Nordea-kunder angrepet

[abene]

250 kunder hos banken Nordea Sverige skal ha blitt svindlet for 8 millioner kroner.

Les mer

[Malvado]

Dette er en direkte sammenheng med dårlig sikkerhet hos kunden og for enkle krav hos leverandøren av tjenesten.

 

Utrolig at man i det hele tatt kan koble seg opp mot banken sin når man har et usikret system.

[Alastor]

Erm - dette er IKKE nordea som har blitt angrepet, det er kunder som har blitt det, og så som følge av litt laber sikkerhet ved overføring av penger hos nettbanken har blitt svindlet.

 

Sånt skjer når man ikke sikrer maskinen sin. Kripos nevnte forøvrig at alle de som hadde blitt svindlet i norge hadde besøkt den samme "ukurrante siden".

[Mr Pepe]

Det er derfor man ikke skal ha penger i banken

[Oldie]

Det er derfor man ikke skal ha penger i banken 

7768422[/snapback]

 

Eller så bør en i alle fall ikke ha nettbank om en aldri har fått med seg at det er noe som heter datavirus...

[Smirnoff]

Det er nå alltids noen som har PC og sitter med slusene på vidt gap ut i mot internett ja. De vet ikke hvordan de skal installere antivirus, eller så sitter de med en utdatert utgave. Det eneste de vet om brannmur er at det er en slik vegg i huset som sikrer mot ja... brannspredning. Som oftest svarer de "ja" til alt mulig som ber om å bli installert når de surfer nettet. Har vært og sett mange maskiner som har vært regelrett "Typhoid Marys".

[Gjest Slettet+6132]

Erm - dette er IKKE nordea som har blitt angrepet, det er kunder som har blitt det, og så som følge av litt laber sikkerhet ved overføring av penger hos nettbanken har blitt svindlet.

 

Sånt skjer når man ikke sikrer maskinen sin. Kripos nevnte forøvrig at alle de som hadde blitt svindlet i norge hadde besøkt den samme "ukurrante siden".

7768200[/snapback]

 

Dette svaret blir for enkelt "Alastor".

En bank som har en nettbank-løsning som er så lett å utnytte har en for "slapp" holdning til en så kritisk IT-løsning.

Greit at mange kunder/nettbrukere har svært liten kunnskap mht. sikkerhet/fornuftig holdning til egen sikring av PC, men dette er for alvorlig til å lempe "skylda" over på kundene.

Endret 21. januar 2007 av Slettet+6132

[Shruggie]

Enig, særlig når bankene gjør det vanskeligere og vanskeligere å bruke noe annet enn nettbanken, siden de sparer store penger på færre ansatte og filialer.

Endret 21. januar 2007 av tofagerl

[hobgoblin]

er utrolig enkelt å sikre nettbanken mot slikt, engangskoder.

 

dette enten via generator eller utsendt kodelapp.

 

nordea er vel en av dem bankene som bruker digitale sertifikat i sin nettbank til å verifisere bruker?

Endret 21. januar 2007 av hobgoblin

[rockingchair]

er utrolig enkelt å sikre nettbanken mot slikt, engangskoder.

 

dette enten via generator eller utsendt kodelapp.

 

nordea er vel en av dem bankene som bruker digitale sertifikat i sin nettbank til å verifisere bruker?

7768855[/snapback]

Tuller du? Trodde engangskoder var standard?:O

[Gjest Slettet+6132]

er utrolig enkelt å sikre nettbanken mot slikt, engangskoder.

 

dette enten via generator eller utsendt kodelapp.

 

nordea er vel en av dem bankene som bruker digitale sertifikat i sin nettbank til å verifisere bruker?

7768855[/snapback]

Tuller du? Trodde engangskoder var standard?:O

7768889[/snapback]

 

Nei, dessverre.

Skandiabanken innførte det nylig, nettop pga. det som kommer fram i denne nyheten. (svindel mot Nordea kunder).

"Token-generator" (liten nøkkel brikke) er en enda bedre løsning som opptil flere banker/nettbanker har brukt i en årrekke.

Endret 21. januar 2007 av Slettet+6132

[Malvado]

Saken er nok at det som har skjedd her er at hackerne har lagt inn en "side" før man egentlig kommer inn på nettbanken så du egentlig oppgir nøkkelen og passord til hackerne som så kan komme seg inn på nettbanken din uten at du legger merke til det.

