Zablokowane przez bank konto firmowe po podejrzanej aktywności bywa niepokojące, zwłaszcza gdy nie wiadomo, co dokładnie ją wywołało.

Na czym polega ta interwencja

Sprawdzamy komputer i sieć firmową pod kątem ewentualnej infekcji lub innej przyczyny podejrzanej aktywności, która mogła wywołać reakcję banku.

Dla kogo ma sens

Interwencja jest przydatna dla firm, których konto bankowości firmowej zostało zablokowane po zgłoszeniu podejrzanej aktywności.

Ile to trwa

Usługa dostępna jest całą dobę, siedem dni w tygodniu, a diagnoza rozpoczyna się niezwłocznie po zgłoszeniu.

Warunki

Diagnoza wstępna jest bezpłatna, a wykonana usługa objęta jest gwarancją do 12 miesięcy.

Mechanizmy detekcji i powody prewencyjnych blokad bankowych

Współczesne systemy bankowości elektronicznej dla przedsiębiorstw korzystają z zaawansowanych modułów antyfraudowych (ang. anti-fraud – systemów wykrywania oszustw i nadużyć finansowych). Narzędzia te monitorują w czasie rzeczywistym dziesiątki parametrów każdej sesji logowania oraz każdej zlecanej transakcji. Algorytmy bezpieczeństwa analizują tak zwany cyfrowy odcisk palca urządzenia (ang. device fingerprinting – zestaw unikalnych cech przeglądarki, systemu operacyjnego, czcionek oraz konfiguracji sprzętowej), adresację sieciową, a także biometrię behawioralną (sposób poruszania kursorem myszy i tempo wprowadzania znaków z klawiatury).

Gdy system bankowy wykryje anomalię, natychmiast uruchamia procedury ochronne wynikające z przepisów AML (ang. Anti-Money Laundering – regulacji dotyczących przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu) oraz dyrektywy PSD2 (unijnej dyrektywy o usługach płatniczych regulującej silne uwierzytelnianie klienta). Reakcją banku na nietypowe zachowanie jest tymczasowe lub całkowite zablokowanie dostępu do bankowości elektronicznej, wstrzymanie wychodzących przelewów lub wymuszenie kontaktu z infolinią departamentu bezpieczeństwa.

Najczęstsze wektory zagrożeń technicznych na komputerach firmowych

Zablokowanie konta rzadko bywa kwestią przypadku. Z reguły stanowi ono bezpośredni skutek aktywności szkodliwego oprogramowania lub manipulacji w konfiguracji stacji roboczej, na której pracownik realizuje operacje finansowe. Do najczęstszych przyczyn zaliczają się:

Trojany bankowe oraz infostealery (złośliwe oprogramowanie wykradające poświadczenia) – programy te potrafią przechwytywać loginy, hasła, certyfikaty kwalifikowane oraz pliki cookies (ciasteczka sesyjne przechowujące stan zalogowania do banku). Umożliwia to przestępcom próbę przejęcia aktywnej sesji użytkownika bez konieczności ponownego podawania hasła głównego.
Wstrzykiwanie kodu do przeglądarki, czyli mechanizm webinject (ang. web injection – modyfikacja kodu strony internetowej w locie) – zainfekowane rozszerzenie lub złośliwy proces w systemie Windows modyfikuje strukturę strony banku wyświetlanej na ekranie komputera. Użytkownik widzi fałszywy formularz z prośbą o autoryzację rzekomej zmiany regulaminu, podczas gdy w rzeczywistości autoryzuje dodanie zaufanego odbiorcy lub przelew środków na obce konto.
Złośliwe moduły podmieniające schowek systemowy, czyli tzw. clippery (ang. clipboard hijackers) – programy działające w tle, które stale monitorują zawartość schowka systemowego. W momencie skopiowania 26-cyfrowego numeru rachunku bankowego IBAN (International Bank Account Number – międzynarodowy numer rachunku bankowego), clipper natychmiast zamienia go na numer konta kontrolowany przez atakujących. Systemy bankowe rejestrują nagłą zmianę odbiorcy lub wpisanie rachunku znajdującego się na listach ostrzeżeń.
Nieautoryzowane oprogramowanie zdalnego dostępu (narzędzia RAT – Remote Access Trojan lub niewłaściwie zabezpieczone programy typu AnyDesk, TeamViewer czy RDP) – obecność aktywnego połączenia zdalnego w trakcie logowania do bankowości jest dla bankowych systemów bezpieczeństwa krytycznym sygnałem ostrzegawczym, często skutkującym natychmiastowym zerwaniem sesji.
Manipulacje na poziomie konfiguracji sieciowej i DNS (Domain Name System – system zamieniający nazwy domen na adresy IP) – zmiana adresów serwerów DNS na karcie sieciowej lub w routerze firmowym powoduje przekierowywanie zapytań o domenę banku na fałszywe serwery pośredniczące (ang. Man-in-the-Middle – atak polegający na podsłuchu i modyfikacji komunikacji).

