'Swift waarschuwt voor hernieuwde succesvolle hacks op banken'

Betaalorganisatie Swift heeft banken gewaarschuwd voor hernieuwde hacks, waarbij in sommige gevallen geld is gestolen. Dat blijkt uit een brief die in bezit is van persbureau Reuters. Het is onbekend welke bedragen zijn buitgemaakt.

In de brief stelt Swift: "Klantomgevingen zijn aangetast en er zijn pogingen geweest om valse betalingsinstructies te versturen. De dreiging is aanhoudend, in staat tot aanpassing en geavanceerd." De voor een deel succesvolle hacks zijn naar informatie uit de brief vanaf juni uitgevoerd, zo schrijft Reuters. In mei kwam Swift met een nieuw beveiligingsbeleid als reactie op de incidenten die in de maanden daarvoor aan het licht kwamen. De organisatie gaat in de brief niet in op de bestolen banken, maar noemt alleen dat zij variëren in grootte en dat zij in verschillende werelddelen zijn gevestigd.

In aanvulling op de informatie over de hacks wees Swift de banken in de brief erop dat zij voor 19 november een update naar de laatste versie van de Swift-software uitgevoerd moeten hebben. Doen zij dit niet, dan bestaat de kans dat Swift een melding maakt bij de desbetreffende toezichthouders. De nieuwe software bevat maatregelen voor het verifiëren van gegevens van medewerkers, naast betere manieren voor het bewerken van wachtwoorden en 'tools om hackpogingen vast te stellen', aldus Reuters.

Bij eerdere hacks op Swift-systemen werd 81 miljoen dollar gestolen bij een bank in Bangladesh. Ook banken in Equador en in Vietnam zijn slachtoffer geworden van hackers. Onlangs nam Swift het Nederlandse bedrijf Fox-IT in de arm om de beveiliging te verbeteren.

Reacties (35)

[mtr33]

Toch apart dat met name in de berichtgeving in de media hierover, steeds SWIFT als gehacked wordt aangegeven, terwijl jhet de systemen van banken zijn die gehacked worden waarmee toegang tot SWIFT wordt verkregen. Als bedrijf zou ik niet blij zijn met zulke koppen....


EDIT: uit ervaring weet ik helaas hoe moeilijk het is als zakelijke dienstverlener om beveiligingsissues verplicht aan te laten pakken door gebruikers (betalende klanten) aangezien deze vaal veel groter en machtiger zijn. Enkel wanneer een toezichthouder zich ermee bemoeit gaat het vaak wel (maar helaas ontbreekt daar ook vaak te kennis van zaken waardoor er slecht sprake is van een sub optimale oplossing en er snel weer ingegrepen moet worden).

[Reactie gewijzigd door mtr33 op 22 juli 2024 23:57]

[Basszje]

Als potentiele klant ben ik niet blij met banken die hun beveiliging niet op orde hebben.

[totaalgeenhard]

En zijn er banken en bedrijven die hun beveiliging wel 100% op orde hebben.
Zolang ze kosten en het gederfde bedrag maar niet op klanten verhalen, maakt het mij niet uit wat voor rest risico's ze in hun beleid accepteren.

Zwakste factor de medewerker (aka MENS) blijft altijd een rol spelen.

[Iblies]

Het gaat niet om de banken die 100% veilig zijn,
je maakt deel uit van een omgeving waar dus (zeer) zwakke broeders tussen zitten.

Een bank maakt deel uit van een omgeving die je niet zomaar kunt negeren. Er is weliswaar een lijst van banken met een discutabele reputatie, maar zelfs die kun je niet altijd negeren.


Je kunt een vergelijking maken me autorijden, je kunt een verdomd goede rijder zijn, maar er rijden helaas enkele idioten met of zonder rijbewijs op de openbare weg en soms is het een defect in je auto en heeft het niets met je wagen te maken.

[totaalgeenhard]

Keten is net zo sterk als zwakste schakel en dat is altijd de mens.

[Iblies]

Sorry maar dat is me te simplistisch,
al zou je het door een computer laten doen, dan nog ben je afhankelijk van de input van de MENS.

Probleem in casu is dat je in een systeem zit waar je prima je eigen zaken op orde kunt hebben maar dat het probleem wordt veroorzaakt door een andere partij waar relatief weinig invloed op hebt en die trekt de rest mee.


Oplossing moet gezocht worden hoe je het voor mekaar gaat krijgen dat er geen sneeuwbaleffect ontstaan wanneer een of enkele systemen worden gehackt.

En verrek, daar heb je weer mensen voor nodig

[totaalgeenhard]

Ligt aan de reden waarom je een mens onderdeel van keten wilt maken.

Vaak is er geen goede reden, enkel (bedrijfs-)politieke redenen.

