Zweedse bank slachtoffer van grote online roof

Vermoedelijk Russische cybercriminelen hebben via een bij rekeninghouders geplaatste trojan de Zweedse bank Nordea ruim 800.000 euro lichter gemaakt. Het zou om de grootste online roof tot dusver gaan. De bank heeft de rekeninghouders schadeloos gesteld.

Volgens de bank hebben de criminelen van 250 van zijn klanten geld van hun rekeningen afgehaald. De rekeninghouders werden door de virtuele rovers op een phishing-e-mail getrakteerd, die van de bank afkomstig leek, en waarin ze werden aangemoedigd een antispamapplicatie te downloaden. Deze installeerde vervolgens de onder de naam haxdoor.ki bekendstaande trojan, die ervoor zorgde dat de rekeninghouders bij het openen van de internetbankiersite van de bank, werden doorgesluisd naar een nepsite. Nadat ze op deze site hun loggingegevens hadden ingevoerd kregen ze een foutmelding voorgeschoteld waarin stond te lezen dat de 'banksite' technische moeilijkheden ondervond, maar ondertussen werden hun gegevens gebruikt om de rekeningen te plunderen. Het gros van de virussen wordt inmiddels voor financieel gewin gebakken - volgens PandaLabs werd een vijfde van de in 2006 op computers aangetroffen trojans geschreven om gebruikers hun internetbankiergegevens te ontfutselen.

Nordea-woordvoerder Boo Ehlin zegt dat de meeste gebruikers wier rekeningen werden geroofd, geen antivirussoftware op hun computers hadden draaien. Ehlin spreekt liever van een succesvolle 'social engineering'-aanval dan dat hij de veiligheidsmechanismen van het internetbankiergedeelte van de banksite de schuld geeft. Niettemin worden die momenteel eens goed tegen het licht gehouden. De bank leidde aan een aantal grote transacties af dat er iets niet in de haak was, maar kon niet alle door de online criminelen gedane overboekingen als zodanig bestempelen. Over een periode van vijftien maanden werd een groot aantal kleine transacties gedaan, zo legt Ehlin uit. 'We kunnen niet alle transacties bekijken, en het leek erop alsof onze klanten de overboekingen zelf deden', aldus de bankwoordvoerder. De Zweedse politie, die vaststelde dat de phishingaanvallen via Amerikaanse servers vanuit Rusland werden uitgevoerd, heeft 121 Zweden gearresteerd op verdenking van betrokkenheid.

Reacties (94)

[Tha_Butcha]

Over een periode van vijftien maanden werd een groot aantal kleine transacties gedaan,

Da's een dik jaar! IMHO ook de schuld van de desbetreffende klanten hoor, niet eens de social engineering. Ik check nou niet dagelijks mijn bankrekening, maar wel vaker dan 1x per jaar.

Dan heb je toch door dat er transacties worden uitgevoerd, die jij niet hebt geautoriseerd? En dus gelijjk laat storneren?

[Compunologist]

Goed punt en ik wil het nog even niet snappen. Het gaat hier om totaal 250 klanten waarvan ongetwijfeld tenminste één persoon wakker is geweest (geworden). Die heeft natuurlijk meteen aan de bel getrokken, laten we zeggen na 3 maanden (vind ik dan nog rijkelijk laat zowel als reactie als de eerste klant die het gemerkt zou hebben) en daar leid ik dan maar uit af dat het hele onderzoek nog twaalf maanden heeft moeten duren om het complete roofverkeer te monitoren/transparant te krijgen

Edit:

Quote:

Nordea has two million Internet banking customers in Sweden

Is die phishing e-mail nu slechts naar die 250 goedgelovige drommels gegaan of hebben meer van die 2.000.000 klanten zo'n hinderlaag in hun postvak gehad? En heeft werkelijk niemand gechecked bij Nordea of die e-mail legit was?

[Verwijderd]

1. De meeste mensen bankieren niet online
2. Veel mensen zullen gedacht hebben dat ze die anti-spam niet nodig hadden omdat ze al iets gelijkaardigs hadden.
3. De overschrijvingen moeten binnen een bepaalde periode gebeurd zijn.

Als je daar al rekening mee houdt, dan lijkt 250 niet zo heel weinig.

