Systemy banków z reguły są o wiele lepiej zabezpieczone niż komputery ich klientów, większość atakujących skupia więc swoją uwagę na użytkownikach końcowych, starając się wykorzystać każdy ich błąd, nieuwagę lub nieświadomość. Aby bezpiecznie i bez komplikacji kupować w internecie, warto pamiętać o kilku uniwersalnych zasadach.

W pierwszej kolejności zadbaj o swój komputer

Zainstaluj na nim sprawdzone rozwiązanie antywirusowe, obejmujące także firewall i narzędzia antyszpiegowskie. Dokonując wyboru, warto wziąć pod uwagę rankingi niezależnych organizacji, które specjalizują się w badaniu skuteczności oprogramowania antywirusowego (należy do nich np. AV-Test.org). Następnie zadbaj o regularną aktualizację bazy wirusów i samego programu, nie zapomnij też o instalowaniu poprawek udostępnianych przez producenta Twojego systemu operacyjnego i używanych przez Ciebie aplikacji, zwłaszcza przeglądarki internetowej.

Pamiętaj, że częstym wektorem ataku są multimedialne wtyczki do przeglądarek, takie jak Adobe Flash Player i Java firmy Oracle. Jeżeli nie chcesz z nich zrezygnować, poświęć parę minut na włączenie funkcji click-to-play. Warto poza tym włączyć automatyczne aktualizacje we wszystkich używanych na co dzień programach.

Upewnij się, że komunikacja jest szyfrowana

W przypadku stron banków, systemów płatności i sklepów internetowych należy zwracać uwagę, czy komunikacja z serwerem jest szyfrowana protokołem TLS – na pasku adresu przeglądarki internetowej można wtedy zwykle zobaczyć ikonę zamkniętej kłódki lub klucza, a na początku adresu strony pojawia się https:// zamiast zwykłego http://. Dzięki szyfrowaniu Twoje dane będą podczas transmisji chronione przed przypadkowym lub celowym przechwyceniem przez niepowołane osoby. Warto wiedzieć, że SSL – poprzednik standardu TLS – jest teraz uznawany za technologię wadliwą. Należałoby zaprzestać jej używania, co w ubiegłym roku dobitnie pokazali odkrywcy ataku POODLE, niestety wciąż istnieją strony, które nie pozwalają na korzystanie z TLS. W miarę możliwości należy ich unikać.

Po kliknięciu w symbol kłódki można zweryfikować informacje na temat certyfikatu bezpieczeństwa danej witryny. Jeśli pojawi się komunikat o jego wygaśnięciu, należy zrezygnować z połączenia. Warto też mieć na uwadze, że zamknięta kłódka nie stanowi stuprocentowego dowodu na to, że odwiedzana strona nie jest fałszywa. Zawsze należy sprawdzić, czy certyfikat został wygenerowany przez zaufanego dostawcę dla tej właśnie witryny, zdarzają się bowiem ataki z użyciem autentycznych certyfikatów na podrobionych stronach.

Podstęp udaje się dzięki włamaniu na serwer legalnie działającej firmy, który zostaje wykorzystany do opublikowania stworzonej przez oszustów strony. Może ona przypominać popularny e-sklep, w rzeczywistości nie łączy się jednak z jego serwerem i certyfikatem. Używa natomiast certyfikatu zhakowanej firmy, dzięki czemu na pasku adresu wyświetla się symbol zamkniętej kłódki informujący o rzekomym szyfrowaniu połączenia.

Jeśli na pasku adresu przeglądarki w ogóle nie widać symbolu kłódki albo jest ona otwarta, lepiej wstrzymać się z logowaniem, bo oznacza to brak szyfrowania.