De enige input bij interbancaire systemen is de wensen van de eindgebruiker die transactie doet, die transactie worden getermineerd bij eigen bank hierna hoeven in principe geen mensen handen er meer bij.

Voor een audit (of monitoren van processen) heb je geen mutatie functie nodig.

Nogmaals als je mensen uitsluit kan je een gesloten keten creëren waarin alleen de mensen die het beheren een risico vormen.

Het lijkt erop dat de incidenten die hebben plaatsgevonden derden betrokken waren.

[bbob]

Klopt banken die daarin investeren.

Kijk nu eens naar het lijstje landen, vietnam, ecuador enz, niet de westerse banken die hier toch geld in investeren.

Daarnaast is corruptie in die landen misschien ook eerder aan de order waardoor men eenvoudiger in systemen kan komen als er geen dubbele controles zijn.

[totaalgeenhard]

100% beveiliging bestaat niet.

Corruptie bestaat in Nederland ook gewoon.

Sterker nog witte boorden zullen liever in Nederland iets doen dan in die landen die je net opnoemde.

Als je hier een paar miljoen steelt van een bank als bank medewerker sta je na een paar jaar weer op straat.

Zoals de dader van dit verhaal:
http://www.volkskrant.nl/...-miljoenenfraude~a429594/

Als je dat in die landen doet, zit je waarschijnlijk rest van je leven vast en zul je min of meer mensonterende behandeling krijgen.

[cobis taba]

Hij zei toch ook niet dat ze '100% veilig zijn' maar dat ze het 100% op orde hebben? Dat is wat mij betreft echt iets anders. Je kunt maar tot op bepaalde hoogte realistisch iets aan beveiliging doen. Dat is wat mij betreft dat je het 100% op orde hebt.

[totaalgeenhard]

100% op orde hebben betekend in infosec niets meer dat je procedureel alles hebt afgedekt (lees: management zichzelf heeft ingedekt) en er een acceptabel rest risico is.

[cobis taba]

True, ik nam hem zelfs nog wat strenger dan dat, maar ook dan kunnen banken het dus 100% op orde hebben zonder 100% veilig te zijn. Alleen dan zijn we het toch eens? EN snap ik je eerdere reactie niet.

[Anoniem: 2198]

Zolang ze kosten en het gederfde bedrag maar niet op klanten verhalen, maakt het mij niet uit wat voor rest risico's ze in hun beleid accepteren.

Dit gebeurt altijd (indirect) wel, hoe je het ook bekijkt, als er nog rente is volgend jaar is dat percentage gewoon lager of worden de transactiekosten tussen banken verhoogd, etc. Geld terug bij vertraging van de NS vertaalt zich ook in het jaar erna in prijsverhoging van de treinkaartjes (als je die nog zo kunt noemen).

[Reactie gewijzigd door Anoniem: 2198 op 22 juli 2024 23:57]

[totaalgeenhard]

Niet net zo erg als laatst met hack op Bitfinex waarbij bitcoin tegoed van alle klanten met 36% werd verlaagd.

nieuws: Bitfinex verlaagt bitcointegoeden alle klanten met 36 procent

[dasiro]

veel succes gewenst bij je zoektocht naar informatie. Ik heb indertijd als hogeschoolstudent toegepaste informatica een ander project moeten aanvragen omdat geen enkele bank informatie wou vrijgeven over hun beveiliging. Een paar miljoen op je rekening zou misschien wel helpen om antwoorden op die vragen te krijgen, maar als gewone klant moet je er zelfs niet aan denken om zo'n vragen te stellen

[Yzord]

Dat is strategisch. Als men begint de roepen dat ABN en Rabo gehackt zijn cq. lek, dan kan er een bankrun ontstaan. Nu is het systeem SWIFT wat problemen heeft en denken de mensen dat de banken en direct niet te maken hebben met hacks. Maar je hebt gelijk dat het de systemen van de banken zijn die het te verduren krijgen.

Het zal dan ook niet lang meer duren voordat een hack gebruikt gaat worden om de ondergang van een bank in werking te zetten die er al niet goed voor stond (als men begrijpt wat ik bedoel). Het gaat hier om veel geld en het valt mij op dat elk bedrijf wel te maken heeft met hacks, maar banken altijd buiten schot lijken te blijven ,ondanks dat daar nu juist meer te halen valt. Waarom als hackteam achter NAW gegevens van klanten gaan als je ook achter de volle poet kan gaan? Persoonlijk denk ik dat er al een hoop succesvolle hacks zijn geweest, maar dat deze systematisch stil gehouden wordt. En ergens heb ik er nog begrip voor ook, maar toch.

[mtr33]

Banken 'lijken' buiten schot te blijven, maar dat is precies om de reden die je aangeeft: het is van groot belang dat de maatschappij elektronisch bankieren als veilig ervaart. Veel wordt dan ook met de mantel der liefde bedekt. Banken blijven in de werkelijkheid dan ook zeker niet buiten schot.