Warianty blokady konta i scenariusze incydentów

W zależności od skali zagrożenia oraz punktu wykrycia incydentu, blokada nałożona przez instytucję finansową może przybierać różne formy:

Blokada sesyjna przy próbie logowania – następuje w ułamku sekundy po wpisaniu identyfikatora. Bank wykrywa, że połączenie przychodzi z węzła wyjściowego sieci anonimizującej Tor, z podejrzanego serwera VPN (Virtual Private Network – wirtualna sieć prywatna) lub z urządzenia o niespójnym profilu technicznym.
Blokada transakcyjna – logowanie przebiega pomyślnie, jednak próba zatwierdzenia przelewu lub zdefiniowania nowej płatności kończy się komunikatem o błędzie lub wymogiem natychmiastowej weryfikacji telefonicznej. Dzieje się tak, gdy kwota, odbiorca lub czas zlecenia transakcji drastycznie odbiegają od profilu historycznego firmy.
Zawieszenie kanału elektronicznego z wymogiem audytu IT – bankowy departament bezpieczeństwa blokuje wszystkie profile dostępowe powiązane z firmą i stawia formalny warunek: przed odblokowaniem rachunku zarząd firmy musi przedstawić potwierdzenie sprawdzenia stacji roboczych pod kątem szkodliwego oprogramowania przez specjalistę.
Blokada po wielokrotnych odrzuceniach autoryzacji 2FA (uwierzytelniania dwuskładnikowego) – sytuacja, w której na telefon osoby uprawnionej przychodzą powiadomienia autoryzacyjne dotyczące operacji, których nikt w firmie nie inicjował. Odrzucenie autoryzacji przez użytkownika słusznie traktowane jest przez bank jako próba nieautoryzowanego dostępu.

Błędy popełniane przez firmy po wystąpieniu blokady

Pojawienie się blokady na koncie firmowym często wywołuje presję czasu związaną z koniecznością opłacenia faktur, podatków czy wynagrodzeń. Działanie pod wpływem emocji prowadzi do poważnych błędów, które utrudniają analizę sytuacji:

