"Banken hebben moeite met eigen veiligheidsvoorschriften"
Banken hebben voor consumenten allerlei veiligheidsregels opgesteld die moeten worden nageleefd, maar als het om de eigen veiligheidsvoorschriften gaat blijken banken hier de nodige moeite mee te hebben, zo stelt de Consumentenbond aan de hand van eigen onderzoek.
Robeco, dat sinds kort officieel geen bank meer is maar wel de veiligheidsvoorschriften van de banken hanteert, maakt het wel heel bont door complete inloggegevens per e-mail op te sturen. Volgens de klantenservice van Robeco kan een ander daar niets mee: 'want om in te loggen is ook een e-mailadres nodig', zo laat het weten. Het e-mailadres staat echter boven de e-mail.
De ING slaat de gebruikersnaam onversleuteld op in een 'cookie' op de pc van zijn klanten als die 'gebruikersnaam onthouden' aanvinken. In Internet Explorer 11 is het zelfs mogelijk om de gebruikersnaam én het wachtwoord van ING-bankieren op te slaan. Volgens de Consumentenbond moeten klanten daar nooit mee instemmen.
In de voorwaarden van SNS en de RegioBank staat dat de klant ervoor moet zorgen dat anderen de gebruikersnaam en wachtwoord niet kunnen zien als deze worden ingetoetst, maar vervolgens staat de gebruikersnaam wel open en bloot in het invulveld en is dit niet afgeschermd door de bank. De Consumentenbond heeft de instellingen gevraagd om maatregelen te nemen.
Hoe kunnen banken dan nog met een strak gezicht enige verantwoordelijkheid bij de (gemiddelde) klant neerleggen, die nog minder kaas van beveiliging gegeten heeft dan de banken zelf.
Misschien moeten banken niet met nieuwe speeltjes (zoals NFC betalen) komen, maar eerst orde op zaken stellen in eigen huis.
Maak eens een pas op de plaats voor een jaar of twee, en ruim je rotzooi eens op.
En hang daar dan de bonussen-cultuur aan op.
Voldoet de bank niet aan de veiligheidsnormen, dan geen bonussen. Voor niemand.
En dan wel de veiligheidsnormen zoals vastgesteld door een onafhankelijk instituut. Geen eigen waar keuren.
Banken zijn inderdaad niet echt goed bezig. Dat krijg je als je mensen van buiten inhuurt. Ze moeten gewoon weer terug gaan naar eigen IT afdelingen.
-als ze aan het uitrollen zijn (ing) en er gebeurt rare zooi (asp.net tags zichtbaar aan client kant enzo) dan weten ze nergens van, vaak genoeg gebelt als ze weer eens hak op tak een andere interface of uitrol fouten hadden.
-ik garandeer je dat minimaal 1 pc op hun netwerken een standaard internet explorer + outdated flash/reader + tons of plugins draait (alle bedrijven waarvoor ik ooit heb gewerkt hebben dit soort meuk). wat de deur voor exploits openzet.
tja wij moeten veilig, zij alles aan de laars lappen
Gewoon dom en arrogant volk in dat bank wereldje, ga zo lekker door.
verslaafd aan opmaak niet aan inhoud
Wie de app gebruikt kan uit veiligheidsoverwegingen bijv. het betaallimiet via deze app op nul stellen.
Dat moet bevestigd worden d.m.v. een ooit zelfbedachte 5-cijferige code om de app te kunnen starten.
Omgekeerd kan dit limiet ook weer hoger ingesteld worden d.m.v. dezelfde 5-cijferige opstartcode!
Alle betalingen via de app moeten geautoriseerd worden: inderdaad, óók via dezelde code, i.p.v. bijv. een TAN-code.
Overboekingen van spaar- naar betaalrekeningen idem dito.
Niet zo leuk als iemand je toestel heeft gejat en over je schouder meegekeken heeft wat de opstartcode van de app is.
Die wetenschap geeft een dief onbegrensde mogelijkheden. Nog meer dan bijv. bij telebankieren via een PC.
Voor overboekingen via een PC is tenminste nog een random TAN-code nodig.
Helemaal niet grappig dus en getuigt m.i. van grote minachting voor de klant, die wel verantwoordelijk gehouden wordt voor iedere zelfstandige overboeking, welke in principe sowieso niet terug te draaien is,
Misschien bij Safari, maar bij Firefox kan het gewoon met (o.a.?) de Web Developer add-on.. Het heet: Enable Form Fields.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
