ABN-Amro klanten geskimd in bankfiliaal
Criminelen hebben de kaartlezer van de ABN Amro gekraakt en gebruikt voor het skimmen van klanten die in filialen gingen internetbankieren, zo liet het Financieel Dagblad dit weekend weten. Eind 2008 werd de fraude voor het eerste ontdekt, alleen was het voor politie toen nog onduidelijk hoe de gegevens gestolen waren. In maart vorig jaar werden twee Roemeense criminelen opgepakt, die ook deze nagemaakte passen bij zich hadden. Wederom bleef de leverancier van de kaarten onbekend. Die werd per stom toeval in Groot-Brittannië ontdekt. Het gaat om ene Clive M.
Rechercheurs ontdekken bij hem een verzameling losse kaartlezers om te kunnen internetbankieren bij ABN Amro, Rabobank en Fortis. Verder onderzoek wijst uit dat M. de apparaatjes in kleine skimmachines heeft omgetoverd. "Hij is erin geslaagd de zogeheten e.dentifier van ABN Amro te kraken", aldus het FD. Zijn Roemeense handlangers kregen vervolgens opdracht om de gemanipuleerde kaartlezers in de bankfilialen te vervangen. "De banken zijn geïnfiltreerd met kleine groene Trojaanse paarden."
Schade
Maandenlang worden de gegevens gekopieerd van klanten die hun kaart in de apparaatjes bij de bank steken om te internetbankieren. De gekraakte kaartlezer onthoudt de ingetoetste pincode en alle gegevens van de chip op de betaalpas. Na verloop van de tijd komen de criminelen langs in de betreffende filialen om de verzamelde gegevens te 'downloaden'. Hiervoor gebruiken ze een speciale code op de kaartlezer, die vervolgens alle gegevens op een speciaal gemaakte pas kopieert. Die pas wordt naar M. gestuurd, die er vervolgens valse betaalpassen van maakt en onder Roemeense criminelen verspreidt.
Eenmaal gealarmeerd vervangt de ABM Amro alle e.dentifiers door nieuwe exemplaren .De schade bedraagt volgens de bank 'slechts' 1,5 miljoen euro in vier maanden. Allemaal omdat de werkplaats van M. bij toeval werd ontdekt. Het meesterbrein achter de skimoperatie is inmiddels aan Nederland uitgeleverd.
Lekker slim
Hoe is het dan in vredesnaam mogelijk dat deze terminals door kleine groene Trojaanse paarden zijn geinfiltreerd? Waarom hoeven banken zich niet aan regels te houden die ze wel aan hun klanten voorschrijven? Afgelopen week nog werd bekend dat een Duitse man van 16 jaar in de websites van 17 Duitse banken lekken had gevonden (zie http://www.heise.de/security/meldung/16-jaehriger-demonstriert-Sicherheitsluecken-bei-17-Banken-1104841.html). Zou het met de Nederlandse bank-websites veel beter gesteld zijn?
(*) zie https://secure.security.nl/artikel/34746/1/Juridische_vraag%3A_mag_bank_virusscanner_verplichten%3F.html N.B., mijn commentaar heeft niet als doel Arnoud te bekritiseren.
Het gaat om de zogeheten e.dentifier, die plastic rekenmachientjes.
Ik begrijp dat je niet letterlijk "virusscanners" en/of "firewalls" zoals te koop voor o.a. Wintel PC's op kaartlezers kunt installeren. Dat neemt niet weg dat vergelijkbare technologie (HIPS/HIDS) denkbaar is voor dat soort devices. Je zou bijv. een chip kunnen plaatsen die het uitgewisselde verkeer met de kaart op anomalies scant (grote hoeveelheden data zouden dan voor een alarm kunnen zorgen). Die chip kan vanaf een bewakingssysteem worden gemonitord. Valt de verbinding weg of is er een probleem met de integriteit van die chip, onderzoek de boel dan.
Tenzij de security mensen van ABN Amro geen kranten (of dit soort websites) lezen hadden ze kunnen weten dat skimmers voortdurend op zoek zijn naar manieren om bankklanten geld af te troggelen. Klinkt mij in de oren als "dat zal ons in onze eigen filialen toch zeker niet overkomen" en/of "hier gaan we geen extra geld aan uitgeven". In elk geval was wat ik noemde, "passende maatregelen hebben getroffen om zijn computer af te sluiten voor misbruik van buitenaf", hier duidelijk niet van toepassing.
N.B. waar het mij om gaat is dat banken hun klanten een oor aan kunnen naaien als ze beroofd zijn en niet kunnen aantonen dat ze over de allerlaatste beveiligingssoftware beschikten (denk eens aan oudere mensen). E.e.a. tewijl die klanten gedwongen worden te internetbankieren op een besturingssysteem dat daar inherent ongeschikt voor is. In dat licht vind ik het helemaal een schandaal als vervolgens blijkt dat diezelfde banken geen knip voor de neus waard zijn als het gaat om het beveiligen van hun eigen producten.
Ze vergeten er altijd bij te vermelden dat dat van ons eigen geld gebeurd maar alla.
En wat weerhoudt een slimmerik om de echte chip uit te schakelen en die integriteitscheck te vervalsen?
De e-dentifier BUITEN abnamro filiaal aangepast en chipreader ingebracht, een extra processortje erin gestopt en een opslagdiootje die de gegevens en ingevoerde pin onthoudt.
Vervolgens zijn ze erin geslaagd om de e-dentifier van abnamro BINNEN de filaal te switchen met de aangepaste :)
Zoveel methoden om dit te voorkomen.. maar ja
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