Logowanie na innym komputerze w tej samej sieci lokalnej LAN (Local Area Network) – jeśli źródłem problemu jest zainfekowany router, zatrucie tablicy ARP (ang. ARP spoofing – technika podsłuchiwania pakietów w sieci lokalnej) lub robak sieciowy przemieszczający się między stacjami roboczymi (tzw. lateral movement), logowanie z kolejnego komputera spowoduje zainfekowanie kolejnych poświadczeń i zablokowanie dodatkowych profili bankowych.
Pochopne formatowanie dysków i reinstalacja systemu – skasowanie danych z dysku usuwa wprawdzie wirusa, ale bezpowrotnie niszczy również dzienniki zdarzeń systemowych (logi systemowe), historię połączeń oraz pliki tymczasowe. Uniemożliwia to ustalenie, jak doszło do incydentu, jakie dane zostały wykradzione oraz czy w sieci nie pozostały inne ukryte punkty dostępu.
Zmiana haseł na zainfekowanym stanowisku – próba zmiany hasła do bankowości, poczty firmowej czy kont administracyjnych na komputerze, na którym wciąż działa keylogger (program rejestrujący znaki z klawiatury), daje cyberprzestępcom natychmiastowy dostęp do nowych danych uwierzytelniających.
Ograniczenie się do podstawowych, darmowych skanerów antywirusowych – tradycyjne programy antywirusowe bazujące wyłącznie na prostych sygnaturach nie wykrywają zagrożeń bezplikowych (ang. fileless malware – złośliwego kodu działającego wyłącznie w pamięci operacyjnej RAM) ani skryptów PowerShell uruchamianych w tle.
Ignorowanie urządzeń brzegowych i pamięci sieciowych – skupienie uwagi wyłącznie na jednym laptopie przy pominięciu routera firmowego, punktów dostępowych Wi-Fi oraz serwerów plików NAS (Network Attached Storage) pozwala intruzom na utrzymanie stałego przyczółka w infrastrukturze przedsiębiorstwa.

Rozróżnienie: fałszywy alarm a realna próba przejęcia środków

Nie każda blokada rachunku oznacza udany cyberatak. W wielu przypadkach systemy bankowe reagują na nieszkodliwe zmiany parametrów technicznych po stronie przedsiębiorstwa:

Fałszywy alarm (ang. false positive) występuje najczęściej w sytuacjach takich jak:

Korzystanie przez pracownika ze służbowego tunelu VPN podczas pracy zdalnej, co powoduje nagłą zmianę zewnętrznego adresu IP na adres zagraniczny.
Automatyczne połączenia programów finansowo-księgowych oraz systemów ERP (np. InsERT nexo, Comarch Optima, Symfonia, WAPRO ERP) wysyłających pakiety zapytań przez interfejsy API (Application Programming Interface – interfejs programistyczny do wymiany danych między aplikacjami) w sposób zinterpretowany przez bank jako ruch automatycznych botów.
Czyszczenie pamięci podręcznej i plików cookies lub przesiadka na nową przeglądarkę internetową, co usuwa dotychczasowy zaufany profil urządzenia.
Przełączenie łącza internetowego na awaryjny modem LTE z dynamicznie przydzielanym adresem IP z innej puli operatora.

Z kolei o realnym incydencie bezpieczeństwa świadczą następujące objawy:

Otrzymanie powiadomienia o zleceniu przelewu do nieznanego kontrahenta lub o próbie podniesienia dziennych limitów transakcyjnych.
Obecność w historii operacji niezatwierdzonych transakcji oczekujących z podstawionym numerem rachunku.
Pojawienie się na ekranie komputera nietypowych komunikatów z logotypem banku proszących o podanie pełnego numeru PESEL, danych karty płatniczej lub kodów autoryzacyjnych w celu aktualizacji certyfikatu bezpieczeństwa.
Samoistne rozłączanie sesji internetowych, wysokie obciążenie procesora CPU (Central Processing Unit – główna jednostka obliczeniowa) oraz obecność nieznanych procesów w menedżerze zadań.

Procedura weryfikacji i zabezpieczenia środowiska komputerowego

W celu bezpiecznego przywrócenia dostępu do bankowości konieczne jest przeprowadzenie metodycznej procedury diagnostycznej bezpośrednio na stacjach roboczych w siedzibie firmy:

