Advarer mot angrep mot nettbanker

[Beritaron]

Tenkte på passord til brukeren på en live-CD (som alltid er de samme på en distribusjon og dermed ikke vanskelig å få tak i), og hvor mye/lite dette har å si for en som prøver å bryte seg inn på maskinen din over internet.

Endret 16. februar 2011 av tamarin

[Abigor]

Kommer ikke langt med å registrere engangskoder. Greit nok at fødselsdato og personlig passord kan lekkes, men det hjelper lite uten kode.

[oslo72]

Kommer ikke langt med å registrere engangskoder. Greit nok at fødselsdato og personlig passord kan lekkes, men det hjelper lite uten kode.

Koden kommer på SMS til meg, så hvis noen i tillegg disponerer mobilen min (eller har hacket SIM-kortet) så er det en smal sak.

 

Uansett kos å se at det endte opp i en liten Mac/Linux-diskusjon likevel

[oslo72]

Men les hva jeg skriver da mann. Det er jo ingenting i veien for å lage et design på nettbanken som hindrer deg i de vanligste brukerfeilene. Feks å taste inn for få eller for mange sifre når kontonummer tastes inn. Lekeledes er det nesten uansvarlig at ikke ALLE_BANKER matcher kontonummer og navnet man skriver på kontohaver.

 

Bankene er den profesjonelle part her. Man må kunne forvente at de tenker på slikt når de utvikler sine tjenester. Det er tross alt bankene som pusher nettbank også på gamle mennesker slik at kundene ikke skal komme i banken en eller flere ganger per måned for å få ut kroner. I takt med at nettbank-kunder gikk fra å være næringslivskunder og early-adapters til gamle mor og bestefar burde

et særlig ansvar ligge på den profesjonelle part, altså banken.

 

Det koster banken for mye penger at noen få kunder ønsker å bruke skranketjenester og derfor pusher de nettbank. Men når bankene skyver sin jobb over på kundene og attpåtil tar betalt for jobben i form av gebyrer og transaksjonskostnader er det selvsagt at bankene må ta ansvar.

Men les hva jeg skriver da, kvinne!

Jeg er jo enig med deg i alle punkter - men ihvertfall i min bank er det implementert de tingene du nevner.

At noen likevel velger å taste inn feil kontonummer og neglisjere at det kommer opp feil navn på mottaker kan ikke lastes banken.

Hvor mange "Er du helt sikker?"-bokser skal dukke opp før man har gjennomført en betaling?

 

Taster man inn feil beløp eller kontonummer så er man uansvarlig og burde ikke ha tilgang til nettbank. En gang er kanskje greit, men gjentar det seg så burde både kunden og banken vurdere kundeforholdet. Hvorfor skal banken (og vi andre) ta regningen for at noen er uforsiktige/uoppmerksomme/slurvete?

[ohjay93]

HADDE ALDRI SKJEDD MED GAMEBOY!

[oslo72]

Vanskelig å si imot den påstanden...

[mrs.robinson]

 

Men les hva jeg skriver da, kvinne!

Jeg er jo enig med deg i alle punkter - men ihvertfall i min bank er det implementert de tingene du nevner.

At noen likevel velger å taste inn feil kontonummer og neglisjere at det kommer opp feil navn på mottaker kan ikke lastes banken.

Hvor mange "Er du helt sikker?"-bokser skal dukke opp før man har gjennomført en betaling?

 

Taster man inn feil beløp eller kontonummer så er man uansvarlig og burde ikke ha tilgang til nettbank. En gang er kanskje greit, men gjentar det seg så burde både kunden og banken vurdere kundeforholdet. Hvorfor skal banken (og vi andre) ta regningen for at noen er uforsiktige/uoppmerksomme/slurvete?

 

To ting gikk feil her i denne saken og det elendige systemet til banken klarte ikke luke ut noen av feilene. Dårlig design og uten tvil bankens udugelighet. Alle bør kunne forvente full fokus på sikkerhet og best mulig design på samfunnskritiske tjenester som nettbank. At andre banker har implementert slike løsninger burde jo fått banken til å innse fadesen og evt. søke regress hos utviklerne.