En kijken of een e-mail legit is, doet bijna niemand. Wanneer je het juiste logo ziet en een e-mail-address dat er sterk op gelijkt ( @nordae.se ipv. @nordea.se) dan heeft praktisch niemand dat door.

[gamepower2005]

Bij Postbank bankierende klanten ligt het percentage dat in phishing mails trapt veel lager. Er zijn al verschillende aanvallen geweest op Postbank klanten, maar telkens waren er geen slachtoffers (zover ik me herinner).

Het is dus een vrij hoog aantal, en ik vermoedt dat Nordea iets meer had kunnen doen om dit te voorkomen. Bijv: een grote melding op de site zetten "NOOIT op links te klikken in mails die van Nordea lijken te komen".

Nederlandse banken zijn hier heel actief in, en daarom heeft Phishing hier ook niet zo'n effect.

[MBV]

Bij de ABN-Amro was deze vrij simpele vorm van man-in-the-middle niet eens mogelijk geweest: Je moet inloggen met je e-dentifier, en voor je een transactie kan uitvoeren moet je eerst nóg een keer je e-dentifier gebruiken.

Kennelijk moeten ze ook nog iets doen aan hun veiligheidsbeleid, om bij de ABN-Amro man-in-the-middle te doen moet je echt de complete site filteren en doorsturen, en dan meeliften op een transactie die de klant doet. Veel meer kans dat de klant het merkt, en ook veel meer kans dat de ABN het merkt.

[CARman]

@gamepower2005

Die was niet tegen Postbankklanten gericht hoor ............ die zogenaamde mailtjes van de Postbank kreeg echt iedereen, en in de pers is er ook al meerdere malen voor gewaarschuwd.

Hoe dan ook ligt er wereldwijd nog wel een flinke taak om online banking veiliger te maken. In de USA stelt die beveiliging ook geen reet voor en kun je inderdaad gewoon geld afboeken als je eenmaal binnen bent. De enige 'beveiliging' is dat je online geen echte grote bedragen kunt overboeken en er ook nog een week- maand-limiet is die niet overschreden kan worden. Als ze ook hier nog een gegenereerde code opvragen voor je werkelijk kunt overboeken ben je volgens mij bijna al die phising sites al voor, ze zijn dan wel binnen, maar kunnen alsog niets overmaken. Hieraan kun je naar de klant ( of als dit veelvuldig gebeurt ) een systeem koppelen dat aan de bel trekt. En zo zou je mijns inziens veel sneller kunnen inspelen op dergelijke pogingen.

[Distael]

Ligt het aantal klanten dat erin trapt lager of komt het gewoon niet naar buiten? Misschien is de Postbank wel veel beter in het wegmoffelen?

[PanMan]

Bij de ABN was het ook best mogelijk geweest (Alleen wellicht iets lastiger): Je kan je man-in-the-middle site aan de voorkant met je klant laten communiceren, en aan de achterkant met de ABN. Je hebt wel 2 code's nodig, maar als je een login error geeft oid, zal 99% van de gebruikers je 2e code ook wel invoeren...

[trogdor]

Ik kan wel een scenario bedenken waarbij dat wel mogelijk is.
Niet eenvoudig, maar wel mogelijk.

edit: ik was dus niet de enige die daar aan dacht

[wizzkizz]

voor die tweede code moet je wss (iig bij de rabobank) eerst zelf een code inkloppen in je rabo reader, wat bij het inloggen niet nodig is. De kans dat mensen daar in trappen lijkt me bijzonder klein.

Wat wel kan is de interface nabouwen en zelf als back-end de echte rabosite gebruiken. Dan is het een kwestie van je eigen overboekingen uit het overzicht filteren en de bedragen aanpassen en ben je ook klaar. Maar mss is hier ook wel een beveiliging voor ingebakken, zou ik niet weten.

[Verwijderd]

Een automatische incasso kun je laten storneren.
Maar een bedrag die je "zelf" hebt overgemaakt niet.

Als dat wel zou kunnen dan zou dat zeer fraudegevoelig zijn.
Denk maar aan aankopen die je doet via het internet.
(marktplaats) Je koopt iets en betaald het bedrag vooruit. Heb je het produkt binnen dan storneer je de betaling, en de verkopende partij heeft dan een probleem.

