Banken en politie slaan handen ineen tegen cybercrime

De grote banken, het Openbaar Ministerie en de politie gaan intensief samenwerken om fraude met internetbankieren tegen te gaan. Er zal onder meer informatie worden gedeeld, al is onduidelijk om welke gegevens het gaat.

Het KLPD, het Landelijk Parket van het Openbaar Ministerie en de banken melden in een gezamenlijke verklaring dat ze intensiever gaan samenwerken in hun strijd tegen cybercrime en, meer specifiek, fraude met internetbankieren. Ze gaan samen de Electronic Crimes Taskforce vormen, die in ieder geval in het komende jaar bij het KLPD wordt gehuisvest; daarna wordt het samenwerkingsverband geëvalueerd.

Binnen de taskforce zal onder andere 'publiek-private informatie' worden uitgewisseld, al is onduidelijk om welke informatie het daarbij precies gaat. Het samenwerkingsverband moet 'unieke en specifieke kennis, informatie en expertise' samenbrengen, maar wat dat in de praktijk inhoudt, is evenmin duidelijk: het Ministerie van Veiligheid en Justitie en de Nederlandse Vereniging van Banken waren niet bereikbaar voor commentaar.

Volgens de samenwerkende partijen neemt de financiële schade van cybercrime toe. Waar dat in 2009 nog 1,9 miljoen euro kostte, zou dat in 2010 zijn toegenomen tot 9,8 miljoen euro. Phishing zou de meeste schade opleveren.

De aankondiging van het samenwerkingsverband komt op de dag dat twee mannen en een vrouw zijn aangehouden op verdenking van fraude met iDeal. Ze zouden van ten minste negen personen inloggegevens hebben verkregen.

Een voorbeeld van een phishing-mail

Reacties (44)

Hm goedgelovig zijnde mensen trappen gewoon soms in dit soort berichten. Helaas is de wereld niet alleen maar goed en zijn er ook mensen met slechte bedoelingen. Het is daarom ook belangrijk om zorgvuldig met zaken die met geld te maken hebben om te gaan. Criminelen gebruiken je goedgelovigheid dus wees daarvan bewust. (Dit is niet de schuld leggen bij de goede mensen alleen meer inzicht geven in hoe de wereld nou eenmaal in elkaar zit, helaas)

er zijn goed gelovige mensen genoeg die hier in trappen, stel dat de aan 1 mil van die mailtjes 10 000 euro kunnen scoren, heb je toch snel geld verdiend. en ik vind ook dat dit hard moet worden aangepakt. al moet ik eerlijk zeggen dat ik de mailtjes ook wel lachwekkend vind, ik maak zelf ook vaak genoeg een spel VAUT. maar kom op, dit is gewoon door Google vertaalt.

maar weer terug on-topic, ik hoop hier snel wat "opgepakt" nieuws te zien!

Aangezien velen over een vast IP nummer beschikken, zou het wellicht een optie zijn om het mogelijk te maken voor klanten om het IP nummer te koppelen aan hun rekening. Het is niet zaligmakend, maar draagt wel bij tot een vermindering van mogelijke fraude. Data verkregen via phishing, kan dan niet meer gebruikt worden, tenzij er fysiek toegang tot de computer is.

Daar heb ik persoonlijk een paar probleempjes mee:

1. Op die manier neem je m.i. één van de voordeel van internetbankieren weg. Ik vind het namelijk een groot voordeel dat ik het overal kan doen (op systemen die ik vertrouw natuurlijk he), zolang ik mijn telefoon bij de hand heb voor de tan codes. Niet elke willekeurige openbare pc of netwerk, maar ik vind het toch wel prettig dat ik ook geld over kan maken als ik bij mijn vriendin zit bijvoorbeeld.

2. Als je gaat verhuizen moet je direct dat IP laten wijzigen, anders kan je niet bij je rekening. Het is voor zulke grote bedrijven soms al zo moeilijk om je adres te veranderen...

3. Volgens mij staat er in de voorwaarden van mijn provider dat het IP zonder opgaaf van reden kan wijzigen. En dan? Heb ik dus geen toegang meer tot mijn rekening?