 

Det kom heller_aldri_noen_feilmedling. Ingen advarsler ble gitt på skjermen til kunden.

 

Begge feilene må en kunne forvente skal være umulig å gjøre i noe så kritisk som en nettbank. Best_practises tilser at slikt skal legges inn i systemet til bankene.

 

1: Banken kunne enkelt lagt inn et system som ga feilmelding om du taster inn mer enn 11 sifre for kontonummer. ALLE_KONTOER i norske banker har 11 sifre. Altså er det helt logisk å nekte deg å taste inn 12 eller flere sifre. Ingen feilmelding kom opp da den gamle damen tastet kontonummer, (dette ble senere replikert og bekreftet av banken) og systemet ignorerte likevel 1 siffer da systemet viste det skulle være max 11 sifre. Altså skulle man forvente at det her dukket opp feilmelding. Resultatet ble jo rene lottotrekningen om hvilken konto pengene da gikk til.

 

2: Nettbanken sjekket heller ikke at det var en match mellom navnet på innskrevet kontohaver og eieren av kontoen som ble tastet inn. Også dette en grov feilvurdering fra de som designet systemet. En enkel match ville gjort transaksjonen umulig og damen ville oppdaget feilen. Men som sagt det kom aldri noen feilmelding på skjermen til brukeren.

 

Kvinnen måtte selv ta hele tapet på en halv million kroner. Penger hun hadde brukt et helt liv for å spare. Et helt liv i nøysomhet for å hjelpe neste generasjon i etableringsfasen. Alt forsvant til en tilfeldig alkis. Banken burde tatt tapet. En halv mill ville vært en billig lærepenge for banken.

Endret 17. februar 2011 av mrs.robinson

[oslo72]

Jeg er fortsatt enig med deg, som jeg skriver ovenfor...

Men når man taster feil kontonummer OG klikker godta når det kommer opp et vilt fremmed navn gjør man to store slurvefeil på rad. Klikker man "Godta" så skal man tross alt ha lest det som står på skjermen - og ihvertfall dobbeltsjekke siden det var så stort beløp.

Jeg kjenner ikke hele saken du sikter til, så jeg vet ikke hvilken godkjennelsesprosedyre kvinnen måtte igjennom, men dersom hun har fått opp navnet på mottakeren så mener jeg at banken ikke kan lastes.

 

Det er ofte jeg f.eks taster "Djuice" og kontonummeret, men får opp "Telenor Mobil" som betalingsmottaker. Dette kan være forvirrende nok i seg selv, men JEG vet at det på en måte stemmer. Dersom denne kvinnen har skrevet "Datter Dattersen" og får opp "Tørste Alkis" så burde det ringe noen bjeller... Nå sier jeg ikke at denne dama virkelig fikk opp denne dialogboksen, men hun burde uten tvil ha mottatt noe slikt - alt annet mener jeg banken får ta skylden.

 

Ingen ting kan gjøres 100% idiotsikkert, selv ikke bankene.

 

En annen ting som kan gjøres annerledes er UTENLANDSbetalinger. Der er det jo totalt uoversiktlig hvem som egentlig mottar pengene. Et IBAN-nummer på ørten tegn, et bankkonto/postgironummer med ulik lengde etc. Jeg er rimelig oppegående (min påstand), men selv jeg blir rimelig skjelven når jeg skal betale skatt og forsikring til Sverige - i en svensk nettbank (Skandia).

[Beritaron]

Men når man taster feil kontonummer OG klikker godta når det kommer opp et vilt fremmed navn gjør man to store slurvefeil på rad. Klikker man "Godta" så skal man tross alt ha lest det som står på skjermen - og ihvertfall dobbeltsjekke siden det var så stort beløp.

Personer man har betalt til tidligere ligger jo inne med navn, og da er man nokså sikre på at kontonummer man har ført på mottager stemmer om disse ikke har påpekt manglede betalinger. På enkelte kontonumre vil navn dukke opp, som f.eks firmaer, butikker, o.l., og man vil kunne kontrollere om mottager stemmer i tilfellet man har skrevet inn feil kontonummer.