[Verwijderd]

Dit is inderdaad iets dat elke bank zonder digipass systeem kan overkomen. Elke bank zal dus op termijn wel zo'n digipass systeem moeten gaan gebruiken om dit soort praktijken te vermijden.

Wel grappig dat het domme gedrag van de gebruikers de bank 800.000 euro kost.

[defusion]

niet als die code die de digipas maakt direct word gebruikt.
of dat de russen simpelweg als een proxy spelen, en alle verkeer tussen bank en gebruiker realtime monitoren en aanpassen.

voorbeeld voor bij de rabo:
Ik heb dus zo'n trojan ding draaien.
Ik moet iets overmaken, en log in op de rabosite.
De russen onderscheppen dit, maar laten alle verkeer tot dusver door zoals het is.
Nu ga ik een overboeking doen, ik stuur de data van de ontvangende partij, maar de russen passen die data aan via de proxy, en versturen HUN data naar de bank, en sturen naar mij data die van de bank lijkt te komen.
Ze vragen me om een code in te tikken op mijn random reader, deze code hebben zij al via de bank gekregen.
Bij mij op de site lijkt alles een normale overboeking naar de gewenste partij, maar in werkelijkheid is het een overboeking naar een rekening van de russen.
Ik tik de code in die van me gevraagd word, de russen sturen die code door naar de echte bank, en voila, ze hebben mijn geld, en de partij waarnaar ik echt geld over wou maken heeft niets (of die krijgen het bedrag wat ik al over had willen maken, zodat ik niet opgebeld word door mensen die vragen om hun geld wat ik toch echt had overgemaakt)

Je kunt zo'n systeem zo groot maken als je wilt, de "winst" die je ermee maakt is zo groot dat de kosten er binnen no time uit zijn.

[Madshark]

@Defusion

Nee niet helemaal goed. De code die jij van de rabobank krijgt nadat je de betaling hebt klaar gezet (de S code die je weer in je digipas moet voeren) is niet zomaar een los nummer, deze code bestaat uit een checksum van het bedrag en de rekeningnummer(s).
Men kan dus niet zomaar even een pakketje met daarin de bedragen en banknummers veranderen

[Cameleon73]

Als je ertussenin zit dus wel. Eigenlijk zegt Defusion het al, maar ter verduidelijking het volgende voorbeeld:

- ik heb m'n betalingen ingevoerd en ga verder met de bevestigingsstap
- voordat ik het 'Druk op S'-schermpje krijg, gebeuren er eerst nog de volgende stappen:
- data wordt naar de 'onderscheppings-proxy' gestuurd en aangepast (met een extra betaling) naar de Rabo.
- Rabo reageert met een HTML pagina met de juiste S-code
- ik krijg een (door de onderscheppings-proxy gegenereerde) pagina te zien met mijn betalingen, maar met de nieuwe S-code (!)
- ik accordeer het geheel en ben een bedrag lichter

[Niemand_Anders]

@voodoochile:
SSL doet helemaal niets met IP's. SSL doet eigenlijk zelfs helemaal niets met de domeinnaam welke op het certificaat staat.

SSL encrypt alleen de gegevens die worden verstuurd tijdens het transport.

SSL is een encryptie techniek, welke ook gewoon werkt als de domeinnaam niet overeenkomt. Echter zullen alle bekende browsers een waarschuwing tonen als de domeinnaam op het certificaat niet overeenkomt met domeinnaam waarop je je bevind.

Aangezien het hier om een spyware applicatie gaat welke op de PC van het slachtoffer staat, zullen ook client ssl certificaten niet helpen. Want als je een complete banksite nabouwt, dan is het ook niet zo lastig jouw proxy gebruik te laten maken van van dat certificaat.

Echter elk SSL certificaat heeft wel een fingerprint. De proxy zal echter niet dezelfde fingerpint hebben.

Browsers zou automatisch alle fingerprints van ssl certificaten moeten opslaan en bij wijziging (middle-man-attack) alarm moeten slaan. Maar ook hier heb je het probleem van een lokaal programma. Crackers zullen op een gegeven moment ook wel een methode vinden om de fingerprints aan te passen, het staat immers ergens op de PC zelf.

Overgens hoeven ze nog nieteens de url te veranderen. Het gaat om spyware welke dus ook simpelweg het hosts bestand kan aanpassen.

