Od zawsze najsłabszym czynnikiem wśród zabezpieczeń jest czynnik ludzki. Czarne charaktery wykorzystują ludzką ignorancję lub brak wiedzy do przełamania zabezpieczeń, wykradnięcia danych oraz pieniędzy z konta.

W przykładach podzielonych na części postaram się przedstawić podszywanie się pod strony banku, dzięki którym hacker jest w stanie skraść dane wrażliwe do konta.

Najbardziej prymitywnym atakiem jest podszywanie się poprzez postawienie identycznej strony na domenie łudząco podobnej do strony banku. Prawie zawsze atak polega na tym samym. Użytkownik próbuje zautoryzować się w banku, hacker zapisuje dane, a następnie przekierowuje na prawidłową stronę banku.

Poniżej przedstawiam przykład orignalnej strony oraz łudząco podobnej.

Jak już wspomniałem jest to prymitywne podszycie się (ok mógłbym dopracować styl, itp, ale chodzi o przykład), ponieważ świadomy użytkownik jest w stanie zorientować się, że to nie jest prawidłowa domena (mbamk.pl) oraz dodatkowo brak SSLa zabezpieczającego.

Można się uprzeć i wygenerować SSL DV (np. korzystając z https://letsencrypt.org/) lub nawet EV, ale i tak na tym etapie każdy powinien uważnie sprawdzać url z jakiego korzysta podczas próby autoryzacji do banku.

Bardziej zaawansowane techniki zostaną opisane w kolejnych rozdziałach.