Postbank-klanten doelwit van phishingmail

Hehe, eindelijk iemand die iets begrijpt van encryptie...

TAN-lijsten zijn het meest veilige authenticatie-systeem ter wereld, omdat:
a: de authenticatie-informatie op papier ligt opgeslagen, niemand kan je PC hacken voor je en bedrijven kunnen hem in de kluis leggen.
b: elke code is _per definitie_ random, de kans dat er 2 dezelde codes tegelijk in gebruik zijn of dat dezelfde code een tweede keer voorkomt is nihil.
c: elke code word maar 1X gebruikt (i.t.t. passwords die bijna nooit veranderen)
d: Er bestaan maar 2 plaatsen waar de code staat: op jouw blaadje en in een (zwaar) beveiligde database van de bank. Bij non-digitale systemen worden die codes gewoon op papier bewaard en _nooit_ gekopieerd. Als er 1 vel kwijt is, wordt er gewoon een nieuwe lijst gemaakt en verdeeld.

Dit systeem werd in de 2e wereldoorlog (en nu nog) gebruikt voor encryptie tussen onderzeeboten en thuishavens. De kap'tein had in zijn kluis een code per transmissie liggen. Als er een nieuw bericht werd verzonden, werd er een nieuwe code gebruikt.
Destijds werden codes 'gegenereerd' door een groep dames met bingo-molens. Elke keer werd het baletje genoteerd en terug in het apparaat gestoken.
De enige zwakte was, dat de dames vaak een bal 'negeerden' als ze hem net al hadden gehad. Hierdoor werden de kansen veranderd op een balletje.

Mensen dit dit interessant vinden, moeten het boek cryptonomicon lezen van Neal Stephenson.

Mag ik je er even vriendelijk op wijzen dat niks 'per definitie random' is? "Although randomness can be precisely defined and can even be measured, a given number cannot be proved to be random. This enigma establishes a limit to what is possible in mathematics."

http://www.cs.auckland.ac.nz/CDMTCS/chaitin/sciamer.html

Verder vergeet je dat de TAN code ook opvraagbaar is per sms en ik neem aan dat die tamelijk makkelijk onderschept kunnen worden door een serieuze derde partij.

Meer over hoe de postbank probeert het zo veilig mogelijk te houden: http://www.postbank.nl/ing/pp/page/article/detail/0,2842,1859_103828_3 41824,00.html?linktype=int

En ooit gehoord van een man in the middle attack? Helpt ook deze meuk niet tegen. De banken wentelen alle veiligheidsrisico's af op de consument. Had U maar niet op die link moeten klikken, of een goede virus en/of spyware scanner en/of de laatste OS update moeten installeren. Ondertussen zijn er wel voor duizenden Euro's tamelijk ongebruikelijke transacties op een rekening uitgevoerd, zonder dat de bank even contact opneemt of dit allemaal wel klopt.
Controle op transacties kan door banken vrij simpel uitgevoerd worden en levert een aanzienlijke verhoging van de beveiliging op. Maar banken doen dit niet omdat het te duur is en omdat ze de kosten kunnen afwentelen op de consument.

Op vakantie kun je toch ook gewoon SMS berichten ontvangen en dus nieuwe TAN codes?

Doe mij maar gewoon TAN codes per stuk ontvangen, alhoewel ik het alsnog een irritant systeem vind. Ook gewoon dat je alleen een gebruikersnaam/wachtwoord nodig hebt wat constant hetzelfde blijft, om in te loggen en alles te kunnen regelen. Stel iemand logt het een keer (you never know ...), kan dat me verschrikkelijk veel geld kosten, omdat iemand gewoon voor de lol met me aandelen kan rotzooien.

Heb ik toch liever een beveiliging met zo'n calculator.

Op vakantie kun je toch ook gewoon SMS berichten ontvangen en dus nieuwe TAN codes?
Als je bereik hebt wel ja. Maar er zijn landen en abonnementen waar je geen mobiel bereik hebt... Daar staat tegenover dat je dan meestal ook geen internet hebt

Bestaat dat nog dan, behalve met Tele2 dan? Zelfs met KPN Prepay heb je nog bereik in het buitenland, kan ik me herinneren van heel vroeger dat ik prepay had.

In het buitenland internetbankieren zou ik sowieso niet prettig vinden, ivm keyloggers. En tja ... Postbank heeft een vast username/pass, dus is leuk voor keyloggers

@cybje
Je vindt het vervelend dat je per transactie een unieke TAN-code nodig hebt (goede beveiling lijkt mijn). Je vindt het echter vreemd dat je account en ww hetzelfde blijven. Met alleen een account en ww. kun je niet veel, alleen binnen je eigen rekeningen overmaken. Zo'n calculator is handig maar kan stuk en je hebt er je bankpas voor nodig.

@erikdenv
Ik heb een calculator en geen bankpas nodig...(SNS Bank)...werkt supermakkelijk...

