подальші кроки! 
Аналіз виявлених ситуацій показує, що викрадення грошових коштів з розрахункових рахунків, як правило, здійснюються:

1. Іншими особами, які мали доступ до секретних ключів ЕЦП організації. Як правило, це звільнені бухгалтери, а також колишні колеги, напарники.
2. Постійними ІТ- спеціалістами, які мали технічний доступ до носіїв (дискети, флеш-карти, жорсткі диски та ін.) з секретними ключами ЕЦП клієнтів, а також доступ до комп’ютерів клієнтів, з який здійснювалась робота за системою Інтернет-Банкінг.
3. ІТ-спеціалістами, які приходять за викликом, які обслуговували комп’ютери клієнта, з яких здійснювалась робота за системою електронного банкінгу «iBank 2». Як правило, ІТ-спеціалісти, які приходять за викликом, для здійснення профілактики і підключення до мережі Інтернет, установки і оновлення бухгалтерських та інформаційно-правових програм, установки, оновлення і налаштування іншого ПЗ.
4. Зловмисниками, шляхом зараження через Інтернет комп’ютерів клієнтів шкідливими програмами (вірусами). Використовуючи вразливості системного і прикладного ПЗ (операційні системи, Web-браузери, поштові клієнти та ін.), зловмисники заражали комп’ютери клієнтів троянськими програмами з подальшим дистанційним викраденням секретних ключів ЕЦП клієнта і паролів.

Дотримання правил безпеки при роботі з системою Інтернет-Банкінг допоможуть запобігти можливому викраденню секретної інформації, електронних ключів ЕЦП, в тому числі грошових коштів з рахунків.

Організаційні правила безпеки

1. Обмежуйте доступ сторонніх осіб до комп'ютерів, з яких ведеться робота з системою Інтернет-Банкінг.
2. Не використовуйте комп'ютер, з якого виконується робота з системою Інтернет-Банкінг, для "серфінгу" в Інтернет, а також для перегляду сайтів "сумнівного" характеру.
3. Використовуйте більше одного ЕЦП для підписання платіжних документів. Наприклад, директора та головного бухгалтера.
4. Не використовуйте один і той самий файл для зберігання декількох ЕЦП. Завжди використовуйте різні файли, які зберігаються окремо.
5. Не розголошуйте паролі ЕЦП, не записуйте їх та не залишайте їх у доступному місці, в тому числі там, де зберігаєте ЕЦП.
6. Не відповідайте на електронні листи, ніби від банку, з проханням прислати для перевірки ЕЦП та паролі. Банк ніколи не робить запити секретної інформації у клієнтів. Ці листи відправляють зловмисники.
7. При введенні файлу ЕЦП та паролю у вікно входу до системи особливу увагу звертайте на правильне відображення назви ключа.
8. При роботі з системою Інтернет-Банкінг завжди звертайте увагу на адресу сайту системи. Правильна адреса виглядає так: https://ibank.marfinbank.ua. Звертайте увагу на префікс адреси https - він каже про наявність захищеного зв'язку з банком. Впевнитися у тому, що ви знаходитеся на справжньому сайті можна, перевіривши SSL-сертифікат безпеки, клікнувши на іконці "замок", яка зазвичай розташована поряд з рядком адреси браузера або на його статусному рядку внизу вікна. 
9. Обов'язково звертайтеся до банку для блокування поточних ключів ЕЦП та виконуйте процедуру створення нових ключів у випадках:
   - виявлення спроби компрометації ключів ЕЦП;
   - звільнення відповідальних співробітників, які мали чи могли мати доступ до файлів ЕЦП та комп'ютерам, з яких здійснюється робота з системою Інтернет-Банкінг, наприклад, директора, бухгалтера або ІТ-адміністратора.
10. Не працюйте на комп'ютері, з якого здійснюється робота з системою Інтернет-Банкінг, з правами системного Адміністратора.