 

Om du betaler en regning til en privatperson for første gang (som dermed ikke ligger i oversikten din), så har du ingen garanti for at det er korrekt. Det kan hende mottager har gjort en skrivefeil, eller om det er sagt over telefon vært noen missforståelser, og du kan selv ha tastet inn feil nummer. Du vil da ikke få informasjon om hvem mottager er. Årsaken til dette kan kanskje ha noe med personvern?

[mrs.robinson]

Jeg er fortsatt enig med deg, som jeg skriver ovenfor...

Men når man taster feil kontonummer OG klikker godta når det kommer opp et vilt fremmed navn gjør man to store slurvefeil på rad. Klikker man "Godta" så skal man tross alt ha lest det som står på skjermen - og ihvertfall dobbeltsjekke siden det var så stort beløp.

Jeg kjenner ikke hele saken du sikter til, så jeg vet ikke hvilken godkjennelsesprosedyre kvinnen måtte igjennom, men dersom hun har fått opp navnet på mottakeren så mener jeg at banken ikke kan lastes.

 

Det er ofte jeg f.eks taster "Djuice" og kontonummeret, men får opp "Telenor Mobil" som betalingsmottaker. Dette kan være forvirrende nok i seg selv, men JEG vet at det på en måte stemmer. Dersom denne kvinnen har skrevet "Datter Dattersen" og får opp "Tørste Alkis" så burde det ringe noen bjeller... Nå sier jeg ikke at denne dama virkelig fikk opp denne dialogboksen, men hun burde uten tvil ha mottatt noe slikt - alt annet mener jeg banken får ta skylden.

 

 

Joda men problemet til hun gamle damen var jo at det ikke ble vist på skjermen at mottaker var Tørste_Alkis. Sålenge ingen feilmeldinger ble gitt burde ansvaret ligge hos banken.

[nomore]

Ingen erstatning fra banken fordi hun hadde tastet et nummer for mye i nettbanken.

Likevel måtte hun ta tapet.

Det stemmer ikke. Hun fikk tilbake det som var igjen av pengene fra vedkommende hun overførte de til, og resten dekket banken(etter mange års saksgang).

http://www.vg.no/dinepenger/artikkel.php?artid=513506

 

Resultatet har vært tiltak i nettbanken som gjør det sikrere.

 

Når det gjelder dette med at navn på kontoeier dukker opp så har dette vært i de fleste nettbanker tidligere(i det minste de eg har brukt), men er nå stort sett fjernet av hensyn til personvern. Unntaket er bedrifter, og kanskje personer i samme bank som deg.

 

Når det gjelder postkasse eksempelet. Hvordan kan banken lastes her? Firmaet har kjøpt/brukt gyldige giroblanketter, fylt disse ut i henhold til kravene og sendt denne til kunden. En svindler har så fisket den ut av postkassen, skannet den inn, manipulert kontonummeret og sendt den på nytt igjen. Hvordan kan banken lastes for noe her?

 

Om noen skal kritiseres i det tilfellet så er det svindleren. Det er ikke mulig å gjøre hele hverdagslivet vårt fool-proof. Da blir enkelte ting vanskeligere å bruke, enkelte ting blir ikke lov og man ender opp med redusert tjenestetilbud. I Norge har vi lett for å kritisere "systemet" eller ansiktsløse bedrifter.

 

"Oi, eg ble svindlet! Det er banken sin skyld! Hvordan er det mulig??? Stakkars svindler. Er sikkert et offer h*n også."

[mrs.robinson]

 

Det stemmer ikke. Hun fikk tilbake det som var igjen av pengene fra vedkommende hun overførte de til, og resten dekket banken(etter mange års saksgang).

http://www.vg.no/dinepenger/artikkel.php?artid=513506

 

Resultatet har vært tiltak i nettbanken som gjør det sikrere.

 

 

Når det gjelder postkasse eksempelet. Hvordan kan banken lastes her? Firmaet har kjøpt/brukt gyldige giroblanketter, fylt disse ut i henhold til kravene og sendt denne til kunden. En svindler har så fisket den ut av postkassen, skannet den inn, manipulert kontonummeret og sendt den på nytt igjen. Hvordan kan banken lastes for noe her?

 

 

 

Om det er slik at saken løste seg for den gamle damen så er det jo flott, fikk ikke opp linken din.