<Ik heb een calculator en geen bankpas nodig...(SNS Bank)...werkt supermakkelijk...>

toch we link dat sns hoor, zet autoaanvullen maar eens aan, dan zul je zien dat jouw calculatortje steeds zelfde antwoord verwacht op een bepaald nummer. Dus bijvoorbeeld code 12345 geeft dan altijd 23456. Dit is ook te loggen hoor. En helaas valt sns nog wel eens in herhaling bij die nummers........

@erikdenv
Klopt, maar zoals Cybje zelf ook al aangeeft kan je met alleen inlognaam en ww ook aandelen kopen/verkopen (mits de persoon hiertoe toegang heeft uiteraard). Naast het feit dat dit veel kan kosten, is het ook mogelijk dat als een partij maar genoeg inlognamen en wachtwoorden heeft, dat al deze accounts gezamelijk zouden kunnen gebruiken om in 1 keer erg veel aandelen van een enkel fonds te kopen.

Koers wordt beinvloed, daders verdienen daar aan (heeft dus wel nut voor ze), kost slachtoffers geld (zeker als ze het niet direct doorhebben).

Die hele stunt met TAN codes is natuurlijk geschift. Check eens een Rabobankje, waar je je pinpas in een paslezer moet duwen en je pincode moet inkloppen voor realtime gemaakte codes. Hier kun je alleen iets mee als je een rabopaslezertje hebt (gratis te halen bij de rabo) en een pinpas (bijvoorkeur die van een ander) en de bijpassende pincode.

Net zo veilig als flappentappen, en dit soort phishing mails hebben alleen zin als de inhoud van de mail iets is van "stuur uw pinpas met de pincode in een gesloten envelop naar: rabopassencontrole, Rode Plein 15, Moskou, Rusland"
Hoeveel kanshebbers schat je?

En die algoritme die gebruikt wordt in de rabobank paslezer is echt niet bekend bij criminelen.. hehe.. Die paslezer is niets anders dan mensen een nep gevoel van veiligheid geven hoor..
Criminelen kunnen zonder jouw pas zonder die rabopaslezer en zonder bijpassende pincode net zo makkelijk gebruik maken van jouw rekeningnummer als mensen met een lijst van tan codes.. (Die verbazingwekkend veilger is dan die calculator dingetjes)

@superdre,

de paslezer wil je pincode hebben om vanuit jouw pincode aan de hand van de datum en tijd een code te genereren. de datum en tijd valt makkelijk te zien (alhoewel ze dan wel rekening moeten houden met het verschil in tijdzone's van het rode plein in moskou en de nederlandse tijdzones), maar hoe willen ze jouw pincode zo maar weten. ze weten namelijk de code van het apparaat niet en kunnen dus niets terugrekenen


? + 5 = ?. hoe wil jij de 2 vraagtekens uitvinden. beide kunnen alle getallen zijn die je maar wilt. dat lukt niet. de rabolezer is dus niet per defenitie onveilig. die tancodes zijn veel makkelijker (extern) de mogelijkheden uit te halen door oude codes continu te bekijken. dat lukt niet bij de rabo, want daar staat niets van op papier

Ik wil alleen wel even weten waarom er weinig mee gefraudeerd wordt als het net zo veilig is als een bank met de kluis open?

Pfff bij creditcards krijg je ook alleen je geld terug als je snel reageert na verlies of diefstal of misbruik. Ben je een tijdje op vakantie en merk je niet dat je rekening geplunderd is, dan heb je mooi pech hoor...

Bij creditcards speelt nog wat anders mee. De winkels zjin verantwoordelijk om te checken dat jij de eigenaar van de creditcard bent. (bv door adres gegevens op te vragen)
Als dus iemand anders met jouw creditcard uitgaven gedaan heeft, dan heeft die winkel dat niet op de juiste manier gecontroleerd en is de schade dus voor de winkel en niet de creditcard maatschappij. Vandaar dus dat je daar meestal je geld wel terugkrijgt.

Toch wel, een waarschuwende e-mail is al naar klanten van de Postbank verstuurd.

Vervuilen van hun database zal wel meevallen hoor. Die codes worden automatisch ingevoerd en als ze niet blijken te kloppen gooit die database, ze er gelijk weer uit. Daar hoeven die gasten echt niets voor te doen hoor.

Als de blije kant-en-klaar-virusbouwpakketjes-kiddies en virusschrijvers daar nu eens wat tijd in staken. Gewoon een worm schrijven en wanneer er weer zo'n phishing site wordt gevonden die te bestoken. Alle ghost pc's die besmet zijn maximaal 2kB/s om die pagina aan te roepen dat is nog wel te doen toch? Het blijft misbruik maken van andersmans pc en internetverbinding maar het is in ieder geval een stuk nuttiger dan www.microsoft.com ddossen...

Yep, googel maar 'ns op "braatolizer"
Dit tooltje heeft al vele successen op zijn naam staan, waaronder de hilarische Bild -poll tijdens het EK voetbal 2004