Hoofdcategorieën
Device Settings

Schade door fraude internetbankieren meer dan verdubbeld

Door Joost Schellevis, woensdag 13 oktober 2010 19:50, views: 20.502

In de eerste helft van 2010 is het aantal fraude-incidenten met internetbankieren met ruim 230 procent toegenomen ten opzichte van heel 2009. Er werd bovendien ruim twee keer zoveel geld buitgemaakt. De schade door skimming lijkt wel af te nemen.

Dat heeft de Nederlandse Vereniging van Banken bekendgemaakt. Waar in heel 2009 nog 154 incidenten met schade bekend waren, is dit in de eerste helft van 2010 al gestegen naar 514: een toename van ruim 230 procent. De fraude kostte in de eerste helft van dit jaar naar schatting 4,3 miljoen euro, waar dat in 2009 nog 1,9 miljoen euro was. De schade die het skimmen van bankpassen veroorzaakte, lijkt wel af te nemen: waar dit in 2009 nog 36 miljoen euro was, is dit in de eerste helft van dit jaar 11,8 miljoen euro. Als de veroorzaakte schade in de tweede helft van 2010 niet sterk stijgt, komt deze over heel 2010 lager uit.

De NVB komt met een nieuwe campagne om consumenten te wijzen op gevaren van internetbankieren. Ze worden onder andere gewaarschuwd voor phishing en malware. Volgens beveiligingsexpert Eric Baize van RSA kunnen banken hun beveiliging echter ook nog verbeteren, zo zei hij tegen Tweakers.net op de RSA-beveiligingsconferentie in Londen. Volgens Baize is identificatie via sms, zoals ING bijvoorbeeld gebruikt voor het bevestigen van transacties, niet optimaal.

"Een tweede authentificatiemanier moet los staan van de eerste", zegt Baize. Volgens de beveiligingsexpert deden gebruikers vroeger alleen aan internetbankieren op hun pc of laptop, maar kan dit tegenwoordig ook op telefoons. Als die vervolgens wordt geïnfecteerd met een trojan, en de sms-bevestiging komt aan op hetzelfde apparaat, kan er makkelijker misbruik van worden gemaakt, denkt Baize. Tokens zouden veiliger zijn; deze worden onder andere door de Rabobank gebruikt.

Volgende 08:33 Samsung start massaproductie nand-flash van 64Gb
Vorige 18:16 Facebook maakt uitloggen op afstand mogelijk
Advertentie

Reacties

«  1  2  3  4  »

Tokens zouden veiliger zijn; deze worden onder andere door de Rabobank gebruikt.
Mee eens... sms bevestiging is te makkelijk om te "kraken", nu is het natuurlijk ook wel weer zo als je de token generator op je telefoon hebt het ook niet echt veilig meer is.. Moet dus wel een apart apparaat zijn wil het echt veiliger zijn.

RSA is een bedrijf dat fijne sleutel hanger token generators maak en ze bijvoorbeeld ook op creditcard formaat kan leveren. Het is niet zo gek dat deze meneer het WC-eend gevoel weet te stimuleren bij mensen die weten wat zijn bedrijf zo al verkoopt. ;)

Hoe dan ook je moet toch wel erg dom zijn om je telefoon voor internet bankieren te gebruiken. Om te beginnen verstuur je de data op dat moment over een wifi of misschien 3G verbinding en dus kunnen andere zien waar je naartoe surft, ook al is de pagina waar je naartoe gaat een https pagina, de DNS lookup is dat niet. Daar naast heb je inderdaad zowel de login als de extra beveiliging op een en het zelfde apparaat en dus is het voor iemand die kwaad wil een heleboel makkelijker om dit ook te doen.

Bij mijn bank moest je bij het aanvragen van TAN codes op je SMS, expliciet aangeven dat je die telefoon niet zou gebruiken voor het internetbankieren zelf, i.v.b. veiligheid.