4. Hoe ga je controleren dat iemand een IP adres goed invult en dat het ook daadwerkelijk de eigenaar van de rekening is die het invult? Los van het feit dat een heel aantal mensen hun eigen IP niet eens zal weten (en ook niet zal kunnen vinden, ik zie mijn ouders het in ieder geval niet doen), geef je frauders m.i. de mogelijkheid om er voor te zorgen dat jij geen toegang meer hebt tot je eigen rekening. Als men je gegevens achterhaald heeft vullen ze een vals IP in en jij hebt geen toegang meer.

5. Als ze toegang kunnen krijgen tot je account bestaat er vast wel een manier om dat IP te wijzigen of te achterhalen en te spoofen.

Daarnaast is een groot deel van de fraude volgens mij mogelijk doordat de eigenaren zelf de fout in gaan. Als je de afbeelding ziet die bij het artikel staat, ga jij dan naar die site om je gegevens in te vullen? Als je die vraag me 'ja' beantwoord moet je je sowieso zorgen maken, ongeacht de manier van beveiligen Daarnaast staat er op die pagina vast een scriptje die je IP uitleest en samen met je inloggegevens wegschrijft.

1. Op die manier neem je m.i. één van de voordeel van internetbankieren weg. Ik vind het namelijk een groot voordeel dat ik het overal kan doen (op systemen die ik vertrouw natuurlijk he), zolang ik mijn telefoon bij de hand heb voor de tan codes. Niet elke willekeurige openbare pc of netwerk, maar ik vind het toch wel prettig dat ik ook geld over kan maken als ik bij mijn vriendin zit bijvoorbeeld.

Het moet dan ook een optie zijn waar de klant zelf voor kiest. Een klant zou ook meerdere IP nummers kunnen invoeren.

2. Als je gaat verhuizen moet je direct dat IP laten wijzigen, anders kan je niet bij je rekening. Het is voor zulke grote bedrijven soms al zo moeilijk om je adres te veranderen...

Je kunt vrij makkelijk de klant zelf het IP-nummer laten veranderen. Vlak voor het verhuizen kies je dan even géén IP-nummer.

3. Volgens mij staat er in de voorwaarden van mijn provider dat het IP zonder opgaaf van reden kan wijzigen. En dan? Heb ik dus geen toegang meer tot mijn rekening?

Dat zal zelden gebeuren, maar daar is ook wel een oplossing voor te bedenken. Bijv. verificatie op afstand, of een procedure via je email account, voor het wisselen van wachtwoord, dit kan ook voor een IP-nummer.

4. Hoe ga je controleren dat iemand een IP adres goed invult en dat het ook daadwerkelijk de eigenaar van de rekening is die het invult? Los van het feit dat een heel aantal mensen hun eigen IP niet eens zal weten (en ook niet zal kunnen vinden, ik zie mijn ouders het in ieder geval niet doen), geef je frauders m.i. de mogelijkheid om er voor te zorgen dat jij geen toegang meer hebt tot je eigen rekening. Als men je gegevens achterhaald heeft vullen ze een vals IP in en jij hebt geen toegang meer.

Je maakt het IP-nummer gewoon zichtbaar op de website van de bank. De klant hoeft alleen maar te klikken voor de optie. Het gaat voornamelijk om phishing fraude. Die hebben dan een stuk minder kans om op de rekening te komen.

5. Als ze toegang kunnen krijgen tot je account bestaat er vast wel een manier om dat IP te wijzigen of te achterhalen en te spoofen.

Phishing is een vrij domme techniek. De kans dat zo iemand kan spoofen is vrij klein. Zelfs hier onder tweakers, is het aantal dat kan spoofen niet zo hoog!

Zoals ik al schreef: Het is niet zaligmakend, maar zal zeker een hoop phishingfraude tegenhouden. Ik vind het best een aardige oplossing.

[Reactie gewijzigd door Synthiman op 15 maart 2011 16:42]

Goed dat ze dit doen, er zijn heel veel mensen die in vertrouwen hun e-mail hebben door gegeven bij een gesprek of iets dergelijks. en die krijgen een mail en vertrouwen dit gewoon.

dit is toch een kwalijke zaak en vind het helemaal top dat de politie hier tijd in stopt.
mensen kunnen op deze manier worden opgelicht zonder dat zei dit zelf door hebben.

ps. ik weet dat ING geen contact zoekt via de mail, maar niet iedereen kijkt op de site van ING of iets dergelijks

[Reactie gewijzigd door FoNnEke op 14 maart 2011 15:24]

Terecht! Phising is een laffe manier van mensen geld aftroggelen.
Natuurlijk snappen veel mensen dat als je een bericht zoals het bovenstaande krijgt dat het nep is, maar er zijn ook mensen die gewoon goedgelovig zijn en na het zien van het logo van de bank en het email adres het gewoon vertrouwen en doen.
Naast aanpakken is het zeker goed dat er ook reclame word gemaakt die mensen waarschuwt.