Unikaj publicznych hotspotów

Mimo szyfrowania transmisji między przeglądarką a serwerem banku bądź sklepu zwracaj uwagę na źródło internetu, z którego korzystasz. Łącząc się z przypadkową, niezabezpieczoną siecią Wi-Fi, np. w kawiarni lub na uczelni, narażasz się na atak. Cyberprzestępcy tworzą sieci o neutralnych nazwach (DarmowyInternet, DlaGosci, Publiczna, FreeHotSpot itp.), do których podłącza się wiele osób. Router modyfikuje wówczas treść przesyłanych stron – w locie zmienia numery kont, prezentuje fałszywe formularze logowania albo niezauważenie przekierowuje użytkowników na podstawione strony. Zalogowanie się na którejś z nich skutkuje przekazaniem swoich danych w ręce oszustów. Korzystając z publicznych hotspotów, lepiej nie podawaj żadnych informacji, których podsłuchanie mogłoby Ci w jakikolwiek sposób zaszkodzić.

Korzystaj z zaufanych instytucji płatniczych

Instytucje płatnicze to podmioty oferujące usługi finansowe, czyli przede wszystkim banki, agencje rozliczeniowe oraz inne, licencjonowane podmioty. Ich rejestr prowadzi Komisja Nadzoru Finansowego, która weryfikuje, czy akredytowana firma spełnia wszystkie wymagania dotyczące bezpieczeństwa. W każdej chwili na stronie https://erup.knf.gov.pl/View/ możesz sprawdzić, czy wybrany przez Ciebie podmiot znajduje się w rejestrze dostawców usług płatniczych. Dodatkowo możesz prześledzić rejestr licencjonowanych Agentów Rozliczeniowych prowadzony przez Narodowy Bank Polski. Zwróć także uwagę, czy interesująca Cię firma posiada certyfikat PCI DSS świadczący o zgodności z popularnymi systemami płatności kartami kredytowymi. Standard ten potwierdza spełnianie światowej jakości norm dotyczących bezpieczeństwa.

Pamiętaj o zweryfikowaniu sprzedawcy

Przed dokonaniem płatności sprawdź wiarygodność sklepu, z którego usług chcesz skorzystać. Duże sklepy, cieszące się powszechnym uznaniem, na ogół wiążą się z mniejszym ryzykiem przy zakupach niż ma to miejsce w przypadku mało znanych firm. Pamiętaj, że każdy sprzedawca zobowiązany jest podać swoje dane rejestrowe, takie jak data założenia, nazwisko właściciela, numer KRS, adres siedziby sklepu itp. Brak tak podstawowych informacji, jak adres e-mail czy numer telefonu, powinien być sygnałem ostrzegawczym.

Warto też mieć na uwadze, że rozszerzenie .pl nie zawsze oznacza, iż mamy do czynienia z polskim przedsiębiorcą. Domenę z takim rozszerzeniem może zarejestrować każdy, a jeśli zrobi to np. mieszkaniec Dubaju, jego sklep nie będzie podlegał ani polskiemu, ani nawet europejskiemu prawu. Liczy się geograficzna siedziba przedsiębiorcy, nie położenie serwerów – korzystając z e-sklepów spoza UE, nie będziemy niestety chronieni przez nasze prawo.

Zgodnie z ustawą o świadczeniu usług drogą elektroniczną wszystkie istotne dla kupującego zasady funkcjonowania sklepu powinny być uwzględnione w udostępnianym nieodpłatnie regulaminie. Przed dokonaniem zakupu warto upewnić się, że sprzedawca nie zawarł w nim np. niekorzystnych zasad zwrotu czy zgody na dołączenie do programu lojalnościowego. Nieuczciwi przedsiębiorcy starają się wykorzystać nieuwagę kupujących, zaakceptowanie regulaminu bez czytania może więc wiązać się z przykrymi konsekwencjami.