Het spijt me, maar dit is complete onzin. Dit "objectieve" bedrijf probeert alleen maar haar product op de makt te krijgen. Met doelt hier op de situatie dat je telebankiert met je telefoon en op die telefoon een SMSje krijgt.

Puur theoretisch heeft RSA natuurlijk gelijk. De praktijk echter is iets weerbarstiger en nog lang geen realiteit. Weet je hoeveel Mobiele OS-en er zijn? Ik heb een paar jaar ervaring in software ontwikkeling op dit gebied maar "even" een hack tooltje schrijven om dan een bevestigings-SMS op te vangen en te verwerken voordat de klant zelf zijn transactie bevestigd heeft ... is de moeite echt niet waard met al die varianten in OS-en.

Generiek is er een veel makkelijker manier van kraken en dat gewoon op de PC op Window zoals 90% van de bevolking dit heeft (en gebeurt ook reeds!). Het key-loggen van de complete transactie, met een klein subtiel verschil ... het aanpassen van het rekeningnummer ... ligt veel meer voor de hand.

Paniekzaaierij voor eigen gewin, meer is dit niet.

Ik denk zelf dat de hoeveelheid spam en phishing enorm toeneemt.

Ikzelf had tot 2 maanden geleden hiervan nooit last. Afgelopen 2 maanden echter al 6 mails van ABN en ING (niet echt natuurlijk) dat ik moest inloggen omdat anders mijn rekening werd opgeheven. Apart genoeg weinig spelfouten hierin, alsof Nigeria tegenwoordig les krijgt in de Nederlandse taal.

Ik was zelf allang blij dat mijn rekening eindelijk werd opgeheven. Al ruim een jaar zit ik niet meer bij de ING.

Dit soort dingen zijn niet echt voor Nigerianen hoor, de meeste troep komt uit het oostblok, waar men computer-capabel is, en een mooi georganiseerd netwerk heeft om uit de gegevens iets zinnigs te peuteren. Nigerianen werken meer op hap-snap-basis, en kunnen weinig met pincodes :) (hoewel ze waarschijnlijk slim genoeg zijn ze door te verkopen aan een andere smeerlap die er wel raad mee weet).

...alsof Nigeria tegenwoordig les krijgt in de Nederlandse taal....

Toch wel,...inburgeringscursus noemt men dat !

Of Google translate wordt steeds nauwkeuriger.
Dat kan ook natuurlijk.

[Reactie gewijzigd door YVG op woensdag 13 oktober 2010 20:06]


Google translate maakt taalfouten, maar geen spelfouten ;)

Ik kreeg ik het verleden wel eens mails met "Lieve Postbank klant....."
Maar de laatste maanden heb ik nooit meer van die mails gezien. Waarschijnlijk werken de spam filters van m'n provider erg goed.... :P


Als je nou het artikel zou lezen, dan snap je wellicht de context. Mailtjes met "Lieve Postbank klant..." komen echt niet van de Postbank hoor :)

OT: ik ken meerdere mensen die van die suffe spammailtjes krijgen van 'banken'. Zelf heb ik ooit 1x zo'n "Lieve Postbank klant" mail gekregen, terwijl ik daar geen rekening heb. Gelukkig zijn de mensen in mijn kennissenkring intelligent genoeg om niet in dat soort mailtjes te trappen :)

Ik krijg dat soort mailing van allerlei banken waar ik niet eens een rekening bij heb lol.

Spammend fishen heet dat geloof ik?

Je opmerking dat iemand zijn email adres zou achterlaten is dus niet gefundeerd

ingehuurde nederlanders? ;)

In het artikel staat dat de Rabobank tokens gebruikt. Dat is alleen zo voor als je internet bankiert met een browser. er is een app voor Android waarbij je geen token nodig hebt maar slechts op de app hoeft in te loggen. Ik weet niet of de sleutel die je gebruikt om op de app in te loggen ook meteen als sleutel voor een token gebruikt wordt of echt alleen inloggen is. Ik heb niet gevonden hoe ik het wachtwoord kan veranderen dus ik vermoed dat het ook als sleutel gebruikt wordt.
Feit blijft dat er geen externe token bij nodig is en een trojan kan dat dus makkelijk misbruiken... Ik gebruik het wel maar echt veilig kan het volgens mij niet zijn. Ik zou de voorkeur geven aan een systeem waarbij ik ook op Android een RandomReader nodig heb.