Lijkt me geen slecht offensief. Dergelijke scammails kom ik steeds vaker in m'n inbox tegen en het oppakken van de criminelen die er het zuurverdiende geld van onwetende medeburgers mee uit de zak jatten is alleen maar positief.
De mails worden tegenwoordig ook steeds overtuigender. Nu is degene uit het voorbeeld plaatje wel erg makkelijk te herkennen als scam, maar ik heb al een aantal keer gehad dat ik echt even moest kijken of het een scam was of niet. Ik ben er nog nooit ingetrapt, maar voorkomen blijft beter dan genezen.

Ja er zullen een heleboel mensen zijn die snappen dat ze bedrogen worden. Maar er zullen ook een heleboel mensen zijn die in goed vertrouwen op de link klikken en de gegevens invullen.

Maar dit gebeurd niet alleen via de email maar ook zo in het echt. Kijk maar eens naar het programma oplichters ontmaskerd (of zoiets) dan zul je zien dat er altijd mensen zijn die goed van vertrouwen zijn en hun spullen afgeven.

Het is gewoon een samenhang van een goed opgezet plan waarin sommige mensen trappen.

Lijkt me een goede zaak. Ik hoop dat met deze actie ze sneller achter oplichting kunnen komen.

Misschien dat ze iets "simpels" kunnen doen als ip-logging. De banken houden bij van waar iemand inlogt op een rekening en de politie combineert die gegevens. Als je dan opeens ziet dat 1 ip / persoon toegang heeft bij verschillende bankrekeningen heb je wellicht al beet.

Als je zo mailtje als op het plaatje kijkt neem je toch ook niet serieus.
Zo mail zo veel beter op gemaakt zijn en zin klopt ook voor geen kant.

er zit zelfs een typ fout in het mail adres.

Als ik je reactie lees dan neem ik jouw ook niet serieus. Je had zomaar de schrijver van de e-mail op het plaatje kunnen zijn.

De mail wordt (gelukkig) door de meeste mensen ook niet serieus genomen. Het gaat echter om een kleine groep die hier wel op reageren. En als er een paar miljoen van deze berichten worden verzonden dan kan zo'n klein percentage al snel winstgevend worden.
Zulke criminaliteit moet dan ook harder worden gestraft. De boetes moeten minimaal eens zo hoog zijn als de schade die ze hebben aangericht.

Ik ben benieuwd wat deze taskforce nu precies gaat doen. Ik mag aannemen dat banken al veel informatie delen als het gaat om een strafbaar feit.

Ik denk / hoop dat met deze actie ze sneller / beter achter oplichting kunnen komen door misschien preventief samen te werken o.i.d.. Normaal gesproken moet je eerst bewijs hebben dat er sprake is van een strafbaar feit voordat banken / politie gaan samenwerken.

Misschien dat ze iets "simpels" kunnen doen als ip-logging. De banken houden bij van waar iemand inlogt op een rekening en de politie combineert die gegevens. Als je dan opeens ziet dat 1 ip / persoon toegang heeft bij verschillende bankrekeningen heb je wellicht al beet.

Ik denk niet dat de banken op deze manier gaan samenwerken met het openbaar ministerie. Van ons huis wordt ook ingelogd door 5 personen. De meeste van ons hebben ook nog eens 2> rekeningen bij de ING. Als mijn neefje langskomt en zijn bankgegevens wil checken, of hij eventjes iets geld naar mij wil overmaken zal het ook overkomen alsof er vanaf ons huis heel veel bankrekeningen worden beheerd.
Daarbij komt ook nog dat het beleid makkelijk te omzeilen valt, als jij daadwerkelijk bij mensen op hun bankrekening inbreekt, kun je heel makkelijk proxy's gebruiken.