 

Når det gjelder den svindelsaken så er det jo det samme igjen da vet du. Systemet sjekker ikke at det er match mellom det kontonummeret du legger inn og navnet på mottaker. I svindeleksemplet så er jo opprinnelig mottaker av pengene er registrert foretak. Altså burde det være enkelt for systemet å se at navnet, altså foretaks-navnet ikke matcher kontoinnehaver.

 

Hva som er årsaken til at ikke alle nettbanker gjør dette automatisk for både foretak og privatpersoner vet jeg ikke, men der bør det straks ryddes opp. Er det hindringer i forhold til gjeldende regelverk bør bankene ta en runde med myndighetene. For svindel øker i omfang og må bekjempes.

Endret 17. februar 2011 av mrs.robinson

[nomore]

Problemet med sjekk av navn kan være så mangt. For eks kan registrert foretaksnavn være noe helt annet enn navnet som man bruker i markedsføring.

 

For eks kan man fint eie selskapet Rørlegger Johannsen, Didriksen, Eriksen og Sønner ANS, mens man bruker navnet Lokalrørleggerene på brevark, nettside, e-post osv. Og hvermansen forstår kanskje ikke at det allikevel stemmer dersom nettbanken gir en advarsel. Og, for at en advarsel faktisk skal dukke opp så krever det at man skriver inn navnet man tror er korrekt først. Det er det vel bare et fåtall som gjør(som eg kjenner til i det minste), og da er man like langt.

 

Og så har man de tilfellene der det ikke fungerer, nettopp av hensyn til personvern. Om rørleggeren har et enkeltmannsforetak så vil da ikke navnet på eier av konto dukke opp. Da vil man ha en situasjon hvor man får opp navn i noen tilfeller, og i noen tilfeller ikke. I de tilfellene man får opp navn så er det ikke alltid at man legger inn antatt navn først, og man får dermed ikke sjekket allikevel. Mao vil et slik krav være verdiløst. I det minste før, som du sier, det er ryddet mer opp i systemet og satt retningslinjer/krav på et høyere nivå.

 

Når det gjelder privat, om man så skulle slippe litt på personvernet. Hva om man eier en konto med et etternavn fra før man ble gift? Eller hva om den som betaler skriver Torleifsen, mens faktisk navn er Thorleifson? Hva med mellomnavn? Hva med om man har en felleskonto som kun viser ett navn?

 

Det er mange "hva om" mener eg, og å løse alle er umulig. Og en evnt kostnad i forbindelse med dette gjør banktjenestene dyrere. For å ikke nevne at man kan miste muligheten med å overføre til enkelte fordi det er for utrygt.

 

Eg mener alle må ta ansvar for seg selv. Skriver du feil kontonummer eller beløp er det din egen feil. Har du fått tilsendt en faktura fra en håndtverker så må du enten dobbeltsjekke med håndtverker selv, eller stole på at det er korrekt. Blir man så svindlet så ligger skylden her ene og alene på svindleren, og ikke systemet.

[Vizla]

Nomore: Det løses da ganske enkelt med en advarsel som popper opp hvor det på ene siden står det du skrev og på andre siden det som er registrert for konto og et spørsmål om du er sikker på at dette er korrekt konto.

 

At ikke alle bruker navn-feltet i dag er ingen unnskyldning for at det ikke kan implementeres og settes tvang på, nettopp for å unngå slike situasjoner som beskrevet over av mrs. robinson.(Som jeg forøvrig finner det merkverdig at endte slik det gjorde.)

Endret 17. februar 2011 av Vizla

[sk0yern]

 

 

Om det er slik at saken løste seg for den gamle damen så er det jo flott, fikk ikke opp linken din.

 

Når det gjelder den svindelsaken så er det jo det samme igjen da vet du. Systemet sjekker ikke at det er match mellom det kontonummeret du legger inn og navnet på mottaker. I svindeleksemplet så er jo opprinnelig mottaker av pengene er registrert foretak. Altså burde det være enkelt for systemet å se at navnet, altså foretaks-navnet ikke matcher kontoinnehaver.