Volgens mij is het zo dat je de code (om met Android in te loggen) best wel kan veranderen, maar dan krijg je deze via de post thuisgestuurd (dit was iig bij het aanvragen zo bij mij, ca. 2/3 maanden geleden)

Maar ook al hebben ze mijn telefoon gejat EN weten ze mijn inlogcode (5 cijfers, dus kans van x op 100000 bij random gok (weet niet precies hoevaak je mag proberen))
Dan nog kunnen ze er weinig mee.
Je kan met deze app voorzover ik weet ALLEEN geld overmaken aan de 5 personen aan wie je als LAATST geld hebt overgemaakt personen aan wie je in de afgelopen 15 maanden geld hebt overgemaakt (MET de random reader dus)
Dus ze kunnen dan in mijn geval hoogstens geld overmaken aan een kameraad, m'n broertje of in het 'ergste' geval iemand via V&A op tweakers.net..
MAAAR moeten ze wel weer toevallig DAT bankrekening nummer weten... (kans van x op 1000000000 ofzo ;))

Nou sorry, maar die kans dat DAT gebeurd is me wat te klein om het niet te gebruiken ;)
De app werkt echt heel makkelijk, en de tijd tussen het pinnen en het zichtbaar zijn in de app is volgens mij echt een kwestie van seconden :)

Het liefst heb ik trouwens dat er een app komt waarmee alleen de bankrekeningsinformatie zichtbaar is, en er helemaal geen geld overgemaakt kan worden, maargoed, met het bovenstaande kan ik ook prima leven :)

[Reactie gewijzigd door SmiGueL op woensdag 13 oktober 2010 20:44]


Bij de Rabo kan je inderdaad Mobielbankieren (zal ook wel een app voor zijn, maar is ook een mobiele site) en is bijna hetzelfde als internetbankieren. Het is primair bedoeld voor op je mobiele telefoon, maar je kunt de site ook gewoon openen op iedere willekeurige pc. Het is en blijft een site bereikbaar via internet :Y) Vind ik erg handig overigens, hoef m'n random reader niet altijd bij te hebben om ff m'n saldo te checken of de lopende rekening aan te vullen vanaf de spaarrekening. Om in te loggen heb je geen random reader nodig, maar alleen je rekeningnummer en je rabofooncode wat natuurlijk minder veilig is. Er zit echter wel een beperking aan: je kunt alleen geld overmaken van en naar eigen rekeningen en naar rekeningen waarnaar je in de afgelopen 12 maanden al eerder wat hebt overgemaakt. (misschien nog wel meer, maar dit is de belangrijkste m.i.) Het kan dus niet dat een 'vreemd' iemand je telefoon + code + rekeningnummer steelt en je saldo naar zijn eigen 'vreemde' rekening sluist.

[Reactie gewijzigd door Thedr op woensdag 13 oktober 2010 20:20]


"There is an App for that", inderdaad. Rabobank heeft zelfs een behoorlijke app gemaakt die mij prima voldoet. Het is zelfs zo dat ik die liever gebruik dan mijn kaartlezer te pakken om geld over te maken. Alleen bij niet eerder gebruikte rekeningnummers en iDeal heb je die dan nog nodig. Maar zelfs dat kan via de App en dus heb je dan nog steeds de website niet nodig.

Is het veilig? Tja, dat hangt van je telefoongebruik af. Als je die overal laat slingeren en je hebt er een 12345 wachtwoord op zitten dan heeft het geen zin uiteraard. Verder is het heerlijk overzichtelijk omdat je zelfs meerdere rekeningen er mee kunt bekijken en mee kunt bedienen (geld overboeken en dergelijke).

Veiligheid is nog steeds een item waarbij de eindgebruiker zelf ook een grote verantwoordelijkheid heeft, niet alleen de aanbieders van betaaldiensten.

