Bank aangeklaagd wegens twee-factor authenticatie
Een Amerikaan bedrijf heeft haar bank aangeklaagd wegens het gebruik van twee-factor authenticatie voor het beveiligen van internetbankieren. Experi-Metal Inc. (EMI) werd vorig jaar slachtoffer van een phishingaanval, waarbij aanvallers ruim 400.000 euro buitmaakten. In eerste instantie gebruikte de Comerica bank certificaten voor het beschermen van online bankrekeningen. Klanten kregen dan eens per jaar een e-mail met een link om een nieuw certificaat te downloaden. Vanwege de fraudegevoeligheid van dit proces besloot de bank in 2008 op twee-factor authenticatie over te stappen. Klanten kregen naast hun gebruikersnaam en wachtwoord ook een token voor het generen van codes.
Op 22 januari ontving een werknemer van EMI een phishingmail, die afkomstig van Comerica leek. De bank beweerde dat er werkzaamheden aan de banksoftware plaatsvonden en de ontvanger alleen via de vermelde link kon inloggen. De werknemer opende de vervalste pagina en logde in met de inloggegevens en gegenereerde security-token. Bijna meteen begonnen de aanvallers met het plunderen van EMI's rekening. In een periode van zo'n drie uur werden 47 transacties naar China, Estland, Finland, Rusland en Schotland gedaan. De bank zou na deze transacties EMI hebben ingelicht, waarop het bedrijf vroeg alle transacties te stoppen, maar uiteindelijk vonden er nog eens 38 transacties plaats. In totaal wisten de aanvallers 407.000 euro te stelen.
Acceptabel
"Op het moment dat Comerica EMI liet overstappen naar de secure token methodologie, wist of had Comerica moeten weten dat experts in de industrie de secure token methodologie, die twee-factor authenticatie gebruikt, al hadden bekritiseerd", aldus één van de aanklachten tegen de bank. Die beweert dat de phishingsite voor elke "alerte persoon" herkenbaar had moeten zijn. Daarnaast houdt het vol dat de gebruikte beveiliging acceptabel is, aangezien ook andere banken die gebruiken.
Het gedrag van de bank dat ze steeds meer beveiligen zal ze in de rechtbank veel helpen.
... only in America...
De betere methodes waren vast veel te duur om te implementeren. En ach "wat kan ons nu overkomen"?
1) geld kwijt, verzekeringspremie dus omhoog
2) reputatie schade van hier tot ginder
3) en een mooi ingewikkeld proces aan de broek
Alles bij elkaar kost dit veel meer geld dan het implementeren van die betere technieken.
Volgende keer vooral niet luisteren naar je IT personeel!
Sorry, maar het huisdieren in de magnetron verhaal is (ook) een broodje aap. Dat is inmiddels algemeen bekend dacht ik? Het is (meen ik) wel een proef-rechtzaak geweest, die verloren is door de aanklager. Er is er nog een van een jongedame die haar haar wilde drogen in de magnetron en dat niet meer kon navertellen. Heerlijke verhalen waar veel mensen intrappen... Het is net een phishing-mail ;-)
Natuurlijk kan dit systeem gekraakt worden maar niet in de tijd die de standaard cyber crimineel eraan wil spenderen.
Een MiTM attack is, ook wanneer HTTPS wordt gebruikt erg simpel, zolang de aanval maar plaats vindt op je desktop. Immers werkt vrijwel iedere banking trojan op deze wijze. De verbinding tussen je PC en de bank mag dan wel encrypted zijn; dat wil niet zeggen dat op je PC geen informatie onderschept kan worden, of dat je betaalopdrachten niet gemanipuleerd kunnen worden m.b.v. malware.
Sorry, maar het huisdieren in de magnetron verhaal is (ook) een broodje aap. Dat is inmiddels algemeen bekend dacht ik? Het is (meen ik) wel een proef-rechtzaak geweest, die verloren is door de aanklager. Er is er nog een van een jongedame die haar haar wilde drogen in de magnetron en dat niet meer kon navertellen. Heerlijke verhalen waar veel mensen intrappen... Het is net een phishing-mail ;-)
Net als die arabier met zijn cruise control.
Feit is dat er in Amerika ontelbaar waarschuwingen op bijvoorbeeld een ladder staan puur om zich in te denken tegen dit soort rechtszaken. Voor een niet amerikaan is dit vreemd en aanleiding tot dit soort broodje aap verhalen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
