Podmiana strony banku, której nie było

Michał Macierzyński Michał Macierzyński - 12.02.2007 (09:29)

Bankowość internetowa

Czegoś takiego nie było na rynku. Z doniesień iHack.pl wynika, że hakerzy podmienili w nocy, 10 lutego, stronę Banku BPH. Bank od razu stwierdził, że żadnego włamania nie było, a grafika rodem z Matrixa z napisem: „HACKED 8y PoLish vodka team & czereśniak
 BPH DALIŚCIE SIĘ WYDYMAĆ” to zwykła fałszywka.Z informacji na iHack wynika, że wykorzystano błąd w systemie weryfikacji użytkowników. Problem w tym, że w przypadku serwisu BPH takiej weryfikacji (poza systemem transakcyjnym) nie ma. Jeszcze tego samego dnia, konkurencyjny serwis hack.pl zaczął powątpiewać w prawdziwość doniesień na temat włamania.

Podejrzenia na ten temat okazały się słuszne. Bank zareagował na doniesienia natychmiast w sobotę, a jeszcze w niedziele przesłał oficjalne wyjaśnienie, w którym zdecydowanie stwierdza, że żadnego włamania nie było.

Jak się okazuje system BPHu był w podanych godzinach planowo wyłączony z powodu konserwacji. W tym czasie nie było żadnego włamania, a zaprezentowana grafia została spreparowana. Trzeba przyznać, że nie jest to trudne i można tego dokonać nawet w widowsowym Paincie. Zawiodła redakcja, która nie sprawdziła dokładnie przesłanych informacji.

To nowa sytuacja dla wszystkich instytucji finansowych. Wiadomo, że w każdej z nich od czasu do czasu następują przerwy konserwacyjne serwisów internetowych. Jak się teraz okazuje, każdą z nich można wykorzystać do „włamania”. Wyjątkowo prostego – wystarczy nawet kilka dni wcześniej przygotować grafikę i parę minut po wyłączeniu serwisu przez bank oznajmić wszystkim, że „włamano” się do banku.

Na całe szczęście taka sytuacja może się zdarzyć tylko raz i każda kolejna będzie przez wszystkich dokładnie sprawdzana. Mimo wszystko pokazuje to, jak różne niebezpieczeństwa czyhają na wizerunek banków. Na łamach PRNews.pl przez kilka godzin w sobotę również wisiała informacja o możliwym włamaniu, powołująca się i przekierowująca do iHack.pl. Zdjęliśmy ją od razu w momencie pojawienia się pierwszych wątpliwości. Do tej pory iHack nie miał większych tego rodzaju wpadek.

Mimo wszystko należy stwierdzić, że to już chyba ostatni dzwonek dla wszystkich banków, żeby w końcu wziąć się za bardzo dokładny audyt (zewnętrzny i wewnętrzny) swoich witryn internetowych i systemów transakcyjnych. Widać bowiem wyraźnie, że w ostatnich tygodniach witryny bankowe są konsekwentnie „sprawdzane” przez hakerów. Był już mBank, Millennium, PKO BP. Teraz fałszywka BPH. Kto tym razem następny w kolejce?