 

Så uansett om du har engangskoder, token key generator eller hva det nå skulle være så vil det ikke hjelpe om maskinen din er kontrollert av hackere...

 

Det er på tide at bankene begynner å benytte seg av programvare som sjekker forbindelsen, sikkerheten og sørger for at klienten er godkjent på en eller annen måte, usb plug inn enhet og andre sikkerhetstiltak bør nok vurderes.

I alle fall så bør Banken kunne identifisere at det er en sikker tilkobling som brukes og at alt stemmer overens.

[Bolson]

Helt enig med TL1000S at her må bankene i realiteten lage løsninger som er sikre, selv om bruker skulle være infisert. Og selv oppegående brukere kan risikere å bli "hijacket" i en kort periode. Ikke alltid alle sikringstiltakene fungerer 100 %.

 

Etter min mening er "kodegenerator" eneste fornuftige løsning. Og den burde måtte brukes både ved innlogging og ved bekreftelse av betaling i banken. Terra sin løsning bruker passord ved bekreftelse, men man kunne like gjerne (sikrere) ha krevd kode her også. Prinsippet er at det bør være et eller flere element i sikkerhetssystemet som ikke er på PC-en.

 

Betalingsverifiseringen bør også kunne godkjenne klienten.

Endret 21. januar 2007 av Bolson

[Oldie]

Helt enig med TL1000S at her må bankene i realiteten lage løsninger som er sikre, selv om bruker skulle være infisert. Og selv oppegående brukere kan risikere å bli "hijacket" i en kort periode. Ikke alltid alle sikringstiltakene fungerer 100 %.

 

Etter min mening er "kodegenerator" eneste fornuftige løsning. Og den burde måtte brukes både ved innlogging og ved bekreftelse av betaling i banken. Terra sin løsning bruker passord ved bekreftelse, men man kunne like gjerne (sikrere) ha krevd kode her også. Prinsippet er at det bør være et eller flere element i sikkerhetssystemet som ikke er på PC-en.

 

Betalingsverifiseringen bør også kunne godkjenne klienten.

7769185[/snapback]

 

Ja, så får vi bare håpe at nettbankene ikke ender opp med å bli så tungbetjente at vi alle ender opp i skrankekø igjen. Det er jo rimelig klart at dersom svindelvirksomheten tiltar i "vellykkethet" blir bankene nødt til å gjøre mer siden de i utgangspunktet må dekke alle tap for uheldige kunder.

[Daehli]

er utrolig enkelt å sikre nettbanken mot slikt, engangskoder.

 

dette enten via generator eller utsendt kodelapp.

 

nordea er vel en av dem bankene som bruker digitale sertifikat i sin nettbank til å verifisere bruker?

7768855[/snapback]

Tuller du? Trodde engangskoder var standard?:O

7768889[/snapback]

 

Hva hjelper vel det når du har en session åpen mot nettbanken? Kaprer du PCen med en enkel trojan så har du jo full tingang til alt. Det er banken sin skyld at de ikke hjelper kundene bedre for å unngå slike angrep.

 

Problemet er at så lenge nettbanken skal være brukervennlig, så vil det alltid være fare for angrep. Den eneste måten å sikker det helt på er å trekke ut kabelen og sitte nervøst i et hjørne av frykt for at et virus skal koble deg opp igjen automatisk.

[hobgoblin]

Ja, så får vi bare håpe at nettbankene ikke ender opp med å bli så tungbetjente at vi alle ender opp i skrankekø igjen. Det er jo rimelig klart at dersom svindelvirksomheten tiltar i "vellykkethet" blir bankene nødt til å gjøre mer siden de i utgangspunktet må dekke alle tap for uheldige kunder.

 

med mindre de kan bevise at du har vært uaktsom i din håndtering av koder og annet.

 

er jo slik med kortsvindel. om banken kan bevise at du oppbevarte koden sammen med kortet, null dekning av tap.

Endret 21. januar 2007 av hobgoblin

[hobgoblin]

er utrolig enkelt å sikre nettbanken mot slikt, engangskoder.

 

dette enten via generator eller utsendt kodelapp.