 

Hva som er årsaken til at ikke alle nettbanker gjør dette automatisk for både foretak og privatpersoner vet jeg ikke, men der bør det straks ryddes opp. Er det hindringer i forhold til gjeldende regelverk bør bankene ta en runde med myndighetene. For svindel øker i omfang og må bekjempes.

 

Det er flere årsaker til at dette ikke er implementert.

For det første, det ville kreve at alle banker til enhver tid utvekslet data om hvilke kunder som hadde hvilke konti. Dersom man åpnet en ny konto, vil ikke kunne overføre penger til denne fra en annen bank, før denne banken hadde fått beskjed om hvem som stod som eier.

 

For det andre, dersom dette hadde vært mulig, blir det enkelt å lage seg registre der man knytter kontonummer opp mot navn. Jeg vil ikke at du skal finne ut hvilke kontoer som tilhører meg.

[Vizla]

For det andre, dersom dette hadde vært mulig, blir det enkelt å lage seg registre der man knytter kontonummer opp mot navn. Jeg vil ikke at du skal finne ut hvilke kontoer som tilhører meg.

Hvordan skal man finne ut av hvilke kontoer som tilhører deg? Ganske enkelt hindre at man kan søke på navn..

[oslo72]

For det andre, dersom dette hadde vært mulig, blir det enkelt å lage seg registre der man knytter kontonummer opp mot navn. Jeg vil ikke at du skal finne ut hvilke kontoer som tilhører meg.

Hvordan skal man finne ut av hvilke kontoer som tilhører deg? Ganske enkelt hindre at man kan søke på navn..

Det er bare å ringe banken og utgi deg for å være kunden. De færreste bankene spør om fødselsnummer etc før det blir snakk om eventuelle overføringer. "Hei, det er Navn Navnesen. Jeg skulle gjerne sjekke saldoen på kontoene min, men jeg husker ikke kontonummerene. Hvilken konto har jeg mest på?".

 

Scary, men dessverre dagens situasjon...

[sk0yern]

Hvordan skal man finne ut av hvilke kontoer som tilhører deg? Ganske enkelt hindre at man kan søke på navn..

Logg på nettbank, klikk på betaling, tast inn Kjell Inge Røkke, tast inn et kontonummer.

"feil, konto og navn samsvarer ikke". Gjenta prosess med nytt kontonummer. Krever tålmodighet, men absolutt fullt mulig.

 

I tillegg vil løsningen føre til at banker vil kjenne til hvilke kunder andre banker har, neppe ønskelig. Siden dette er data som blir spredd til alle landets banker, vil dataene også være tilgjengelig for en rekke mennesker. Dette øker risiko for at data kommer på avveie.

[Abigor]

Eller gjøre det enklere, gå motsatt vei. Tast in tilfeldig kontonummer, få navn og gjør bakgrunnssjekk på den personen. Da finner du fort ut av adresse, telefonnummer, alder, inntekt og formue.

[Beritaron]

Går det ikke an å legge til en førstegangsbetalingstjeneste for de som ønsker å benytte dette som gjør at pengene er satt som "til utlevering" synlig for både mottager og sender, så kan mottager bekrefte at pengene er på vei til sin konto, deretter kan sender bekrefte overføringen. Eventuelt at mottager og betaler kan godkjenne sine kontonummere i forkant før betaling i det heletatt finner sted.

 

Det er vel heller svært få tilfelle feil forekommer, og sikkert ikke mange som tar seg bryet å benytte seg av disse metodene. Om man også plutselig får et beløp inn på kontoen som kommer fra det blå er man pliktig til å si ifra og levere tilbake pengene uansett, det er jo ikke alle som har oversikt over hvor mye man har på kontoen til en hver tid, så noe av beløpet kan jo bli brukt uten at mottager er klar over dette, og bør da ikke stå til ansvar for dette om det er innen rimelighetens grenser.

 

Om jeg skal betale noen over nettbank, så forsikrer jeg meg at jeg har fått deres kontonummer skriftlig, helst via en måte jeg kan kopiere og lime inn nummeret. Om jeg har fått det skriftlig på måter der dette ikke er mulig er det mitt ansvar å dobbelt-sjekke nummeret, men er det feil så slipper det å bli krangling om hver som er årsaken.