Zelfde voor mij. Het is gewoon lastig om helemaal in te loggen op internet bankieren, als je net zo goed met je telefoon even kan checken en even wat over kan boeken naar iemand daar je al eens eerder iets naar hebt overgeboekt. Laatst had ik voor de afwisseling m'n Random Reader weer eens nodig, en toen bleek die nog in de koffer te zitten van m'n vakantie in juni.

Het is nooit optimaal veilig, maar ik denk dat via deze app toch een stukje veiliger is dan via internet, omdat je dan nog wel eens gefopt kan worden. Die app zit toch vast aan bepaalde servers van de Rabobank en zal ik dus niet m'n geld perongeluk naar het Oostblok overmaken.

Deze code om in te loggen via je mobiel staat ook niet gelijk aan je eigen pincode.

Dan vind ik het sowieso knap dat ze weten welke bank je hebt.Ik zit al vanaf mn geboorte bij de ABN en ik heb nooit een pfishing mail gehad.

tja op dit soort manieren komen "bots" dat te weten ze koppelen blamefull aan ABN nu.. waarbij ze dan op andere sites misschien zien van mailto:blamefull@hotmail.com (ik zeg maar wat) en dan zeggen ze aha... dat is email adres en ik weet dat hij bij ABN zit.. dus..


uiteraard zeer storend maar of het nu echt meer is weet ik niet.. apart apparaat zou sowieso moeten

Ik zit dan ook al jaren bij Rabo, maar ING is vorig jaar opgeven. ABN heb ik nooit gehad.

Dat weten ze ook niet. Ze gokken maar wat. De meeste Nederlanders zitten bij een van de 3 grootste Nederlandse banken. Dus je spamt gewoon alle .nl adressen.

Weet iemand ook welke banken vooral zijn geraakt.
Ik kan me indenken dat vooral Postbank er last van heeft.

Zelf zit ik bij de ABN en zie de techniek redelijk "fail-safe".
om in te loggen hebben ze mijn bankpas en pincode nodig zonder dat ik deze geblokeerd heb.

zelfs als ze een website namaken en het ze lukt om de ssl sleutel na te maken dan zullen ze alsnog de edentifyer moeten aanpassen omdat via USB daar de code naar toe wordt gestuurd.
Bij het overmaken kan je dus zien op het apparaat hoeveel je naar welke rekening overmaakt.

Hoezo edentifyer aanpassen ?

Iedere (ABN Amro) edentifyer werkt. Ook als je normaal alleen via usb werkt kan je gewoon met je pinpas en een edentifyer van je collega in een internet cafe aanloggen.

Er wordt niet bijgehouden dat je via usb werkt, dus via usb werken geeft geen extra zekerheid.

edentifyer
Identifier?

[...]

Identifier?
Nee, de 'random reader' van de ABN heet e.dentifier.

zelfs als ze een website namaken en het ze lukt om de ssl sleutel na te maken dan zullen ze alsnog de edentifyer moeten aanpassen omdat via USB daar de code naar toe wordt gestuurd.
Bij het overmaken kan je dus zien op het apparaat hoeveel je naar welke rekening overmaakt.
Dat werkt uiteraard alleen met de e.dentifier2 én alleen met Safari, FF of IE op Windows of Mac OS. Gebruikers van de oude e.dentifier, Linux gebruikersin het algemeen en iedereen met een andere browser, bijv Opera, moeten de code nog gewoon handmatig overtypen.

Tja alleen vind ik de Rabo dus ook niet veilig genoeg. Als je pas gejat word en ze hebben je pin kunnen afkijken kunnen ze je complete rekening plunderen. Het word pas echt veilig als je login bij de bank losgekoppeld word van je pin.

He dat heeft ING nou weer net wel.

Als je pas gejat word en ze hebben je pin kunnen afkijken kunnen ze je complete rekening plunderen.

volgens mij is dit nog steeds bij iedere bank mogelijk hoor.