 

nordea er vel en av dem bankene som bruker digitale sertifikat i sin nettbank til å verifisere bruker?

7768855[/snapback]

Tuller du? Trodde engangskoder var standard?:O

7768889[/snapback]

 

Hva hjelper vel det når du har en session åpen mot nettbanken? Kaprer du PCen med en enkel trojan så har du jo full tingang til alt. Det er banken sin skyld at de ikke hjelper kundene bedre for å unngå slike angrep.

 

Problemet er at så lenge nettbanken skal være brukervennlig, så vil det alltid være fare for angrep. Den eneste måten å sikker det helt på er å trekke ut kabelen og sitte nervøst i et hjørne av frykt for at et virus skal koble deg opp igjen automatisk.

7769437[/snapback]

 

å kidnappe en åpen websession er nok ikke så enkelt. i hvertfall ikke om ikke bruker skal merke det. mye enklere å forsøke å kuppe startsiden på banken slik at folk tror de logger seg inn på banken men ikke gjør det (phising svjv).

 

her vil ikke en gang engangsnøkkler hjelpe med mindre bruker oppdager feilen og logger inn på den egentlige banken med en gang og dermed "brenner" den nøkkelen som tjuvene fikk lurt til seg.

 

alternativet er nye måter å markere at krypteringsnøkkler osv er gyldige. siste er vel at webleseren skal fargelegge addresselinjen ut fra hva for nøkkel en går seg på.

 

forøvrig gjelder det med å trekke ut kabelen for nettet generellt...

Endret 21. januar 2007 av hobgoblin

[toretors]

Nordea Norge operere nå med engangskode både på innlogging og ved hver transaksjon.

[Daehli]

å kidnappe en åpen websession er nok ikke så enkelt. i hvertfall ikke om ikke bruker skal merke det. mye enklere å forsøke å kuppe startsiden på banken slik at folk tror de logger seg inn på banken men ikke gjør det (phising svjv).

 

Jeg støtter deg på den der, og...

 

Selvsagt er det ikke lett, da hadde jeg også beveget meg over i lovens gråsone bare fordi "jeg kan" og spenningen ved det. Men det jeg er redd for er de russiske og asiatiske crackerne som har all verdens tid og ingenting å tape. Russerne jobber allerede nesten gratis med programmering og jobber av denne typen. Forskjellen på å få 20 kroner i timen og flere hundre millioner ved å bryte loven er ikke stor når alt du har i livet er lysten på det du ikke har.

 

Disse menneskene er skremmende gode.

 

I teorien er det forsatt "å trekke ut kabelen" som er det eneste som er nesten sikkert.

[Alastor]

Erm - dette er IKKE nordea som har blitt angrepet, det er kunder som har blitt det, og så som følge av litt laber sikkerhet ved overføring av penger hos nettbanken har blitt svindlet.

 

Sånt skjer når man ikke sikrer maskinen sin. Kripos nevnte forøvrig at alle de som hadde blitt svindlet i norge hadde besøkt den samme "ukurrante siden".

7768200[/snapback]

 

Dette svaret blir for enkelt "Alastor".

En bank som har en nettbank-løsning som er så lett å utnytte har en for "slapp" holdning til en så kritisk IT-løsning.

Greit at mange kunder/nettbrukere har svært liten kunnskap mht. sikkerhet/fornuftig holdning til egen sikring av PC, men dette er for alvorlig til å lempe "skylda" over på kundene.

7768833[/snapback]

Det som skjer er jo at brukeren har en bakdør på pcen sin. I det brukeren logger inn i nettbanken så blir skjermen til bruker sort, og crackerne tar over pcen. Overfører beløp og så ferdig.

 

Skjermen blir altså sort, og det ser ut som om pcen gikk til helvete - da merker ikke offeret at websessionen fortsatt brukes.

 

Da hjelper det lite med kodenøkler.

 

Dette er det kripos sa hadde skjedd i norge, antar det samme skjedde i sverige.

 

EDIT: Så, eneste måten å beskytte seg som bank på (beskytte seg mot idiotiske kunder), er å ha engangskoder ved hver transaksjon.

 

Disse kundene fikk innstallert en trojaner igjennom et sikkerhetshull microsoft patchet i april 2006.