Kiedy chcemy mówić o bezpieczeństwie w kontekście e-commerce, musimy przede wszystkim uświadomić sobie, że jest to zagadnienie bardzo szerokie. Pełen obraz cyberbezpieczeństwa możemy naszkicować dopiero wtedy, kiedy pod uwagę weźmiemy fakt, że dotyczy ono nie tylko konsumentów, ale też merchantów i dostawców technologii. Kiedy zaś połączymy te trzy klocki, zyskujemy synergię, która zapewnia spokój i bezpieczeństwo wszystkim elementom tej układanki. Jaką rolę odgrywają poszczególne z nich?
Spis treści:
W sklepie internetowym
Przede wszystkim bardzo duża odpowiedzialność za bezpieczeństwo spoczywa na właścicielach sklepów internetowych. A to dlatego, że w dzisiejszych czasach to właśnie one są skarbnicą danych osobowych, preferencji zakupowych, czy też po prostu dostępu do systemów płatności. To zaś sprawia, że są narażone na różnego rodzaju ataki cyberprzestępców. Tylko jakiego rodzaju i w jaki sposób mogą się przed nimi chronić?
Prawdziwą plagą, która zalewa rynek, jest tzw. Phishing. Ta metoda ataku ma na celu wyłudzenie informacji. Polega na tym, że cyberprzestępcy podszywają się pod inną osobę lub instytucję, żeby nakłonić „ofiarę” do określonych działań. I tu na celowniku mają zazwyczaj dane logowania do systemu bankowego, konta klienta lub panelu administracyjnego sklepu.
Do tego typu ataku cyberprzestępcy używają najczęściej (mogłoby się wydawać) metody nadzwyczaj banalnej – zwykłego maila. W jego temacie i treści zazwyczaj znajdują się informacje, które pozornie mogą dotyczyć biznesu np. zwrotów reklamacyjnych lub pytań o produkt. Po otwarciu takiego maila, najczęściej z załącznikami, „hakerzy” infekują urządzenie (telefon, komputer, przeglądarkę). To pozwala im na kradzież loginów i haseł czy też przejęcie płatności, kluczowych danych, a nawet całego panelu administracyjnego.
A jak się chronić przed Phishingiem? W tym przypadku praktycznie wszystko jest zależne od czynnika ludzkiego. Najlepszą drogą do wykluczenia tego typu ataków w sklepie internetowym, są szkolenia dla pracowników i wyczulenie ich na maile o podejrzanych tematach, wysyłane z nietypowych adresów.
Drugim, często obserwowanym wektorem ataku na sprzedawców internetowych są te typu DDoS. Ich cel, to przeciążenie sklepu i wyłączenie konsumentom dostępu do zakupów. Skuteczny atak wolumetryczny może trwać kilka godzin, a to dla e-sklepów oznacza ogromne straty. I nie mówimy tu tylko o utraconych przychodach, a o problemach wizerunkowych i utracie zaufania klientów.
Warto wiedzieć
Warto też zwrócić uwagę na fakt, że często zdarza się też, że atak, który wygląda jak klasyczny DDoS, jest jedynie „zasłoną dymną”, która ma odwrócić uwagę od trwającej próby włamania do systemu sklepowego lub bazy danych.
Bezpieczeństwo z poziomu platformy
Sklepy internetowe, które chcą się jak najlepiej zabezpieczyć przed atakami cyberprzestępców, powinny przede wszystkim zastanowić się, który partner technologiczny im to zapewni. Najlepiej jest korzystać z usług firm rozpoznawalnych, z doświadczeniem w branży, które oprócz zabezpieczeń systemu sklepowego, oferują wsparcie w jego konfiguracji oraz niezbędne narzędzia do rozpoczęcia sprzedaży zgodnej z polskim prawem. Mogą to być zarówno szablony regulaminów, polityki cookies, czy e-maili, jak i wewnętrzne modułu wspierające wymogi wynikające z RODO, anty spam.
Podczas wyboru platformy sklepowej warto zwrócić uwagę na to, co zapewnia ona w standardzie zabezpieczeń. Najważniejsze opcje to m.in. certyfikat SSL, ciągły monitoring usług, system anty DDoS, regularne aktualizacje czy backupy. Warto też zwrócić uwagę na poziom zabezpieczeń przed nieuprawnionym logowaniem do panelu sklepu. Wśród kluczowych mechanizmów, pozwalających zmniejszyć ryzyko włamania, czy też przejęcia panelu sklepu można wymienić np. możliwość konfiguracji polityki silnych haseł, blokowanie logowania po określonej liczbie nieudanych prób, białą listę adresów IP – która pozwala na dostęp do panelu jedynie z zaufanych lokalizacji, czy też coraz popularniejsze dwuetapowe logowanie.
W IdoSell traktujemy kwestie bezpieczeństwa priorytetowo. Dlatego też oprócz sprawdzonego zaplecza technicznego, wykorzystujemy elementy sztucznej inteligencji do ciągłego monitoringu sklepów naszych klientów. Te zaś skutecznie wyłapują sporą część niechcianego ruchu. Dobrą praktyką, są regularnie realizowane testy penetracyjne, czyli symulacje ataków hakerskich. Jeśli w ich efekcie pojawiają się jakieś podatności, są one na bieżąco weryfikowane i poprawiane.
Warto edukować
Nie tylko sklepy i platformy ponoszą całą odpowiedzialność za cyberbezpieczeństwo. Nieostrożni czy też nieświadomi konsumenci, również mogą stać się celem ataków cyberprzestępców. Rozważni sprzedawcy powinni dmuchać na zimne i instruować swoich klientów, na co powinni zwracać szczególną uwagę podczas zakupów.
Pierwszym ważnym zagadnieniem, które warto podkreślać, jest weryfikacja poprawności domeny sklepu oraz fakt posiadania certyfikatu SSL - szczególnie na stronie logowania, gdzie konsument podaje swój login i hasło. Równie kluczowym elementem dla kupującego powinna być weryfikacja regulaminu sklepu, polityki prywatności i strony kontaktowej, które w jasny i przejrzysty sposób powinny informować, kto jest sprzedającym i jak może dane będą przetwarzane.
Podczas zakupów w sieci, warto również zwrócić uwagę na fakt posiadania przez sprzedawcę opinii i rozpoznawalnych certyfikatów jakości (np. SuperFair.Shop, czy Trusted Shop). Nie bez znaczenia pozostaje kwestia płatności. Każdy kupujący powinien otrzymać jasną informację, które z nich sklep oferuje. Im popularniejsze, bardziej rozpoznawalne i uznane na rynku, tym większa pewność, że sprzedawca prowadzi biznes rozsądnie i dba o to, żeby żadne dane konsumentów nie dostały się w niepowołane ręce.
*Tekst powstał we współpracy z Piotrem Sikorą, CTO w IdoSell