Nee de ING of moet ik zeggen POSTbank heeft dat niet. Hier heb je een login id + ww nodig die niet aan je pas of pin gekoppeld zijn. Als postbank de key generator zou koppelen dan heb je denk ik de meest ideale oplossing. ALs je pas + pin gestolen word kunnen ze nog niet aanloggen. Stelen ze je login info dan hebben ze nog je pas + pin nodig om transacties te kunnen verwerken.

Boeiend dat ze niet kunnen inloggen, ze kunnen je hele rekening leegplunderen via een pinautomaat.... *facepalm*

Oja...? Kunnen ze via het pin automaat ook bij je spaarrekening dan? Een pinautomaat heeft tevens een limiet dat je in één keer op kunt nemen, er zijn mensen die meer dan dat maximale limiet op de rekening hebben staan.. We zijn niet allemaal studenten ;)

*facepalm*

In principe kan je meer dan je limiet opnemen. Hangt een beetje van de infrastructuur van de banken af, en de afstand tussen de banken.

Bij andere banken (gastgebruik) kan je max. 300 euro (o.i.d.) opnemen, bij je eigen bank (bijv.) 1.500.

Je limiet plus 2x gastgebruik is dus eenvoudig mogelijk, mits je sneller bent dan een synchronisatie tussen de banken. En synchronisatie kan soms wel een kwartier duren (afhankelijk van de infrastructuur).

En dan denk ik niet eens aan het klonen van je pas en gebruik in het buitenland.

Ook als niet-student kan het behoorlijk pijn doen.

Er zijn trouwens ook passen die geen limiet hebben.

login id + ww is volgens mij juist de onveiligste methode.
als ze login id en ww hebben kunnen afkijken hebben ze iig je pas niet eens nodig.
en met een keylogger hoeven ze niet eens over je schouder mee te kijken.
en als de implementatie van ING een beetje Brak is zouden ze ook nog brute force kunnen proberen.

en wat bedoel je met keygen koppelen? Waaraan koppelen? bedoel je zo koppelen dat je een login id + ww + key moet invoeren?

Kan iemand me vertellen hoe dit kan ?

Je hebt immers altijd een code nodig om iets over te maken.
Bij Rabo een reader met je eigen pas EN pincode, bij de ING je TAN nummer (die je per telefoon sms krijgt)

Als ze mijn rekening hacken kunnen ze alleen maar kijken.

Hoe kan men dan toch hacken?

op deze manier
http://en.wikipedia.org/wiki/Man-in-the-middle_attack
(ook wel man in the browser genoemd. ze hacken iig niet de bank maar jou PC en maken daar gebruik van om ervoor te zorgen dat jij zonder het door te hebben zelf geld overmaakt naar hun rekeningen.

SMS is ook weer niet zo heel eenvoudig te kraken, zeker niet wanneer het in two factor authenticatie gebruikt wordt. Je maakt jezelf dan eerst bekend (door een username / password combinatie) en daarna bevestig je per SMS je identiteit.

Het grootste probleem met SMS tokens is de voorspelbaarheid ervan. SMS tokens die worden gegenereerd op basis van een voorspelbare bron (vast algoritme of computerklok) zorgen voor mogelijkheden tot uitbuiting. Tokens op basis van cryptografische hardware of andere factoren als het aantal bytes memory dat verbruikt of /dev/random wordt zijn moeilijker of niet te voorspellen.

Zoals al opgemerkt dient token generator / delivery apparaat natuurlijk wel gescheiden te zijn van systeem waar gebruik van gemaakt wordt om uitbuiting middels malware tegen te gaan

Volgens is het probleem niet dat SMS wordt gekraakt. In het artikel wordt bijvoorbeeld genoemd dat een trojan op je telefoon de TAN code kan achterhalen. Of iemand steelt je telefoon en kan dan zijn gang gaan...

[Reactie gewijzigd door cire op woensdag 13 oktober 2010 20:36]


Als iemand mijn telefoon steelt, heeft ie altijd nog mijn inlog+password nodig.

