BN niet bekend met XSS-aanvallen op internetbankieren
Onlangs ontdekte een Nederlandse onderzoeker dat de websites van tien banken kwetsbaar voor Cross Site Scripting (XSS) waren, maar voor zover de Betaalvereniging Nederland kan zien zijn dit soort kwetsbaarheden nog nooit in Nederland gebruikt voor het uitvoeren van aanvallen op internetbankieren.
Dat blijkt uit antwoord van minister Dijsselbloem van Financiën op Kamervragen van PvdA-Kamerleden Nijboer en Oosenbrug. De onderzoeker die het probleem ontdekte stelde dat de gevonden XSS-kwetsbaarheid voor phishingaanvallen gebruikt had kunnen worden. Hierbij had een aanvaller het slachtoffer wel eerst naar een kwaadaardige website moeten lokken, bijvoorbeeld door een e-mail te versturen.
Volgens Dijsselbloem (pdf) testen de banken zelf op beveiligingslekken en zorgen ze dat hun systemen regelmatig worden geüpdatet. Toch zijn dergelijke beveiligingsproblemen nooit helemaal uit te sluiten, aldus de minister. Hij merkt verder op dat het probleem van cross site scripting vaker is geconstateerd en eerder is aangepakt door de banken. De Betaalvereniging Nederland heeft de minister laten weten dat het niet bekend is met aanvallen waarin gebruik werd gemaakt van het inmiddels verholpen XSS-lek of vergelijkbare lekken.
Maar tot er meer over bekend is lijkt het mij verstandig om niet met MSIE te internetbankieren (als ik me niet vergis staan er nog wat meer lekken in open).
Addon for Mozilla browsers
https://en.wikipedia.org/wiki/NoScript
Internetbankieren is zelfs mogelijk met hoog ingestelde NoScript bescherm-settings, sommige scripts van het bankdomein zal je soms moeten toestaan, wat niet betekent dat alle beschermende maatregelen van NoScript niet meer werken.
Die bescherming blijft recht overeind, afhankelijk van wat je hebt geactiveerd.
Probeer het zelf maar eens met Firefox of een andere mozilla based browser.
Vijftig smaken sufheid, denk ik dan.
Gelukkig zijn er bijna geen sql injections meer mogenlijk zijn.
Onderzoek naar fraude omvat oa dat de banken zo goed mogelijk op de hoogte proberen te blijven van aanvallen op hun systemen en hun klanten.
Als je graag wil geloven dat iets impliceert, zorg er dan op zijn minst voor dat je een goede onderbouwing hebt. Of zoek je graag overal wat achter waar je aluminium hoedje naar staat?
Vijftig smaken sufheid, denk ik dan.
Daarnaast is de gecontroleerde toepassing van spreekwoordelijke aluhoedjes* een noodzakelijk gereedschap van de beveiliger, ook wel genoemd "professionele paranoia".
Maargoed, die ontkoppeling bestaat dus wel maar komt voort uit partieele aanbesteding waardoor de afstand tussen de verschillende stukjes kennis en kunde groter is dan ik dacht te zien.
* Echte aluhoedjes trekken juist overheids-gedachtencontrole-stralen aan, zoals een MIT-onderzoek een tijdje terug aantoonde. Zie "On the Effectiveness of Aluminium Foil Helmets: An Empirical Study".
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