Загальносистемні правила

Загальносистемні правила безпеки

1. Використовувати антивірусне програмне забезпечення відомих виробників (для приватних клієнтів ми рекомендуємо використовувати безкоштовні антивірусні програми). Щоденно виконувати обновлення антивірусних баз цих систем (у більшості цих систем це автоматична функція).
2. Використовувати міжмережеві екрани (фаєрволи) для запобігання атак на комп'ютери користувачів ззовні та перешкоди несанкціонованим передачам даних з комп'ютера користувача до мережі Інтернет (приватним клієнтам можна запропонувати використовувати безкоштовні фаєрволи, у тому числі стандартний, що входить до поставки системи MS Windows; проте ми рекомендуємо використовувати комерційні програми, такі як Outpost, ZoneAlarm та ін.)
3. Використовувати програмне забезпечення для захисту від Програм-шпигунів та сканерів клавіатур.
4. Не відключати автоматичне оновлення операційної системи. Або щомісячно оновлювати операційну систему самостійно. Банк наполегливо рекомендує використовувати ліцензійні операційні системи.
5. Не зберігати секретні дані, у тому числі ЕЦП безпосередньо на комп'ютері. Для цього використовувати змінні накопичувачі (флеш карти та ін.), які зберігати у безпечному місці.
6. Не використовувати для роботи в Інтернет та у системі Інтернет-Банкінг не перевірені комп'ютери (наприклад, у інтернет-кафе), на яких може бути встановлено шкідливе ПЗ.
7. Налаштувати ваш інтернет-браузер для заборони: автоматичного завантаження файлів з мережі Інтернет; автоматичного запуску файлів із мережі Інтернет; автоматичного завантаження не підписаних елементів ActiveX. Збільшити рівень безпеки браузера до максимального.
8. Не встановлювати та не зберігати підозрілі файли, отримані з ненадійних джерел, завантажені з невідомих web-сайтів, прислані електронною поштою, отримані в телеконференціях та через програми миттєвих повідомлень (ICQ та ін.) Такі файли краще негайно видаляти. У разі необхідності завантаження файла впевніться, що його перевірено антивірусом.

Використання ключів-токенів

Використання апаратних ключів - USB-токенів

Юридичним особам та підприємцям пропонується можливість використання апаратних електронних ключів - USB-токенів для роботи з системою Інтернет-Банкінг.

USB-токени - це пристрої, які дозволяють забезпечити максимальний рівень безпеки при роботі з системою Інтернет-Банкінг у глобальній мережі Інтернет. Токени призначені для зберігання електронних ключів користувачів. Апаратний захист від копіювання дозволяє виключити крадіжку секретної інформації, що зберігається в токенах, програмним шляхом, у тому числі шкідливими програмами.

Використання токенів дає користувачам можливість безпечно працювати з системою Інтернет-Банкінг у неперевірених місцях доступу до Інтернету. Клієнти можуть не остерігатися крадіжки електронних ключів у готелях, публічних WiFi-зонах, чужій локальній мережі та ін., знаходячись у відпустці або відрядженні.

Робота з USB-Токенами проста і аналогічна до використання звичайних файлових електронних ключів. Перед роботою з системою Інтернет-Банкінг необхідно встановити токен у вільний USB-порт. При вході до системи замість звичного файла з електронними ключами необхідно обрати використання токена, ввести пароль та зайти до системи. Після роботи із системою необхідно відключити токен від комп'ютера та зберігати його у безпечному місці окремо від комп'ютера.
Для роботи з токенами потрібна попередня інсталяція спеціального драйвера (тільки для ОС Microsoft Windows).
USB-токени необхідно отримати у банку в управляючого рахунками. Отримання токенів оформлюється відповідним Актом прийому-передачі.

Отримані токени необхідно зареєструвати у системі Інтернет-Банкінг. Для цього необхідно пройти стандартну процедуру створення нових електронних ключів, але вже з використанням токена (Увага! Токени будуть розпізнані у системі лише у випадку встановлення відповідного драйвера). Після створення нового ЕЦП (Електронного Цифрового Підпису) необхідно передати управляючому рахунком заповнений та підписаний документ Сертифікат відкритого ключа ЕЦП для активації електронного ключа адміністратором системи. Після активації можна буде почати користуватися токеном.
Увага! Після активації токена всі файлові електронні ключі клієнта, будуть деактивовані з метою безпеки.
Вартість використання токенів визначається поточними тарифами.

USB-Токен ззовні виглядає як звичайна флешка та має приблизно такі ж розміри:

Завантажити драйвер USB-токена