Besplatan hotelski WiFi može skupo da vas košta: 3 pravila za plaćanje na odmoru

Telefon na ivici bazena, poručeno piće i nekoliko minuta do polaska na izlet. U tom trenutku stiže poruka da je potrebno potvrditi rezervaciju, a među dostupnim mrežama pojavljuje se ona sa imenom hotela i punim signalom. Sve deluje uobičajeno, ali upravo taj bezazleni trenutak može biti početak prevare.

Mreža izgleda poznato, signal je jak, a zamka je već postavljena

Na aerodromu, u hotelu ili kafiću putnik najčešće ne razmišlja ko zaista upravlja mrežom na koju se povezuje. Telefon prikaže nekoliko naziva, a izbor obično pada na onaj koji izgleda zvanično, ima najjači signal ili ne zahteva lozinku.

Problem je što ime mreže nije dokaz njenog identiteta.

Jedan od najrasprostranjenijih napada na javnim mrežama naziva se „evil twin“, odnosno zli blizanac. Napadač podesi svoj uređaj tako da se ponaša kao bežični ruter, a mreži daje naziv gotovo identičan pravoj. Razlika može biti samo u jednom slovu, razmaku ili dodatku poput „Guest“ ili „Free“.

Ako se prava hotelska mreža, na primer, zove „Hotel_Aurora“, lažna može nositi naziv „Hotel_Aurora_Guest“. Putnik vidi poznato ime i ne pomišlja da se iza njega možda ne nalazi hotel.

„Prosečan korisnik ne primećuje ništa sumnjivo. Telefon mu ponudi listu mreža, on izabere onu koja mu deluje najpoznatije ili ima najjači signal i poveže se. Možda čak dobije i stranicu na kojoj treba da unese ime i mejl“, objašnjavaju stručnjaci kompanije PULSEC za naš portal.

Takva stranica dodatno stvara utisak da je reč o regularnoj hotelskoj ili aerodromskoj mreži. Korisnik dobija internet, nastavlja da pregleda sadržaj i ne vidi razlog za sumnju.

Između telefona i banke pojavljuje se nepoznat posrednik

Kada se telefon poveže na lažnu pristupnu tačku, internet saobraćaj prolazi kroz uređaj napadača. To ne znači da će svaki podatak automatski biti vidljiv, jer većina savremenih sajtova koristi enkripciju. Oznaka HTTPS i simbol katanca pokazuju da je veza između korisnika i sajta šifrovana, što potvrđuje i američka Savezna trgovinska komisija.

Ipak, lažna mreža napadaču daje priliku da korisnika preusmeri na falsifikovani sajt ili mu prikaže lažnu stranicu za prijavljivanje. Umesto prave stranice banke, hotelske rezervacije ili servisa za plaćanje, na ekranu se može pojaviti gotovo identična kopija.

Tu se prevara seli sa mreže na čoveka.

Korisnik sam unosi korisničko ime, lozinku ili podatke sa kartice, verujući da razgovara sa bankom ili poznatom kompanijom. Ako koristi istu lozinku na više mesta, jedan ukradeni podatak može napadaču otvoriti i druge naloge.

„U pozadini saobraćaj prolazi kroz napadačev uređaj, koji može da vidi nezaštićen promet, ubacuje lažne stranice za prijavu ili preusmerava korisnika na phishing sajtove“, navode stručnjaci PULSEC-a.

Američka Agencija za sajber bezbednost i infrastrukturnu sigurnost takođe opisuje „evil twin“ kao scenario u kojem napadač kopira karakteristike legitimne javne mreže kako bi naveo korisnike da se povežu na njegovu pristupnu tačku. CISA upozorava da naziv mreže sam po sebi ne garantuje da je ona bezbedna.

Za banku koristite svoju vezu, a ne najbližu besplatnu mrežu

Najjednostavnija promena navike ujedno je i najvažnija: elektronsko bankarstvo i plaćanje ne treba obavljati preko otvorene javne mreže.

Ako je transakcija neodložna, sigurniji izbor je mobilni internet ili lični hotspot sa drugog uređaja. Naziv i lozinku hotelske mreže treba proveriti na recepciji, a ne pretpostaviti da je prva mreža sa nazivom hotela istovremeno i prava.

Vredi isključiti i automatsko povezivanje na dostupne mreže. Telefon koji pamti ranije korišćeni naziv može pokušati da se poveže na lažnu mrežu sa istim imenom, a da korisnik to i ne primeti.

Javni WiFi može da posluži za proveru vremenske prognoze, mape ili radnog vremena muzeja. Bankovni račun, poslovna elektronska pošta i plaćanje rezervacije pripadaju drugoj kategoriji.

Zlatno pravilo stručnjaka za sajber bezbednost glasi: plaćanje treba obaviti putem koji korisnik sam kontroliše, a ne preko puta koji mu je neko servirao u poruci, mejlu ili na ekranu javne mreže.

Tri poteza koja prekidaju prevaru pre nego što novac ode

Prvo pravilo odnosi se na linkove za plaćanje. Čak i kada poruka izgleda kao da je stigla od hotela, avio kompanije ili banke, ne treba direktno otvarati ponuđeni link.

Umesto toga, adresu poznate kompanije ili banke treba ručno uneti u pretraživač ili otvoriti njenu zvaničnu aplikaciju. Time se izbegava mogućnost da link vodi na falsifikovanu stranicu koja samo vizuelno podseća na original.

Drugo pravilo je provera zahteva drugim kanalom. Ako hotel iznenada traži novu uplatu, vlasnik apartmana menja broj računa ili poruka insistira da transakcija mora biti završena odmah, treba pozvati primaoca na ranije poznat broj.

„Jedan poziv ili poruka mogu da spreče prevaru vrednu hiljade evra“, upozoravaju stručnjaci PULSEC-a.

Treće pravilo je korišćenje virtuelne kartice, ukoliko banka pruža tu mogućnost. Takve kartice mogu imati ograničen iznos, kratak rok važenja ili biti namenjene jednoj transakciji. Čak i ako podaci procure, iznos koji može biti zloupotrebljen ostaje ograničen.

Ova tri koraka ne traže napredno tehničko znanje. Traže samo kratku pauzu između zahteva za uplatu i pritiska na dugme „plati“.

Sajber bezbednost na odmoru počinje malim navikama

PULSEC se bavi sajber bezbednošću, od nadzora i otkrivanja pretnji do reagovanja na incidente i provere ranjivosti sistema. Kompanija ima centre u Srbiji, Bosni i Hercegovini i Švajcarskoj, a njen rad je uglavnom usmeren na zaštitu organizacija i poslovnih sistema, navodi se na zvaničnom sajtu PULSEC-a.

Ipak, obrazac koji stručnjaci vide u složenim napadima često počinje isto kao prevara usmerena na pojedinca: neko iskoristi trenutak žurbe, poznato ime i naviku da se upozorenja na ekranu zatvaraju bez čitanja.

Za putnika zato nije presudno da zna kako je lažna mreža tehnički napravljena. Dovoljno je da zastane kada ugleda dva slična naziva, proveri mrežu sa osobljem i sačuva bankarske transakcije za sopstvenu internet vezu.

Piće pored bazena može da sačeka nekoliko sekundi. Toliko je potrebno da se pogleda naziv mreže i odluči da li jedno besplatno povezivanje zaista vredi rizika.