Los daarvan is het lastiger om de beveiligingssystemen van dergelijke instellingen te kraken, dan het is om de hui-tuin-en-keuken-gebruiker te pekken, daarbij is de pakkans veel lager bij low tech inbraken.

[SunnieNL]

Via een gehackte bank hebben ze vrij spel binnen Swift.
De eerdere hack van SWIFT was ook echt wel een probleem van SWIFT. Daar bovenop zat een probleem van de bank nog eens.

De beveiliging schort dus aan twee kanten. Het kan niet zo zijn dat SWIFT geen blaam heeft als zij hun systeem niet beveiligen omdat ze zeggen afhankelijk te zijn van de beveiliging van de bank.

In dat geval zouden autobouwers hun auto totaal niet veilig hoeven maken. De auto maakt immers alleen ongelukken door het stomme rijden van de berijder zelf. Moet hij maar beter opletten en geen ongeluk krijgen.

[Edgarz]

Het gaat om zeer kwetsbare banken in semi-ontwikkelingslanden. Daar ligt het beveiligingsnveau net even anders.

[Anoniem: 668730]

Typisch dat Swift melding moet doen bij een toezichthouder als een bank niet update. Gezien de recente incidenten rondom Swift zou ik verwachten dat toezichthouders zich pro-actief hiermee bemoeien.

[RobbieB]

Dat doen ze ook, maar Swift kan vrij snel zien en aantonen welke banken er niet ge-update hebben. Dat gaat een stuk sneller dan iedere bank individueel benaderen.

[Anoniem: 583079]

Wellicht hebben bepaalde toezichthouders proactief aan Swift gevraagd om slordige banken te melden...

[mashell]

'Swift waarschuwt voor hernieuwde succesvolle hacks op banken'

Dit klinkt ook wel een beetje als een uitnodiging aan hackers: "hee hackers, er zijn nog banken die hun zaakjes niet op orde hebben, come and get it".
Dus waarom heeft Reuters die brief gehad?

[cobis taba]

Mwha, dat niet alle banken de update hebben doorgevoerd weten hackers ook wel. Ze weten niet welke banken dat zijn, maar dat weten ze nu ook niet. Ik zie het issue dus niet zo?

[killzonex]

Sorry maar 81 miljoen verdwijnt niet zomaar, en ook al word er gezegd gaat van bank naar bank account na account, maar dan nog tis nie zo dat opeens een verwerking opeens *weg* is

[SunnieNL]

Als jij het op een slimme manier hopt van bank naar bank en precies op het goede moment bij de laatste pank het contant onneemt, wordt het daarna vrijwel ontraceerbaar.
Of als je het halverwege ineens omzet naar bitcoins en die laat hoppen en opslaat en dan in batches verspreidt en weer samen laat komen, dan is het daarna op zich ook weg.

[killzonex]

Dan is het hele systeem wat banken gebruikt toch 1 grote zooi?

Van echt geld naar bitcoins? Als uemand laten we zeggen 30miljoen opeens aan bitcoins besteld.... moet er dan niet ergens een belletje rinkelen?

Tegenwoordig wordt alles gevolgd maar opeens zijn ze het spoor kwijt.... ik weet niet het klinkt me allemaal te raar

[SunnieNL]

Als iemand ineens 30 miljoen wegsluist zouden alle alarmbellen al moeten gaan rinkelen.
Daarom doen ze dat ook niet, maar gaat het in batches die minder opvallen.
(hoe kleiner het bedrag, hoe minder controle er uitgevoerd wordt)

[jimbo123]

Zou blockchain / Ethereum wellicht een alternatief kunnen vormen voor swift?

[FJB]

Nee, je zit ook daar met hetzelfde "inputprobleem". Blockchain gaat over het proces daarna

[jvr]

Zo zie je maar, niet alleen de overheid is op beveiligingsgebied aan het blunderen en bedrijfsleven kan er ook wat van.

[T-Forever]

<aluhoedje>
Dit zou een van de manieren zijn van de CIA om hun hack-afdelingen te financieren ^^
</aluhoedje>

[Edgarz]

melkkan, koffiekan....

[mutley69]

Ik ga genieten - bij m'n volgende bezoekje aan m'n bank - allemaal voorspeld - en ik was aan't zeveren en aan't overdrijven. Maar helaas betaalt iemand dit - de klant wellicht.

[MsG]

Hoe werkt zoiets eigenlijk met zo'n virtuele diefstal? Wordt dat gat gewoon weer er bijgeschreven, of is er dan daadwerkelijk een bank die aan het kortste eind trekt en dat verlies daadwerkelijk heeft en dat maar weer moet oplossen met meer leningen uitgeven bijvoorbeeld?