E-mailová komunikace je již několik let zneužívána podvodníky k získání přístupů k bankovním účtům pomocí falešných e-mailů odesílaných jménem bank a finančních institucí. Své zkušenosti s tím mají finanční ústavy po celém světě, včetně ČR.
V aktuálním průzkumu společnosti Mailkit odpovědělo 19,2 % respondentů, že se setkali s falešnou výzvou k aktualizaci údajů v internetovém bankovnictví. U vysokoškolsky vzdělaných se jednalo o 28,7 % a v případě Prahy pak o celých 31,2 % respondentů. Takto vysoké procento postižených nás samozřejmě nenechalo v klidu a podívali jsme se na to, jak jednotlivé finanční ústavy chrání své domény před zneužitím.
Výsledky jsou velice překvapivé - zabezpečení e-mailů na nejvyšší úrovni má pouze jediná banka.
Vítězem se tak stala banka HSBC, resp. její česká pobočka, která jako jediná implementovala kompletní ochranu domény hsbc.cz pomocí technologií SPF a DMARC. Tato doména se nepoužívá pro žádnou e-mailovou komunikaci, a tak banka zcela správně nastavila SPF záznam zakazující jakékoliv zprávy z této domény a DMARC pravidlo definující, že veškeré zprávy mají být zamítány a díky reportingu o tom má kompletní přehled.
Pomyslné druhé místo získávají Citibank, ČSOB a Poštovní spořitelna - tyto banky mají korektně nastavené SPF záznamy, které jsou dostatečně restriktivní a mají i DMARC záznam pro dohled. Zatím jsou však zřejmě ve fázi implementace DMARC a mají tak pouze dohledový záznam bez pravidla určujícího, jak naložit se zprávami, které neodpovídají bezpečnostním požadavkům.
Neudělený bronz by si odnesla Česká spořitelna za ochranu domény csas.cz a ING Bank za doménu ing.cz. Tento neudělený bronz však není za ochranu, ale za snahu. Jak csas.cz, tak ing.cz mají implementovány SPF záznamy i DMARC, ale bohužel obojí v podobě, která nemá příliš vysokou hodnotu. Česká spořitelna má pro doménu csas.cz příliš široce pojatý SPF záznam, který autorizuje celou infrastrukturu společnosti Google, což otevírá obrovské množství cest, jak využít cloudové platformy Googlu k vydávání se za doménu csas.cz. ING pak své SPF záznamy má s neutrálním pravidlem, tzn. de facto bez užitku. Obě domény pak pomocí DMARC reportů pouze monitorují rizika. Lze předpokládat, že v obou případech se jedná o součást implementačního procesu, a proto by si zasloužili bronz za snahu. Bohužel obě banky zapomněly na ochranu svých dalších domén, a tak Česká spořitelna u domény servis24.cz používané pro bankovnictví sice nastavila SPF záznamy a tentokrát restriktivně, ale DMARC pravidla zde zcela chybí. ING Bank pak zcela ignorovala zabezpečení domény ingbank.cz.
Bramborové ocenění je pak za validní a dostatečně restriktivní nastavení SPF záznamů. Bramboru by si kromě České spořitelny a její domény servis24.cz, Air Bank za doménu airbank.cz, J&T Banky, mBank, Stavební spořitelna České spořitelny za doménu csst.cz a Zuno, již nevysloužila žádná z kontrolovaných bank.
A kdo jsou hříšníci, kteří usoudili, že je bezpečnost jejich klientů nebude zajímat?
Českomoravská stavební spořitelna, Equa Bank, Fio Banka, Hypoteční banka, ING Bank za doménu ingbank.cz, Komerční banka, Modrá pyramida stavební spořitelna, MONETA Money Bank, PPF Banka, Raiffeisenbank, Sberbank, Stavební spořitelna České spořitelny za doménu burinka.cz, Unicredit bank a Wüstenrot - ti všichni mají své domény zcela nezabezpečené.
Kompletní výsledky testu provedeného 20.4.2017 najdete níže:
Banka
Doména
SPF
DMARC
Air Bank
airbank.cz
Správně
Chybí
Česká spořitelna
csas.cz
Nedostatečné
Monitoring
servis24.cz
Správně
Chybí
Českomoravská stavební spořitelna
cmss.cz
Chybí
Chybí
Československá obchodní banka
csob.cz
Správně
Monitoring
Citibank
citibank.cz
Správně
Monitoring
Equa Bank
equabank.cz
Neplatné
Chybí
equabanking.cz
Chybí
Chybí
Fio Banka
fio.cz
Warn
Chybí
HSBC
hsbc.cz
Správně
Správně
Hypoteční banka
hypotekapowebu.cz
Chybí
Chybí
hypotecnibanka.cz
Chybí
Chybí
ING Bank
ing.cz
Nedostatečné
Monitoring
ingbank.cz
Chybí
Chybí
J&T Banka
jtbank.cz
Správně
Chybí
Komerční Banka
kb.cz
Chybí
Chybí
mojebanka.cz
Chybí
Chybí
mBank
mbank.cz
Správně
Chybí
Modra pyramida
vsskb.cz
Chybí
Chybí
MONETA Money Bank
moneta.cz
Nedostatečné
Chybí
Poštovní spořitelna
erasvet.cz
Správně
Monitoring
PPF Banka
ppfbanka.cz
Chybí
Chybí
Raiffeisenbank
rb.cz
Chybí
Chybí
Sberbank
sberbankcz.cz
Chybí
Chybí
Stavební spořitelna České spořitelny
csst.cz
Správně
Chybí
burinka.cz
Chybí
Chybí
Unicredit bank
unicreditbank.cz
Chybí
Chybí
Wüstenrot
wuestenrot.cz
Chybí
Chybí
Zuno
zuno.cz
Správně
Chybí
Související
7. února 2024 10:33
30. srpna 2023 10:44
11. srpna 2023 10:19
8. srpna 2023 11:29
22. července 2023 17:01
30. června 2023 11:51