Blijft slechts 1 methode over: Het computer rijbewijs. Als dit verplicht zou zijn, dan zou iedereen ook weten dat banken nooit via email om de inloggegevens zou vragen en al helemaal niet om een programma te installleren.

Het zijn vooral de beginnende internetters die nogal (erg) goedgelovig zijn.

[Turiya]

Ik krijg gewoon een SMSje van de postbank met daarin het totaalbedrag van de transactie. Dit wordt via een andere kanaal dan de website door gegeven en is dus niet met dezelfde man-in-the-middle truc te onderscheppen.

Als dit bedrag niet overeenkomt met het bedrag wat ik zelf ingevoerd heb, weet ik dus dat er achter mijn rug om een transactie aan toegevoegd is.

[Verwijderd]

Ik ben niet genoeg op de hoogte, maar dan moeten ze ook het certificaat van die bank namaken?
SSL doet toch ook iets met IP adressen en dergelijke?
Het lijkt me (gelukkig) niet allemaal zo simpel...

[Sibylle]

het hoeft ook niet simpel te zijn, dit principe kan best werken. En al ben je een jaar bezig met de server en website op te zetten, en kost het je 200.000 euro.....

Zolang het winstgevend is zullen ze het doen...

[84hannes]

Onderin beeld staat bij de rabibank: ga alleen verder als het adres begint met https://telebankieren.rabobank.nl, maar ik betwijfel of iemand daar naar kijkt. Densoods maak je er van: ga alleen verder als het adres begint met https://rabobank.telebankieren.ru

[klapy]

edit: verkeerde plek:P

Mag weggemod worden

[Standeman]

@turiya
Tja, als ze alleen het rekeningnummer wijzigen zijn ze natuurlijk ook al een heel eind.

Stel je kan 10.000 overboekingen manipuleren met een je eigen rekennummer en er wordt gemiddeld 100 euro per keer overgeboekt, zit je al snel aan de miljoen euro die "opeens" op je rekening staat.

Valt het ook gelijk minder op dat je geld is gejat, totdat de aanmaningen binnenkomen natuurlijk..

[bbob]

Ik lees in de kop dat het de bank 800.000 euro kost maar de grote vraag is of de bank niet zegt tegen haar gebruikers eigen schuld niet onze verantwoording.

In principe is het ook niet hun verantwoording, maar goed als ze zelf met een brak systeem zonder digipass komen kun je ze ook medeschuldig maken, immers van een bank mag je verwachten dat ze de dingen goed geregeld hebben.

[yzf1kr]

Ach die 800.000 euro lijkt veel in de ogen van het gemiddelde individu. Maar voor een bank met 2.000.000 klanten stelt dit bedrag echt niets voor daar ligt men niet echt wakker van.

Een bank is per jaar stukken meer kwijt aan slechte leningen die gesanneerd moeten worden. Daarnaast gaat die 800.000 gewoon van de winst af, dus hoeft men al snel 400.000 minder belasting te betalen dus in feite is men maar 400.000 kwijt.

De loyaliteit van de klanten is veel belangrijker als die 400.000 euro. Als ze door dit geintje hun imago schade zou oplopen en ze zouden 10.000 klanten zouden kwijtraken verliezen ze meer.

[Verwijderd]

het heeft dus niet te maken met een brak systeem, maar met de klant loyaliteit. Heel simpel, als dit bij jouw bank gebeurd was, dan verwacht je dat ook schadeloos gesteld wordt. Is dat niet het geval, dan lopen bosje van klanten weg. Als het gaat om geld, dan reageren mensen zeer defensief. Dus ook al is het hun fout, dan nog mag de bank er voor opdraaien omdat ze weten wat voor effect het heeft op lange termijn...

[miw]

Misschien vindt een gebruiker een systeem dat lijkt op dat van de Nederlandse banken ook wel brak. Helaas kan een gebruiker niets veranderen aan de beveiliging van de bank. Daarom is het ook uiterst gewenst dat banken wettelijk verplicht worden het risico van dit soort aanvallen te laten dragen. Nu kan dit risico nog steeds op de klant afgewenteld worden.

[martijnve]

Idd, voor zover ik het begrijp qas dit toch echt een gevalletje eigen schuld dikke bult. (wel een heeeele dikke blut maargoed)

[Verwijderd]

nee hoor, de postbank heeft zoiets als een TAN-Code lijst..
En elke code kan je bij elke overboeking per sms krijgen.. dus tenzij ze ook je telefoonnr gekaapt hebben kunnen ze niets met je inlog gegevens..

