Dlaczego polskie fintechy nie są bezpieczne?

Bramki płatności pod lupą

Analitycy EmailLabs przeanalizowali zabezpieczenia poczty elektronicznej stosowane przez popularne fintechy. Pod lupę wzięto firmy udzielające pożyczki, sprzedające ubezpieczenia, bramki płatności, a także serwisy crowdfundingowe i podmioty odpowiedzialne za cyberbezpieczeństwo, w tym bezpieczny obieg dokumentów B2B.

– Sprawdziliśmy, ile firm korzysta z najbardziej podstawowych zabezpieczeń takich jak SPF czy DKIM a ile z bardziej zaawansowanych mechanizmów ochrony poczty elektronicznej takich jak np. DMARC. Na świecie są one coraz częściej stosowane szczególnie w przypadku wysyłania e-maili transakcyjnych zawierających np. potwierdzenia płatności, rejestracji, dane logowania, etc. Z badań jednoznacznie wynika, że część fintechów nie przykłada się wystarczająco do ochrony danych klientów, mimo, że rozwiązania technologiczne są dziś bardzo łatwe do wdrożenia i kosztowo znajdują się w zasięgu nawet niewielkich firm – mówi Katarzyna Garbaciak, dyrektor zarządzająca EmailLabs.

Każdy chroni się jak może

Z analiz firmy wynika, że zdecydowana większość polskich fintechów (81%) posiada prawidłowo wdrożonego SPF-a. To najprostszy system zabezpieczający serwery SMTP. Zła wiadomość jest taka, że w przypadku aż 46% firm, które deklarują posiadanie SPF, konfiguracja protokołu jest „dziurawa”. To sprawia, że część maili niepochodzących od upoważnionego nadawcy może trafić zamiast spamu wprost do naszej skrzynki odbiorczej.

-  Z jednej strony wiele fintechów to wciąż start-upy, firmy, które powstały 2-3 lata temu, więc dopiero doskonalą swoje procesy, także w obszarze bezpieczeństwa. Z drugiej konkurując z bankami muszą wdrożyć przynajmniej podstawowe rozwiązania – albo we własnym zakresie albo korzystając z zewnętrznych usług i serwerów SMTP. Trzeba pamiętać, że pandemia spowodowała prawdziwy wysyp ataków w sieci a fintechy są najczęściej po bankach i służbie zdrowia atakowanym sektorem – zwraca uwagę Katarzyna Garbaciak z EmailLabs.    

Nie najlepiej radzą sobie fintechy z bardziej zaawansowanymi zabezpieczeniami. Aż 72% nie posiada albo posiada błędnie skonfigurowany protokół DKIM. To dodatkowe zabezpieczenie wskazujące czy wiadomość́ wysłana z danej domeny została rzeczywiście wysłana przez prawdziwego nadawcę. DKIM nie tylko zwiększa ryzyko podszycia się pod daną Brak domenę, ale sprawia też, że nawet najbardziej wartościowe treści od zaufanych nadawców trafiają̨ do spamu lub zostają̨ zablokowane przez operatora poczty elektronicznej. 

Dlaczego firmy nie widzą potrzeby ochrony?

Z danych EmailLabs wynika też, że aż 73% fintechów nie posiada prawidłowo skonfigurowanego protokołu DMARC.

DMARC to światowy standard, najbardziej zaawansowany mechanizm ochrony poczty, który jest wspierany przez liderów takich jak Google, Microsoft czy Yahoo i rekomendowany także przez EmailLabs. Prawidłowe ustawienie DMARC gwarantuje, że nikt nie będzie mógł się podszyć pod daną domenę.  To z jednej strony skuteczny sposób na walkę z cyberprzestępcami, z drugiej na poprawę dostarczalności maili, bo te, które posiadają DMARC-a, traktowane są jako wiarygodne przez operatorów pocztowych.

- Są dwa powody braku stosowania zabezpieczeń: często firmy po prostu zakładają, że nic się nie stanie i ich punkt widzenia zmienia się zwykle w momencie wystąpienia incydentu. Niekiedy jest tak, że brakuje im też zwyczajnie kompetencji wewnątrz organizacji. Warto jednak zauważyć, że dzięki rozwojowi technologii, gwarantujące bezpieczeństwo zewnętrzne serwery SMTP można wdrożyć i zintegrować z e-sklepem w ciągu zaledwie kilku minut. Nie bez znaczenia jest także know-how ekspertów, którzy doradzą, jak skonfigurować wszystkie uwierzytelnienia.  – zwraca uwagę Katarzyna Garbaciak.

Więcej informacji znajdziesz w serwisie MOJA FIRMA