Als ik je reactie lees dan neem ik jouw ook niet serieus. Je had zomaar de schrijver van de e-mail op het plaatje kunnen zijn.

Jouw (bezittelijk voornaamwoord) --> jou (persoonlijk voornaamwoord).

ben ik met je eens. Maar mensen klikken te snel in vertrouwen enzovoorts.
en lezen vluchtig .. al haal je zelf wat klinkers weg uit een zin lees je het nog als een volledige zin. ongeveer het zelfde principe

totdat je een week daarna nog een mailtje, die er wel professioneel uitziet, krijgt waarin staat dat er nepmailtjes rond gestuurd zijn. Vervolgens vragen ze om een gegevens check. Je wordt doorgelinkt naar een professionele pagina, die heel veel lijkt op de officiële site.
Een doorsnee persoon zal het misschien nog doorhebben dat het nep is, doordat er tegenwoordig zoveel campagne word gevoerd om mensen bewuster te maken over hun bankgegevens. Maar mijn oma weet dat niet. Die schikt zich een hoedje en vult zo gauw mogelijk de 'check' in.

Het is een goed dat banken samenwerken met het om. Eigenlijk dacht ik dat het allang gebeurde.
Wat ik mij wel blijf afvragen wat voor informatie ze gaan delen? Nog meer schending van privacy?

ik zag die fout ook gelijk hehe,
maar dit soort mails krijg ik ook altijd van 'blizzard' over dat ik men account gegevens moet doorsturen voor veiligheidsshit enzo. maar achter dat e-mail adres (wat in het bovenstaande plaatje [e-mail] is) staat bij mij altijd gelijk achter dat het eigenlijk komt van: [e-mail] ofzo

ja inderdaad en dan heb je een website in de trend van blizzard-battle.net ofzo verschrikkelijke hekel aan.

gelukkig filtert gmail en hotmail alle spam inmiddels

Ik had vorige week iemand op kantoor die een formulier aan het vullen was met gebruikersnaam, wachtwoord, mobiel en tanlijst...

Veel mensen trappen er makkelijk in.

Ik had vorige week iemand op kantoor die een formulier aan het vullen was met gebruikersnaam, wachtwoord, mobiel en tanlijst...

Dat is weer het voordeel van alle banken buiten de postbank/ING.

Je hebt geen TAN codes. Je kunt "alleen" via een man in the middle fraude plegen.

De aankondiging van het samenwerkingsverband komt op de dag dat twee mannen en een vrouw zijn aangehouden op verdenking van fraude met iDeal. Ze zouden van ten minste negen personen inloggegevens hebben verkregen.

Ik verwacht eerlijk gezegd dat het allemaal Postbank/ING klanten waren.

Ik vind dat de ING (oude Postbank) ook gedwongen moet worden om een random reader of iets dergelijks gaan te gebruiken i.p.v. TAN codes en SMSjes die veel onveiliger zijn.

Als mijn vermoeden klopt dat het echt ING klanten zijn vind ik het vreemd dat we onze politie capaciteit inzetten voor banken die niet maximaal beveiligen.

Ik zie de bui al hangen zodra nfc ingevoerd wordt.
nieuws: Mobiele aanbieders beginnen in 2012 met nfc-diensten

[Reactie gewijzigd door Anoniem: 112442 op 14 maart 2011 17:12]

TAN lijsten zijn ook bij de ING een keuze, ook oen het nog Postbank was. Je kan namelijk heel makkelijk je TAN op je mobiel krijgen (of dat zo handig is ivm mobiel internet laat ik even in het midden).
Maar ook Rabo-gebruikers krijgen phishing-mailtjes: Ik heb er pas een paar kunnen vergelijken, het ING mailtje lijkt inderdaad op bevenstaande, maar Rabo / ABN e.d. krijg je een mailtje met een linkje dat er uitziet als een inlogpagina met random-reader (leuk woord voor de automatische vertaler trouwens) met in krom nederlands de tekst dat je je rekening moet verifieren, en dat het eventueel 15-20 minuten kan duren. A
Als je die mailtjes in Html-weergave bekijkt, lijkt er behalve het kromme nederlands niets aan de hand (behalve dat je inmiddels wel moet kunnen aanvoelen dat dit geen zuivere koffie kan zijn, omdat standaard, dikgedrukt op iedere inlogpagina van een bank staat dat ze nooit per mail om gegevens zullen vragen)
Bekijk je ze echter in plain text, dan zie je dat de linkjes heel ergens anders naartoe wijzen...