[Verwijderd]

Ik heb al eens eerder van deze aanvallen gezien, en één concept bestaat erin dat de TAN code afgeluisterd wordt, terwijl die bewust overboeking niet doorgevoerd wordt.

Is me wel opgevallen dat de postbank tegenwoordig niet meer op volgorde vraagt, maar 'random'. Als dat aan een klok gebonden zit, is dat wellicht een manier om afluisteren van TAN codes tegen te werken...

[jeanj]

Ik zit niet bij de postbank, dus ken ik het TAN systeem niet 100% maar ik denk het volgende.

Een TAN code is wel gevoelig voor een man-in-the-middle attack, omdat de code voor elke transactie geldig is dwz 1ste code voor 1ste transactie, 2de voor 2de etc. Het maakt niet uit of je een transactie van €1 of €1501 doet. Dus the man in the middle kan het bedrag veranderen, de door de gebruiker gegeven valide TAN code blijft valide voor die transactie.

Bij de rabobank (heb ik wel) geld het zelfde voor kleine bedragen, er wordt een handtekening code gegenereerd onafhankelijk van het bedrag. Voor grote bedragen (waar de grens precies ligt weet ik niet, ik denk ergens rond de € 1000 a € 2000) wordt de handtekening code ook gegenereerd met het bedrag. Met andere woorden als de man in the middle het bedrag veranderd, klopt de code niet meer. Het enige wat ze nog kunnen doen is de tranacties veranderen (rekeningnummer etc) en het (totaal) bedrag intact laten.

Helaas hebben banken veiligheid nog niet hoog in het vandel, tenminste niet bij de klantenservice, toen ik een paar jaar doorvroeg zeiden ze dat alles veilig was, doordat ze certificaten gebruikten. Alsof daar niet iets aangedaan kan worden als iemand je PC heeft voergenomen.

[Verwijderd]

Ik vraag me toch steeds af hoe die criminelen het voor elkaar krijgen om dat geld te laten verdwijnen. Het is een electronische overschrijving dus de bank weet precies waar het geld naartoe gaat. Ze zullen toch een of andere trukje uit moeten halen anders worden ze binnen mom van tijd gepakt.

En wat ik al helemaal niet begrijp is, electronische wordt het misschien over geboekt maar het geld fysiek is nogsteeds bij de bank van de rekeninghouder. Dus als de bank er achter komt dat er iets mis is kunnen ze het toch heelerg makkelijk terug draaien.

Of mis ik iets?

[Verwijderd]

Ja: men zal veelal rekeningen gebruikt hebben van katvangers (junks of zo), of rekeningen onder een valse naam geopend hebben. Of zelfs zonder naam op te geven, ik weet niet of dat in bepaalde buitenlanden makkelijk kan (eventueel door een bankmedewerker om te kopen). En meteen als het geld binnenkomt het natuurlijk contant opnemen. Of de bank het dan na 15 maanden terugboekt en je op je rekening 800000 euro rood staat kan je dan niks schelen als je die 800000 euro in een koffertje bij je hebt.

[defusion]

Vooral kleinere landen, en eilanden, zijn berucht om hun moeite met samenwerking met andere landen. Verder heeft zwitserland bijvoorbeeld "anonieme" rekeningen, die op nummer staan ipv op naam. Of dat de naam alleen op papier staat, het contract (je moet minstens een maal fysiek in de bank aanwezig zijn om zo'n rekening te krijgen), en verder nergens aan het nummer gekoppeld kan worden.
Verder zijn er verschillende landen die hun bankinformatie beschermen, waaronder ook zwitserland. Dat schijnt echter te gaan veranderen bij zwitserland, maar dat weet ik niet zeker.

[Arne]

ach, overschijven naar bv een paypall rekening, en het achterhalen word al een stuk lastiger

[Pietervs]

of overboeken naar een land met bankgeheim. Zwitserland heeft geloof ik nog steeds rekeningen die niet op naam maar op nummer staan. Praktisch niet te achterhalen dus.

