Chrání vás vaše banka? Tady jsou hříšníci, které bezpečnost klientů nezajímá

E-mailová komunikace je již několik let zneužívána podvodníky k získání přístupů k bankovním účtům pomocí falešných e-mailů odesílaných jménem bank a finančních institucí. Své zkušenosti s tím mají finanční ústavy po celém světě, včetně ČR.

Ilustrační fotografie
reklama

V aktuálním průzkumu společnosti Mailkit odpovědělo 19,2 % respondentů, že se setkali s falešnou výzvou k aktualizaci údajů v internetovém bankovnictví. U vysokoškolsky vzdělaných se jednalo o 28,7 % a v případě Prahy pak o celých 31,2 % respondentů. Takto vysoké procento postižených nás samozřejmě nenechalo v klidu a podívali jsme se na to, jak jednotlivé finanční ústavy chrání své domény před zneužitím.

Výsledky jsou velice překvapivé - zabezpečení e-mailů na nejvyšší úrovni má pouze jediná banka.

Vítězem se tak stala banka HSBC, resp. její česká pobočka, která jako jediná implementovala kompletní ochranu domény hsbc.cz pomocí technologií SPF a DMARC. Tato doména se nepoužívá pro žádnou e-mailovou komunikaci, a tak banka zcela správně nastavila SPF záznam zakazující jakékoliv zprávy z této domény a DMARC pravidlo definující, že veškeré zprávy mají být zamítány a díky reportingu o tom má kompletní přehled.

Pomyslné druhé místo získávají Citibank, ČSOB a Poštovní spořitelna - tyto banky mají korektně nastavené SPF záznamy, které jsou dostatečně restriktivní a mají i DMARC záznam pro dohled. Zatím jsou však zřejmě ve fázi implementace DMARC a mají tak pouze dohledový záznam bez pravidla určujícího, jak naložit se zprávami, které neodpovídají bezpečnostním požadavkům.

Neudělený bronz by si odnesla Česká spořitelna za ochranu domény csas.cz a ING Bank za doménu ing.cz. Tento neudělený bronz však není za ochranu, ale za snahu. Jak csas.cz, tak ing.cz mají implementovány SPF záznamy i DMARC, ale bohužel obojí v podobě, která nemá příliš vysokou hodnotu. Česká spořitelna má pro doménu csas.cz příliš široce pojatý SPF záznam, který autorizuje celou infrastrukturu společnosti Google, což otevírá obrovské množství cest, jak využít cloudové platformy Googlu k vydávání se za doménu csas.cz. ING pak své SPF záznamy má s neutrálním pravidlem, tzn. de facto bez užitku. Obě domény pak pomocí DMARC reportů pouze monitorují rizika. Lze předpokládat, že v obou případech se jedná o součást implementačního procesu, a proto by si zasloužili bronz za snahu. Bohužel obě banky zapomněly na ochranu svých dalších domén, a tak Česká spořitelna u domény servis24.cz používané pro bankovnictví sice nastavila SPF záznamy a tentokrát restriktivně, ale DMARC pravidla zde zcela chybí. ING Bank pak zcela ignorovala zabezpečení domény ingbank.cz.

Bramborové ocenění je pak za validní a dostatečně restriktivní nastavení SPF záznamů. Bramboru by si kromě České spořitelny a její domény servis24.cz, Air Bank za doménu airbank.cz, J&T Banky, mBank, Stavební spořitelna České spořitelny za doménu csst.cz a Zuno, již nevysloužila žádná z kontrolovaných bank.

A kdo jsou hříšníci, kteří usoudili, že je bezpečnost jejich klientů nebude zajímat?

Českomoravská stavební spořitelna, Equa Bank, Fio Banka, Hypoteční banka, ING Bank za doménu ingbank.cz, Komerční banka, Modrá pyramida stavební spořitelna, MONETA Money Bank, PPF Banka, Raiffeisenbank, Sberbank, Stavební spořitelna České spořitelny za doménu burinka.cz, Unicredit bank a Wüstenrot - ti všichni mají své domény zcela nezabezpečené.

Kompletní výsledky testu provedeného 20.4.2017 najdete níže:

Banka

Doména

SPF

DMARC

Air Bank

airbank.cz

Správně

Chybí

Česká spořitelna

csas.cz

Nedostatečné

Monitoring

servis24.cz

Správně

Chybí

Českomoravská stavební spořitelna

cmss.cz

Chybí

Chybí

Československá obchodní banka

csob.cz

Správně

Monitoring

Citibank

citibank.cz

Správně

Monitoring

Equa Bank

equabank.cz

Neplatné

Chybí

equabanking.cz

Chybí

Chybí

Fio Banka

fio.cz

Warn

Chybí

HSBC

hsbc.cz

Správně

Správně

Hypoteční banka

hypotekapowebu.cz

Chybí

Chybí

hypotecnibanka.cz

Chybí

Chybí

ING Bank

ing.cz

Nedostatečné

Monitoring

ingbank.cz

Chybí

Chybí

J&T Banka

jtbank.cz

Správně

Chybí

Komerční Banka

kb.cz

Chybí

Chybí

mojebanka.cz

Chybí

Chybí

mBank

mbank.cz

Správně

Chybí

Modra pyramida

vsskb.cz

Chybí

Chybí

MONETA Money Bank

moneta.cz

Nedostatečné

Chybí

Poštovní spořitelna

erasvet.cz

Správně

Monitoring

PPF Banka

ppfbanka.cz

Chybí

Chybí

Raiffeisenbank

rb.cz

Chybí

Chybí

Sberbank

sberbankcz.cz

Chybí

Chybí

Stavební spořitelna České spořitelny

csst.cz

Správně

Chybí

burinka.cz

Chybí

Chybí

Unicredit bank

unicreditbank.cz

Chybí

Chybí

Wüstenrot

wuestenrot.cz

Chybí

Chybí

Zuno

zuno.cz

Správně

Chybí

Doporučujeme

Související:

Fokus
Aktuálně
Doporučujeme
Zobrazit: mobil | klasicky