Krok 1: Odłączenie stacji od sieci (izolacja) – odpięcie przewodu sieciowego Ethernet lub wyłączenie karty Wi-Fi zapobiega dalszej komunikacji złośliwego kodu z serwerami sterującymi C2 (Command and Control – serwer kontrolny używany przez przestępców).
Krok 2: Zrzut i analiza pamięci operacyjnej RAM – zbadanie aktywnych procesów w pamięci ulotnej pozwala wykryć złośliwy kod wstrzyknięty do zaufanych procesów systemowych (np. svchost.exe czy explorer.exe) oraz bibliotek DLL (Dynamic-Link Library – bibliotek łączonych dynamicznie).
Krok 3: Audyt przeglądarek i certyfikatów – weryfikacja zainstalowanych wtyczek, usunięcie nieautoryzowanych certyfikatów z magazynu systemowego Windows oraz sprawdzenie konfiguracji serwerów pośredniczących proxy.
Krok 4: Weryfikacja integralności sieciowej i pliku hosts – sprawdzenie, czy plik hosts (systemowy plik mapujący nazwy domen na adresy IP przed odpytaniem serwera DNS) nie zawiera fałszywych wpisów dla domen bankowych, a także zbadanie konfiguracji DNS na poziomie routera firmowego.
Krok 5: Przygotowanie protokołu bezpieczeństwa – sporządzenie zestawienia wykonanych prac technicznych, usuniętych zagrożeń i statusu integralności systemu, co stanowi dla banku formalną podstawę do odblokowania konta.

Najczęściej zadawane pytania (FAQ)

Czy bank samoczynnie odblokuje konto firmowe po upływie doby?

W przypadku blokad wywołanych podejrzeniem cyberataku lub manipulacji sesją banki nie odblokowują dostępu automatycznie. Wymagany jest kontakt telefoniczny osoby upoważnionej z departamentem bezpieczeństwa oraz złożenie oświadczenia o weryfikacji stanu technicznego stacji roboczych.

Co zrobić, jeśli na zablokowanym komputerze pracują programy księgowe i bazy danych SQL?

Podczas diagnostyki nie należy usuwać ani reinstalować oprogramowania biznesowego takiego jak Subiekt, Optima, Symfonia czy Płatnik. Sprawdzane są procesy systemowe, moduły komunikacji sieciowej oraz integralność bazy Microsoft SQL Server, aby zapewnić pełne bezpieczeństwo danych finansowych bez naruszania ciągłości pracy biura.

Czy po incydencie konieczna jest wymiana dysków twardych lub całych komputerów?

W przeważającej większości przypadków wymiana sprzętu nie jest konieczna. Zdecydowana większość infekcji trojanami bankowymi i clipperami może zostać całkowicie wyeliminowana na poziomie oprogramowania, sterowników i rejestru systemowego, bez ponoszenia kosztów zakupu nowych podzespołów.

Jak bezpiecznie zmienić hasła po wystąpieniu podejrzanej aktywności?

Zmianę haseł do bankowości, poczty elektronicznej i systemów ERP należy przeprowadzić wyłącznie ze stacji roboczej, która została już zweryfikowana jako w pełni czysta, lub z odrębnego urządzenia niepołączonego z podejrzaną siecią lokalną.

Czy w przypadku blokady konta doszło również do wycieku danych kontrahentów?

Zależy to od typu wykrytego zagrożenia. Zwykły clipper modyfikujący schowek systemowy skupia się jedynie na numerach rachunków, natomiast zaawansowany infostealer może pobrać bazę haseł i plików. Weryfikacja powłamaniowa pozwala precyzyjnie ustalić rodzaj oprogramowania i określić, czy konieczne jest zgłoszenie incydentu ochrony danych osobowych.

Rzetelna weryfikacja techniczna jako warunek bezpiecznego wznowienia operacji bankowych

Zablokowanie firmowej bankowości elektronicznej jest sygnałem alarmowym, którego nie należy lekceważyć ani próbować rozwiązywać powierzchownymi metodami. Prawidłowo przeprowadzona diagnoza stacji roboczych oraz infrastruktury sieciowej na miejscu w przedsiębiorstwie pozwala precyzyjnie zidentyfikować źródło anomalii, usunąć złośliwe procesy i przywrócić pełne bezpieczeństwo transakcji finansowych.

22 378 48 09

Zablokowane konto bankowości firmowej po podejrzanej aktywności