[Verwijderd]

Uhm kerel, ze rijden niet met wagentjes tussen banken heen en weer om de transacties van 1 week of 1 maand over te schrijven.

een bank moet dacht ik 10% van zijn elektronische geld fysiek aanwezig hebben om mensen uit te betalen. De rest van het geld bestaat meestal niet eens. Het is elektronisch

[Arokh]

humor dat er een advertentie van lenen.nl onder staat, gelukkig zijn de mensen schadeloos gesteld, maar als je toch nog iets wilt lenen...... :-)
Hoe staat het eigenlijk wettelijk? is de bank verplicht om je schadeloos te stellen? Je hebt geen opdrachten tot betaling gegeven, maar je hebt wel (te goedertrouw) je gegevens aan een ander gegeven...

ik ben benieuwd

[Pietervs]

is de bank verplicht om je schadeloos te stellen?
Of ze er wettelijk toe verplicht zijn weet ik niet. Maar aangezien de banken het liefst iedereen ziet internetbankieren (omdat hun dat een hoop geld scheelt), zullen de banken er ALLES aan doen om het zo veilig mogelijk te laten lijken. Dus vergoeden ze de schade, schrijven dat af als kostenpostje (dus lagere belastingen), en "vergeten" het zo snel mogelijk om verdere imago-schade te voorkomen...

[defusion]

inderdaad, ik denk dat het feit dat wij hiervan horen al vrij uniek is, gezien het feit dat dit soort activiteiten vrijwel dagelijks gebeuren met al die spam.
Je hoeft maar ergens verkeerd te klikken, en je hebt alweer troep op je pc. 800.000 is niks als het gaat om het imago van de bank. Wij snappen ook wel dat de bank hier niets aan kan doen. Maar veel mensen denken dat er een veiligheidslek bij de bank is, en die doen er dus alles aan om hun imago te houden.
Ik zou het echter beter vinden als ze hun klanten informeren over de gevaren van phishing etc, en dat ze nooit mailtjes van de bank serieus moeten nemen (alle legitieme mailtjes bevatten hooguit informatie over nieuwe diensten etc, en is nooit geschreven in opdragende context (zoals het opgragen tot het downloaden van een antispam programma))

[GoBieN-Be]

Ik kan klikken waar ik wil, en toch geen dingen op m'n pc hoor Maar ik gebruik dan ook geen IE/outlook maar firefox/thunderbird !

[defusion]

ik ook hoor, ik verplaatste me even in de wereld van de leek

edit: dit was een reactie op de al weg gemodde comment.

[betatester]

De Zweedse politie heeft op dit moment 121 verdachten op het oog.

Misschien een beetje domme opmerking, maar zouden ze niet eens de eigenaar van de rekening waar het geld naartoe is geboekt als verdachte gaan zien. Lijkt me toch niet zo moeilijk.

[Pietervs]

maar zouden ze niet eens de eigenaar van de rekening waar het geld naartoe is geboekt als verdachte gaan zien.
Misschien dat ze, om argwaan te vermijden, het geld wel naar 121 verschillende accounts hebben laten boeken?

[DavidAxe]

Dat is juist de grap. Van die 121 verdachten zal het grootste deel zich er niet van bewust zijn geweest dat ze hebben meegewerkt aan een digitale roof. Het geld wordt meestal naar rekeningen van personen overgemaakt die daarvan een deel mogen houden en de rest d.m.v. een wire-transfer (via bijv. Western Union etc.) naar 1 of ander vaag land over moeten maken. Deze personen wordt 1 of ander vaag verhaal voorgehouden waarom 'het bedrijf' het geld zelf niet kan incasseren. Als je dan nog niks vermoedt ben je ook niet echt slim natuurlijk, of je doet in elk geval alsof ...

[NBK]

Vergeet niet dat ze mogelijk ook gehackte accounts hebben gebruikt voor de transacties. Lang niet iedereen spit grondig zijn bankafschriften door.

[Reinstein]

die rekening is waarschijnlijk allang opgeheven, en dat geld staat al op de bahama's oid

[Verwijderd]

Tgoh die bank zal van 't geld zelf niet wakker liggen denk ik. 800 000€ is bepaald peanuts voor een grote bankketen.

