Hakeri se predstavljali kao Porezna uprava, napadnute i hercegovačke tvrtke

Tvrtke iz Banje Luke, Tuzle, Posušja, Tomislavgrada, i Orašja oštećene su za skoro milijun konvertibilnih maraka u posljednjih godinu dana zbog hakerskih napada.

"Policijski službenici Odjeljenja za borbu protiv organiziranog kriminala i korupcije, Odsjeka za borbu protiv kompjuterskog kriminala, Federalne uprave policije su u prethodnom razdoblju zaprimili više prijava fizičkih i pravnih lica s teritorije Federacije Bosne i Hercegovine, a koje se odnose na zloupotrebu informacijskih sustava, prvenstveno pravnih subjekata, upotrebom tehnika napada na internetu koje imaju za cilj prevare korisnika u smislu promjene instrukcija za plaćanje roba i usluga, instaliranja malicioznih kodova u informacijski sustav korisnika i preuzimanje sesija internet bankarstva, te kriptovanja računara korisnika i zahtijevanja uplate otkupnine u svrhu deskripcije sadržaja.

Na opisani način je fizičkim i pravnim licima s teritorije Bosne i Hercegovine, pričinjena do sada neutvrđena materijalna šteta koja se ogleda u nedostupnosti podataka", naveli su za Radiosarajevo.ba iz Federalne uprave policije.

Iz FUP-a su naveli da u navedenim primjerima, u dijelu koji se odnosi na tzv. email prevare, napadač vrši istu na način da metodama "phisinga i spoofinga" ili kompromitacije email servera, obavlja nadzor nad email korespondencijom njemu interesantnih osoba, najčešće pravnih subjekata koji vrše poslovnu korespondenciju s inozemstvom, a potom predstavljajući se kao ino dobavljač, koristeći obilježja istog, u fakturama vrši promjenu načina plaćanja, odnosno pod izgovorom navodnih promjena banke, navodi nove instrukcija za plaćanje i korespondentnu banku koja ne odgovara stvarnim podacima, nakon čega oštećeni, ne sumnjajući izvrši uplatu na dostavljeni račun, kojom prilikom je fizičkim i pravnim licima s teritorije Bosne i Hercegovine pričinjena materijalna šteta u novčanom iznosu od više stotina tisuća konvertibilnih maraka.

Također, u drugom primjeru preuzimanja kontrole nad online bankarstvom, napadač uz korištenje metoda tzv. spear phisinga šalje email žrtvi, najčešće pravnom licu, predstavljajući se kao npr. Porezna uprava, u konkretnom primjeru @poreznauprava.com umjesto poreznauprava.ba, a potom aktiviranjem priloga uz email poruku, npr. pdf dokumenta, žrtva u svoj sistem instalira maliciozni program koji za svrhu ima preuzimanje udaljene kontrole nad računarom, što naposljetku za posljedicu ima, u određenom trenutku obavljanje neovlašteno preuzimanje sesije internet bankarstva, nakon čega izvrše neovlaštene novčane transakcija u ime legalnog korisnika na prethodno pripremljene bankovne račune kriminalnih lica, "financijske mule", kom prilikom je u prethodnom periodu, pravnim licima s teritorije Bosne i Hercegovine, gradova Posušje, Tomislavgrad, Tuzla, Orašje, Banja Luka, u periodu od sredine 2016. godine, pričinjena materijalna šteta u novčanom iznosu više od 900.000 KM.

U primjeru enkripcije računara, žrtva najčešće zaprima email poruku s malicioznim programom u prilogu iste, nakon kojih radnji se vrši enkripcija podataka s informacionog sistema, uz zaprimanje poruke o plaćanju otkupnine podataka u virtualnoj valuti "BitCoin", objasnili su iz FUP-a.

U svim navedenim primjerima od napadača, osim lakovjernosti legalnog internet korisnika iskorišteni su i sigurnosni propusti tipa korištenja nelicenciranih operativnih sistema, korištenja neodgovarajućih ili nepostojanje antivirusnih programa, slabe ili nepostojanje sigurnosne politike korištenja informacijskih tehnologija u firmama, nepostojanje permanentne edukacije zaposlenika o opasnostima na internetu/kompjuterskoj sigurnosti i dr.

U cilju preventivnog djelovanja, odnosno smanjenja mogućih zloupotreba informacionih sistema fizičkih i pravnih lica u Bosni i Hercegovini, policijski službenici Odsjeka za borbu protiv kompjuterskog kriminala ove Uprave, smatraju da bi sljedeće preporuke uveliko doprinijele smanjenju krivičnih djela iz oblasti kompjuterskog kriminala, te preventivnog djelovanja i podizanja svijesti kako kod pravnih tako i fizičkih lica u Bosni i Hercegovini:

• procjena rizika i kreiranje pravilnika/sigurnosne politike u vezi s korištenju informacijskih sustava u firmama,
• korištenje licenciranih operativnih sistema, redovan update istih,
• korištenje antivirusnih programa i redovan update istih,
• kontinuiran nadzor mrežnih događaja od strane administratora i prijavljivanje anomalija na istom,
• obraćanje pažnje na instalaciju računalnih programa,
• poštivanje protokola upotrebe elektronskog bankarstva,
• prilikom online plaćanja, uključivanje dodatnih mjera autentikacije, ( npr. novi klijent, prva transakcija, obavezna dodatna autentikacija ),
• redovna provjera analitičke kartice kretanja po računu, provjera sumnjivih transakcija,
• pažnja prilikom ostavljanja ličnih podataka na internetu,
• provjera izvora pošiljaoca email poruka, redovno ažuriranje postavki email korisničkog računa, servera,
• kreiranje tzv. back-up podataka u skladu s politikom sigurnosti firme (na trećim lokacijama i si.),
• redovna edukacija privatnih korisnika i uposlenih u firmama u vezi s mogućnostima zloupotrebom informacionih tehnologija, odnosno prijetnjama na internetu.