אבטחת סייבר בבנקאות

פעלו מיד. מכוח הוראת ניהול בנקאי תקין 426 מפעיל כל תאגיד בנקאי מוקד טלפוני מאויש במענה אנושי 24 שעות ביממה, בכל ימות השבוע, לדיווח על חשש להונאה בשירותי תשלום ולמסירת הודעה על חשש לשימוש לרעה. ההודעה הזו היא הצעד הקובע: לפי חוק שירותי תשלום, התשע"ט-2019, הלקוח אינו אחראי לשימוש לרעה שנעשה לאחר מסירתה, ואחריותו על מה שקדם לה מוגבלת בסכום. אחרי ההודעה שנו את הסיסמה ממכשיר אחר, עברו על היסטוריית העסקאות וסמנו את החשודות, ושמרו כל ראיה.

שירותי בנקאות בתקשורת בישראל כפופים להוראת ניהול בנקאי תקין 367, שקובעת דרישות מחייבות: הצפנת המידע שעובר ברשתות חיצוניות, מנגנון אוטומטי לזיהוי פעילות חריגה בזמן אמת, שני גורמי אימות לפחות בפעולות ברמת סיכון גבוהה, והתראה ללקוח בערוץ אחר מזה שבו בוצעה הפעולה. ההוראה גם מחייבת את הבנק לנהל את הסיכון שבאתרים ובאפליקציות מתחזים. אף אחת מהדרישות האלה אינה מבטיחה חסינות, והאבטחה תלויה גם בכם: השתמשו רק באפליקציה הרשמית, עדכנו את מערכת ההפעלה של הטלפון, ואל תתקינו אפליקציות ממקורות לא מוכרים, כפי שממליץ בנק ישראל.

בנק ישראל מגדיר פישינג (דיוג) כניסיון להשיג פרטים אישיים באמצעות שליחת קישור, בדואר אלקטרוני או במסרון, שמפנה לאתר מתחזה שבו הלקוח מתבקש למלא את פרטיו. הדף המתחזה מבקש בדרך כלל קוד זיהוי וסיסמה לאתר הבנק, מספר חשבון, תעודת זהות ופרטי כרטיס אשראי, כולל שלוש הספרות בגב הכרטיס. הסימנים שבנק ישראל מונה: פנייה כללית בנוסח "לקוח יקר" בלי פרטי הלקוח, שגיאות ניסוח וכתיב, כתובת שולח שדומה לאמיתית אך משובשת באות אחת, וכתובת קישור שאינה מוכרת. הכלל שהוא קובע: אין למסור את הפרטים האלה בשום מקרה, והבנק לעולם לא יבקש אותם בדואר אלקטרוני.

בחלק מהמקרים זו כבר חובה רגולטורית ולא בחירה. הוראת ניהול בנקאי תקין 367 קובעת שפעולות שהוגדרו ברמת סיכון גבוהה יתאפשרו רק לאחר אימות בשני גורמי אימות לפחות, ומונה ביניהן העברות ותשלומים מעל תקרת סכום שקובע הבנק, משיכת מזומן מעמדה אוטומטית, ושינוי פרטי התקשרות או שם בעל החשבון. מעל תקרה גבוהה יותר נדרשת טכנולוגיה שמשלבת זיהוי ואימות של המשתמש עם סודיות ושלמות הנתונים ומניעת הכחשה. הערך של השכבה הזו פשוט: גם מי שהשיג את הסיסמה שלכם עדיין חסר את הגורם השני.

חוק שירותי תשלום, התשע"ט-2019, מחלק את האחריות סביב רגע ההודעה. על שימוש לרעה שנעשה אחרי שהלקוח הודיע על גניבה, אובדן או שימוש לרעה הוא אינו אחראי כלל. על שימוש שקדם להודעה אחריותו מוגבלת לסכום הנמוך מבין סכום העסקאות שבוצעו בפועל לבין 75 ש"ח בתוספת 30 ש"ח לכל יום מהמועד שבו נודע לו על האירוע, ומי שהודיע בתוך 30 יום מהשימוש לרעה הראשון לא יישא ביותר מ-450 ש"ח. את סכום החיוב חייב נותן שירותי התשלום להשיב לא יאוחר משמונה ימי עסקים מיום ההודעה. שתי הגבלות: מי שפעל בכוונת מרמה אחראי במלוא הסכום, וכך גם מי שהעמיד את הרכיב החיוני באמצעי התשלום לרשות אדם אחר. במקרה של מחלוקת אפשר לפנות ליחידה לפניות הציבור בפיקוח על הבנקים.