Als je die mailtjes in Html-weergave bekijkt, lijkt er behalve het kromme nederlands niets aan de hand (behalve dat je inmiddels wel moet kunnen aanvoelen dat dit geen zuivere koffie kan zijn, omdat standaard, dikgedrukt op iedere inlogpagina van een bank staat dat ze nooit per mail om gegevens zullen vragen)

Ik ben het met je eens maar bekijk het vanuit het oogpunt van een computer analfabeet. Elke respectabele bank zou meteen na het bekend worden van een phising scam zijn klanten moeten waarschuwen. Een e-mailadres of tel# openen waar mensen kunnen (beter: verplicht worden) navragen of de door de bank gestuurde e-mail wel klopt. Er werd tot op heden altijd gezegd dat zolang de kosten van skimming/phising niet opwegen tegen de baten de banken niet willen investeren in betere systemen (voor b.v. telebankieren). Dit is dan eigenlijk oneigenlijke concurrentie met staatssteun x2. Eerst de banken staande houden met belastinggeld, 2 de kosten van de banken drukken met belastinggeld door de politie + OM van ons belastinggeld in te zetten voor het falende systeem van de banken. O, en vergeet niet dat telebankieren niet voornamelijk voor ons belang is als consument maar eigenlijk is geïntroduceerd om, jawel, kosten te besparen voor de banken. Genaaid x3 eigenlijk... Maar als je even doordenkt kom je vast wel op x10.

Onzin natuurlijk om ze te laten dwingen tot een andere inlogmethode, de ING bied de grootste gebruiksvriendelijkheid met betrekking tot het inloggen en overmaken van geld. Geen gedoe met die pokke random reader. Als je zo dom bent als een kip en intrapt in die phishingmails, ga dan naar de Rabobank of een andere bank waar je een reader nodig hebt. Enige reden dat ik bij de ING zit is het inlogsysteem, niks meer dan lof.

En toen moet ikke lachen zijn (aka 'slecht vertaalde Nederlandse e-mails').
Nou, al die codes... dan heb ik toch liever een random-reader of e-dentifier, tevens heb ik dan meer rente
Ik heb liever een sterk algoritme met PIN-code intoetsen op dat apparaat in 10 seconden, dan dat ik er 1~2 minuten over moet doen om codes in te vullen die ook nog eens achterhaald zijn ivm phishing / fraude.Je hoeft echt maar een groot deel van die codes te bemachtigen, en geen haan die er naar kraait, terwijl zo'n Random reader/E-dentifier telkens een nieuwe code heeft (bankpas erin, pincode code invullen, klaar!), dat sneller + beter beveiligd is. Gebruiksvriendelijk en veilig.

Dat is weer het voordeel van alle banken buiten de postbank/ING.
Je hebt geen TAN codes. Je kunt "alleen" via een man in the middle fraude plegen.

Met gebruik van TAN-codes (via sms, ik heb het niet over de geprinte lijst; dat is mijns inziens een slechte hack om het systeem te kunnen gebruiken zonder mobieljte) wordt een man-in-the-middle fors moeilijker gemaakt. In het smsje kun je immers allerlei extra informatie zetten (totaal bedrag overboekingen, rekeningnummer van ontvanger bij grote overboekingen) die volledig buiten de computer om gaan en dus niet door malware beïnvloed kan worden.
Bij gebruik van een random reader heeft de trojan toegang tot alle informatie die tussen klant en bank uitgewisseld wordt. Tenzij je de gebruiker dwingt om alle informatie (bedragen, rekeningnummers) in de reader in te typen, wat je in de praktijk liever niet wil in verband met gebruikersvriendelijkheid, kan dat dus eenvoudig aangepast worden door malware. Bij de ING wordt het dan wel niet cryptografisch geverifieerd, maar versturen via een apart kanaal is (met behoud van gebruiksvriendelijkheid) nagenoeg net zo veilig.
Toegegeven, nu we tegenwoordig Internet-toegang hebben op hetzelfde apparaat waarmee we sms ontvangen wordt het opeens een minder ideaal systeem, maar dat was nog verre van gebruikelijk toen het ingevoerd werd. Indertijd was "mensen hebben hun mobiel toch altijd bij zich, als we die gebruiken hoeven ze geen extra token mee te slepen" een volkomen valide redenering.
Je zou botweg mobiele browsers kunnen blokkeren, maar dan gaan je klanten zeuren. Uiteindelijk is dat ook gewoon altijd het probleem; "veiliger" betekent bijna altijd "ingewikkelder". En hoe ingewikkelder, hoe eerder mensen overstappen naar een andere bank! (Ik heb me ooit laten vertellen dat sommige landen de minimum lengte van pincodes voor Internetbankieren bij wet bepalen. Zo voorkomen ze de drie-cijferige codes die banken willen hebben vanwege het "gebruiksgemak"...)

