Bank aangeklaagd wegens twee-factor authenticatie
Een Amerikaan bedrijf heeft haar bank aangeklaagd wegens het gebruik van twee-factor authenticatie voor het beveiligen van internetbankieren. Experi-Metal Inc. (EMI) werd vorig jaar slachtoffer van een phishingaanval, waarbij aanvallers ruim 400.000 euro buitmaakten. In eerste instantie gebruikte de Comerica bank certificaten voor het beschermen van online bankrekeningen. Klanten kregen dan eens per jaar een e-mail met een link om een nieuw certificaat te downloaden. Vanwege de fraudegevoeligheid van dit proces besloot de bank in 2008 op twee-factor authenticatie over te stappen. Klanten kregen naast hun gebruikersnaam en wachtwoord ook een token voor het generen van codes.
Op 22 januari ontving een werknemer van EMI een phishingmail, die afkomstig van Comerica leek. De bank beweerde dat er werkzaamheden aan de banksoftware plaatsvonden en de ontvanger alleen via de vermelde link kon inloggen. De werknemer opende de vervalste pagina en logde in met de inloggegevens en gegenereerde security-token. Bijna meteen begonnen de aanvallers met het plunderen van EMI's rekening. In een periode van zo'n drie uur werden 47 transacties naar China, Estland, Finland, Rusland en Schotland gedaan. De bank zou na deze transacties EMI hebben ingelicht, waarop het bedrijf vroeg alle transacties te stoppen, maar uiteindelijk vonden er nog eens 38 transacties plaats. In totaal wisten de aanvallers 407.000 euro te stelen.
Acceptabel
"Op het moment dat Comerica EMI liet overstappen naar de secure token methodologie, wist of had Comerica moeten weten dat experts in de industrie de secure token methodologie, die twee-factor authenticatie gebruikt, al hadden bekritiseerd", aldus één van de aanklachten tegen de bank. Die beweert dat de phishingsite voor elke "alerte persoon" herkenbaar had moeten zijn. Daarnaast houdt het vol dat de gebruikte beveiliging acceptabel is, aangezien ook andere banken die gebruiken.
Het gedrag van de bank dat ze steeds meer beveiligen zal ze in de rechtbank veel helpen.
... only in America...
De betere methodes waren vast veel te duur om te implementeren. En ach "wat kan ons nu overkomen"?
1) geld kwijt, verzekeringspremie dus omhoog
2) reputatie schade van hier tot ginder
3) en een mooi ingewikkeld proces aan de broek
Alles bij elkaar kost dit veel meer geld dan het implementeren van die betere technieken.
Volgende keer vooral niet luisteren naar je IT personeel!
Sorry, maar het huisdieren in de magnetron verhaal is (ook) een broodje aap. Dat is inmiddels algemeen bekend dacht ik? Het is (meen ik) wel een proef-rechtzaak geweest, die verloren is door de aanklager. Er is er nog een van een jongedame die haar haar wilde drogen in de magnetron en dat niet meer kon navertellen. Heerlijke verhalen waar veel mensen intrappen... Het is net een phishing-mail ;-)
Natuurlijk kan dit systeem gekraakt worden maar niet in de tijd die de standaard cyber crimineel eraan wil spenderen.
Een MiTM attack is, ook wanneer HTTPS wordt gebruikt erg simpel, zolang de aanval maar plaats vindt op je desktop. Immers werkt vrijwel iedere banking trojan op deze wijze. De verbinding tussen je PC en de bank mag dan wel encrypted zijn; dat wil niet zeggen dat op je PC geen informatie onderschept kan worden, of dat je betaalopdrachten niet gemanipuleerd kunnen worden m.b.v. malware.
Sorry, maar het huisdieren in de magnetron verhaal is (ook) een broodje aap. Dat is inmiddels algemeen bekend dacht ik? Het is (meen ik) wel een proef-rechtzaak geweest, die verloren is door de aanklager. Er is er nog een van een jongedame die haar haar wilde drogen in de magnetron en dat niet meer kon navertellen. Heerlijke verhalen waar veel mensen intrappen... Het is net een phishing-mail ;-)
Net als die arabier met zijn cruise control.
Feit is dat er in Amerika ontelbaar waarschuwingen op bijvoorbeeld een ladder staan puur om zich in te denken tegen dit soort rechtszaken. Voor een niet amerikaan is dit vreemd en aanleiding tot dit soort broodje aap verhalen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Senior Veiligheidsadviseur
Ministerie van Economische Zaken en Klimaat
Een zeer dynamische en unieke functie met directe impact op de nationale veiligheid, daarover gaat deze interessante vacature. Voor de ministeries Economische Zaken & Klimaat en Landbouw, Natuur en Voedsel-kwaliteit, zorg jij dat staatsgeheime informatie optimaal beveiligd is en je adviseert over beleid en bij vragen op dit gebied.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Chief Information Security Officer
Met jou als Chief Information Security Officer werken we samen aan het inrichten van een digitale leer-, werk- en onderzoeksomgeving en investeren in digitalisering. De beveiliging van alle daarbij gebruikte middelen en informatie én het zorgen voor bewustzijn bij alle partijen is hierbij een belangrijke pijler. Daar kom jij in beeld.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.