Bij het afluisteren van de sms heeft ie het nadeel dat ie het sneller moet intypen dan ik doe, en dan moet ie ook nog eens zijne extra betaling erin krijgen voor ik de tancode ingetypt heb.

Het is werkelijk verschrikkelijk simpel om die SMS tokens volstrekt onvoorspelbaar te genereren. Het grote voordeel van SMS codes (en de normale papiern TAN codes) is juist dat die niet door een speciaal algorithme hoeven te worden gegeneeerd. Je kan dat dus juist perfect random en onvoorspelbaar maken!! Het is niet te voorspellen, omdat er uberhaupt geen algorithme aan te pas komt op het te maken.

De enige methode om het te kraken, is om de SMS te bemachtigen. En dat is in theorie mogelijk wanneer je malware op je telefoon hebt draaien hebt die én de website aanpast, én je SMS afvangt.

Bij Alex gebruikt men alleen een password. Vraag me af of de fraude daar veel gevoeliger is dan bij de banken die een "reader" gebruiken.

Ik internetbankier enkel met een Linux Live-CD. Dan heb je altijd een maagdelijk schoon systeem. Wel op zijn tijd een nieuw schijfje branden om een beetje recente versies van OS en browser te hebben en opletten de goede URL in te toetsen, maar dat geldt ook allemaal voor permanent geïnstalleerde software.

Doe je dat echt? Ik kan me niet voorstellen dat iemand die moeite neemt.. ik hou liever gewoon m'n primaire systeem schoon (OS X, dus is ook niet veel werk ;) ).

ik neem die moeite dus ook, al gebruik ik een usb-stick zonder casper.
ik draai standaard sowieso al linux en eerlijk gezegd kan ik dat voor bankzaken zeker aanraden.
ik vind een random-reader zoals bij de rabobank wel goed werken. al kan iedereen met je pincode en pas gelijk inloggen.

Helemaal mee eens.. ik heb nooit problemen gehad onder Linux. Aanvallen van welke aard dan ook richten zich vrijwel uitsluitend op Windows, en onder Linux is het vrijwel uitgesloten dat er zonder jouw medeweten software geïnstalleerd wordt (vanwege het veel duidelijkere onderscheid tussen 'root' (administrator) en user-account. De juiste link staat in m'n bookmarks, en ik gebruik (uiteraard) geen onthouden wachtwoord voor de telebankier-site. Ook klik ik niet op verdachte links in messenger-berichten (volgens mij een van de belangrijkste oorzaken.. kom het bij jan-en-alleman tegen), hou m'n systeem up-to-date. Voor de zekerheid kijk ik altijd even naar de adresbalk: ik herken de link. Als er ineens gevraagd wordt om een add-on te installeren terwijl ik daar niet om gevraagd heb, dan is het onmiddelijk afkappen die handel.

Om eerlijk te zijn vind ik het toch redelijk naïef en dom als mensen in dit soort dingen stinken. Je kunt ze 1000x uitleggen wat ze wel en niet moeten doen, maar het lijkt niet te aarden. Vooral in gezinnen met kinderen is het een hopeloze zaak (ook al wordt vaak gezegd dat de kinderen er meer verstand van hebben dan hun ouders).

Bij de Rabobank kun je zelfs niks meer laten onthouden, hooguit je rekeningnummer. Je pasnummer wordt niet eens herkend als je die een 2e keer in moet vullen. Deze is tegenwoordig ook verplicht om in te vullen.

Oftewel het valt mee wat er opgeslagen wordt van je bankiermomenten.
«  1  2  3  4  »

Op dit item kan niet meer gereageerd worden.

Volgende 08:33 Samsung start massaproductie nand-flash van 64Gb
Vorige 18:16 Facebook maakt uitloggen op afstand mogelijk
VNU Media logo Hosted by True

© 1998 - 2012 Tweakers.net B.V. - Alle rechten voorbehouden - Contact - Jouw privacy - Algemene Voorwaarden

Uitgever van:

Website van het jaar 2011