Dus, jij zegt dat internetbankieren op je mobiele telefoon handiger en veiliger is? Nou, alsof dat niet afgeluisterd kan worden... dat gaat zelfs nog makkelijker dan een Trojaans paard. En, wie internetbankiert er nou op straat... daar heb je PIN-automaten/banken voor, toch?
Dat, dat is pas onveilig!

"Dat is weer het voordeel van alle banken buiten de postbank/ING."

Nou, ik vind het juist het grootste voordeel van de ING ten opzichte van de andere banken.

Bij de Postbank en nu bij de ING werkt TAN op mijn mobiel altijd perfect en mijn mobiel heb ik altijd bij me. Superhandig, als ik ergens anders ben maak ik toch zo wat poen over als dat nodig is. Erg handig en gebruiksvriendelijk. Voor mij gelukkig nooit geklooi met die readertjes meer.

Dat je dan in een e-mail voor fishers je complete TAN-lijst gaat inkloppen vind ik echt onbegrijpelijk. Jullie kunnen me dan wel wegminnen op mijn eerste reactie in deze thread, maar je moet toegeven dat je dan echt oliedom bent en/of de afgelopen 10 jaar onder een steen hebt geleefd. En stekeblind, want op elk SMS-bericht van de ING met daarin je TAN-code staat letterlijk "Let op! Geef nooit uw TAN-code af!" en dat staat ook op de TAN-lijst.

[Reactie gewijzigd door Anoniem: 364852 op 15 maart 2011 03:00]

Bankieren via mobiele telefoon/smartfone is natuurlijk helemaal onveilig. Al die mensen die hun iPhone hebben gejailbreakt kunnen bv gebruik maken van een 'alternatieve' market (zo ook Android gebruikers). Daar kunnen natuurlijk heel makkelijk klonen van apps in zitten die een trojan bevatten. Denk je dus lekker gratis een betaalde app te hebben, wordt ondertussen je rekening geplunderd.

Nee, het mobiele platform mag eerst bewezen veilig te zijn voordat ik daar één transactie op durf te doen. Ik begrijp niet waar men het vertrouwen vandaan haalt.

Ongelooflijk dat hier nog mensen intrappen. Zeker met het einde.

Groeten,

Inderdaad. Maar hier blijft het dan ook niet altijd bij.

Een paar dagen later kan je opnieuw een e-mail krijgen dat er een nep e-mail is verzonden. De nieuwe e-mail is dan wel helemaal correct geschreven met daarin en korte uitleg en daarin vragen ze je nog even terloops je gebruikersnaam en wachtwoord te verifieren.

Dus ze gaan soms echt heel erg rattig te werk!

Maar wat als eens een keer geen internet vertaal applicatie gebruiken maar gewoon echt correct Nederlands? Dan kon de "vangst" voor de oplichters wel eens veel hoger worden. Ik bedoel als er mensen in zulk slechts Nederlands trappen (ik ontving er 1 van "abmamro" waarbij ik in lachen uitbarste) dan trappen ze toch zeker ook in iets wat er wel goed uitziet.

Als je die mailtjes krijgt en het goed leest, dan snap je toch ook al wel dat het niet van je bank is..

'alle internet banking-gebruikers zijn verplicht te controleren en un rekeningen als gevolg van recente update'

Verder laat de ing elke keer dat je inlogged op hun site zien dat ze je nooit zullen benaderen via e-mail.

Ook worden veel van deze e-mails tegengehouden door de spammfilters.