Tis eerder het imago dat hier schade lijdt, en dan vooral 't imago van online betalingsdiensten. Ik heb 't doorgaans al moeilijk genoeg om mams en paps te overtuigen dat hun VISA nummer door ryanair niet zal/kan worden misbruikt

[Verwijderd]

In het buitenland hebben ze daar iets op gevonden en het werkt perfect in mijn mening. Je hebt een creditcard met een virtueel limiet van 0 en een daadwerkelijk limiet volgens je overeenkomst. Als je online iets wilt aankopen van laten we zeggen 100 euro, dan log je eerst in op de site van je bank en zet het virtueel limiet voor een x periode op 100 euro. Je handelt online de transactie af en het bedrag van de transactie valt af van je virtueel limit. Dus als je bv het virtueel limiet op 110 zet en je doet een aankoop van 100 euro dan blijft er nog 10 euro over maar als periode x verstreken is wordt dit limiet automatische op 0 gezet.

Al zouden ze misbruik willen maken van je gegevens dan kan dat niet omdat je zichtbaar limiet 0 euro is.

Ik wacht nogsteeds af wanneer dit systeem in Nederland wordt ingevoerd.

[Verwijderd]

@Sizzlorr,

abn-amro heeft dit al jaren (voor zolang als ik iig al internet bankieren gebruik en dat is zeker al een jaar of 4), als je in bezit bent van een creditcard via abn-amro kun je online een tijdelijk creditcard nummer genereeren voor een eenmalige betaling (via de internet bankieren site)

[Verwijderd]

In België heeft oa CitiBank dit, hebben jullie dan geen CitiBank in NL?

[Verwijderd]

Citibank is wel lid van de NVB (Nederlandse Vereniging van Banken) maar zover ik weet doen ze niks op het gebied van prive bankieren.

American Express heeft een soort gelijk systeem waarmee je online een eenmalig creditcard nummer kan genereren, maar American Express accepteren ze nog lang niet overal.

Zover ik weet zijn er geen banken die deze dienst in Nederland bieden.

[defusion]

Je kunt ook altijd een limiet van 0 nemen, en zorgen dat je een positieve balans hebt?
dus zegmaar geld overmaken naar visa of wie dan ook, en dan dus niet meer op kunnen maken dat wat je al had overgemaakt.

Dat geeft je alsnog alle gemakken van een creditcard, en beschermt je van teveel kopen of voor wanneer iemand je kaart misbruikt (nouja, dan kunnen ze hooguit het bedrag jatten wat je had gestort).

[klaasvaag]

en hoe is dat dan anders dan een (debet) betaalkaart?

[Verwijderd]

121 Zweden al gearresteerd...(!) De Zweudse politie heeft een grotere cybercrime afdeling dan hier, lijkt het...

[Verwijderd]

Dankzij The Pirate Bay zal de Zweedse cybercrime unit wel vrij up to date zijn lijkt me

[catfish]

ik denk dat bij dit soort misdaden alle providers direct gegevens vrijgeven en meewerken
als men echt wil, ben je helemaal niet zo anoniem op het internet als sommigen denken

[Verwijderd]

Bij dit soort misdaden komt er heel snel een gerechterlijk bevel om die gegevens aan de politie te overhandigen.

[klapy]

En als ze dat gerechtelijk bevel niet krijgen gaan ze toch wel langs bij de provider en roppen ze gewoon alle servers uit het rek.

[Pietervs]

nee, maar Zweden heeft geen cellengebrek

[ironx]

De rekeninghouders werden door de virtuele rovers op een phising-e-mail getrackteerd, die van de bank afkomstig leek, en waarin ze werden aangemoedigd een antispamapplicatie te downloaden.

Gaat er dan als klant van een BANK geen belletje rinkelen als jouw BANK een ANTISPAM-applicatie aanmoedigd? En dan waarschijnlijk ook nog een hele onbekende ipv McAfee ofzo?

Ik zou het iig een raar iets vinden...

Deze installeerde vervolgens de onder de naam haxdoor.ki bekendstaande trojan

Haxdoor.ki, voor het eerst gededecteerd op 17 augustus 2006 (volgens de site van F-Secure)...

Ten zij het een nog niet bekende variant was hadden ze GEEN antivirus op hun PC draaien, of een NIET UP TO DATE versie...

Nordea-woordvoerder Boo Ehlin zegt dat de meeste gebruikers wiens rekeningen werden geroofd, geen antivirussoftware op hun computers hadden draaien.