W ocenie rzetelności i jakości oferowanych usług mogą Ci także pomóc opinie wystawione przez innych użytkowników. Są one ważnym źródłem informacji na temat mocnych i słabych stron sklepu, a także poziomu obsługi i praktyk stosowanych w przypadku zwrotu lub reklamacji zakupionego towaru. Nie należy jednak poprzestawać na opiniach ze strony danego sklepu czy jednego forum, zdarza się bowiem, że nieuczciwi sprzedawcy wystawiają je sobie sami.

Sprawdź numer konta, najlepiej kilka razy

Szkodliwe oprogramowanie, takie jak VBKlip czy Banatrix, umie wykryć czynność skopiowania rachunku bankowego, podmieniając przy wklejaniu cyfry na inne, wskazane przez cyberprzestępców. Kopiując numer konta ze strony sklepu internetowego czy treści e-maila, zawsze upewniaj się, czy cyfry są poprawne. Najnowsze wersje Banatrixa potrafią pokazać w przeglądarce właściwy numer konta, a do banku wysłać sfałszowany. Dlatego przed wpisaniem jednorazowego kodu potwierdzającego transakcję nie wolno zapomnieć o ponownej weryfikacji

Musisz poza tym pamiętać o złośliwych aplikacjach, które atakują urządzenia mobilne i podmieniają przychodzące z banku SMS-y. To dlatego warto sprawdzać poprawność numeru konta także po potwierdzeniu operacji na stronie banku. Aby zminimalizować ryzyko, na używanym przez siebie smartfonie lub tablecie zainstaluj sprawdzone oprogramowanie antywirusowe. Pomoże ono uniknąć takich zagrożeń, jak ZitMo (mobilny odpowiednik bankowego konia trojańskiego ZeuS) czy SpitMo (współdziałający z desktopowym klientem botnetu SpyEye). W miarę możliwości warto także korzystać z szybkich przelewów internetowych. Przy takich transakcjach nie trzeba przepisywać numeru konta, nie ma więc ryzyka zaatakowania przez złośliwe oprogramowanie.

Staraj się korzystać z zabezpieczonych form płatności

Wybierając sprzedawcę, można ocenić jego wiarygodność także na podstawie tego, czy korzysta on z usług agregatora płatności internetowych. Dzięki takim agregatorom istnieje możliwość wykonania bezpiecznej transakcji za pomocą wszystkich dostępnych metod, np. karty płatniczej, przelewu bankowego, szybkiego e-przelewu czy nawet przekazu pocztowego. Kupujący sam decyduje, która metoda najbardziej mu odpowiada. Zdecydowanie nie warto ryzykować zakupów w małych, niesprawdzonych sklepach, które oferują wyłącznie płatność przelewem na własne konto.

Kupując w sieci, warto używać kart płatniczych. W razie kłopotów bank w imieniu klienta zgłasza się do organizacji, która wydała kartę, takiej jak Visa czy MasterCard, celem wszczęcia procedury obciążenia zwrotnego (ang. chargeback). Z opcji tej możesz skorzystać, gdy złożysz i opłacisz zamówienie, ale nie otrzymasz zamówionego towaru. Na zbliżonej zasadzie funkcjonują także firmy depozytowe oferujące systemy płatności online – jeśli zakupiony produkt do klienta nie dotrze, może on zwrócić się do takiej firmy z wnioskiem o zwrot uiszczonej kwoty.

Nie zaleca się natomiast korzystać z przelewów ekspresowych, oferowanych przez pośredników w rodzaju Western Union czy MoneyGram. Firmy świadczące usługi zagranicznego przelewu ekspresowego nie biorą na siebie odpowiedzialności za wiarygodność odbiorcy przekazu pieniężnego. Jeśli okaże się on naciągaczem, ciężko będzie odzyskać pieniądze.

Podsumowując, bezpieczne korzystanie z internetowych płatności wymaga od użytkowników znajomości paru uniwersalnych zasad. Zachowanie zdrowego rozsądku, a także poświęcenie kilku minut na dokładniejsze poznanie sklepu, w którym chcemy dokonać zakupu, może oszczędzić wielu komplikacji.