Tja...dat dacht ik al en wat moet je DAAR nou op zeggen...

Ik weet dat het voor sommigen een gevoelig punt is omdat een paar mensen zweren bij het werken zonder AV-applicatie omdat men nog nooit een virus op hun PC hebben gehad... vraag me alleen af hoe men dat dan weet als je geen virus-scanner hebt draaien (of niet eens weet hoe te updaten, bedoel... hij is toch al geinstalleerd)?

En als deze mensen al in phising-mail trappen heb ik de neiging om te gaan denken in de richting van mensen die (nog) niet al te veel verstand hebben van computers en internet... zullen ook wel niet opletten of de URL wel echt klopt en of er wel een SSL-slotje in de browser staat waneer ze op de site van hun bank zitten.

Mogen ze imo echt nog blij zijn dat deze bank zo coulant is...

[DW-ike]

Haxdoor.ki, voor het eerst gededecteerd op 17 augustus 2006 (volgens de site van F-Secure)...
eh... * DW-ike kijkt naar de kalender en vraat zich af hoe dit hele verhaal dan 15 maanden gelopen kan hebben?

[Verwijderd]

trojan is op die datum voor het eerst gedetecteerd...trojan is voor die datum al actief

[Egodepego]

Virussen worden pas gedetecteerd als een antivirus programma het onderschept. Aangezien de klanten die niet hadden.......... Dit krijg je dus als je een virus bouwt die eht door de klant geinstalleerd wordt en die zichzelf niet verspreid. maw op 17 aug probeerde iemand het kreng te installeren en kreeg een melding van zijn AV en heeft het ding opgestuurd.

[BlaTieBla]

En als deze mensen al in phising-mail trappen heb ik de neiging om te gaan denken in de richting van mensen die (nog) niet al te veel verstand hebben van computers en internet... zullen ook wel niet opletten of de URL wel echt klopt en of er wel een SSL-slotje in de browser staat waneer ze op de site van hun bank zitten.

Op het moment dat je systeem overgenomen is (daar mag je in het geval van een besmetting met een virus/trojan wel vanuit gaan) is het 'eenvoudig' om de hosts file aan te passen. Hier door kan de URL van de bank hetzelfde blijven. Je wordt gewoon naar een ander IP adres gestuurd (die van de h4x0rz). Ook kunnen ze en nieuw root certificaat installeren (is wel wat lastiger gemaakt door MS).
Op dat moment kan je ook netjes een beveiligde SSL verbinding hebben met de server van de 'bank'. Er komen geen waarschuwingen over een foutief certificaat, omdat het Root certificaat immers ook aanwezig is op het systeem.

Voor de gebruiker lijkt het alsof alles normaal is.

[Sluuut]

Zouden ze daar niet zulke beveiligingen hebben als hier in Nederland? Ik zit zelf bij de postbank en moet eerst zo'n TAN code per SMS krijgen om mijn betalingsopdracht te bevestigen. Of is dat ook makkelijk te kraken/omzijlen?

[_superboer_]

Zij gebruiken de code die jij via de omweg door geeft, dus dat werkt nog niet...

[p0p0]

die codes kon je ook op papier krijgen per 100 ofzo, dus die codes zijn al bekend bij de postbank,en dus is het altijd mogelijk via een algorithme hem op te sporen.
hoe makkelijk dat in de praktijk zal zijn weet ik niet, maar uiteraard, alles is te kraken uiteindelijk.

[Prut]

Bij Nordea werkt dat nog steeds zo, je krijgt een kraskaart met codes. Om je rekeninggegevens in te zien log je in met je rekeningnr en een vaste pincode, voor transacties heb je daarnaast ook een code van die kaart nodig.

[mjtdevries]

Er zit geen algoritme achter, dus is het ook niet mogelijk een algoritme op te sporen.

Het idee van zo'n code lijst is juist dat de codes zelf compleet random zijn, zodat je per definitie niet kan kraken. (en dus niet kan voorspellen welke code gevraagd gaat worden)
Je moet dus op de een of andere manier de lijst met codes in handen zien te krijgen.

Maar bij een man-in-the-middle attack "krijg" je die code van de gebruiker. Je kunt dan die specifieke transactie van de gebruiker aanpassen.

[rulus]

The Pirate Bay wilde toch een eiland kopen?