BN niet bekend met XSS-aanvallen op internetbankieren
Onlangs ontdekte een Nederlandse onderzoeker dat de websites van tien banken kwetsbaar voor Cross Site Scripting (XSS) waren, maar voor zover de Betaalvereniging Nederland kan zien zijn dit soort kwetsbaarheden nog nooit in Nederland gebruikt voor het uitvoeren van aanvallen op internetbankieren.
Dat blijkt uit antwoord van minister Dijsselbloem van Financiën op Kamervragen van PvdA-Kamerleden Nijboer en Oosenbrug. De onderzoeker die het probleem ontdekte stelde dat de gevonden XSS-kwetsbaarheid voor phishingaanvallen gebruikt had kunnen worden. Hierbij had een aanvaller het slachtoffer wel eerst naar een kwaadaardige website moeten lokken, bijvoorbeeld door een e-mail te versturen.
Volgens Dijsselbloem (pdf) testen de banken zelf op beveiligingslekken en zorgen ze dat hun systemen regelmatig worden geüpdatet. Toch zijn dergelijke beveiligingsproblemen nooit helemaal uit te sluiten, aldus de minister. Hij merkt verder op dat het probleem van cross site scripting vaker is geconstateerd en eerder is aangepakt door de banken. De Betaalvereniging Nederland heeft de minister laten weten dat het niet bekend is met aanvallen waarin gebruik werd gemaakt van het inmiddels verholpen XSS-lek of vergelijkbare lekken.
Maar tot er meer over bekend is lijkt het mij verstandig om niet met MSIE te internetbankieren (als ik me niet vergis staan er nog wat meer lekken in open).
Addon for Mozilla browsers
https://en.wikipedia.org/wiki/NoScript
Internetbankieren is zelfs mogelijk met hoog ingestelde NoScript bescherm-settings, sommige scripts van het bankdomein zal je soms moeten toestaan, wat niet betekent dat alle beschermende maatregelen van NoScript niet meer werken.
Die bescherming blijft recht overeind, afhankelijk van wat je hebt geactiveerd.
Probeer het zelf maar eens met Firefox of een andere mozilla based browser.
Vijftig smaken sufheid, denk ik dan.
Gelukkig zijn er bijna geen sql injections meer mogenlijk zijn.
Onderzoek naar fraude omvat oa dat de banken zo goed mogelijk op de hoogte proberen te blijven van aanvallen op hun systemen en hun klanten.
Als je graag wil geloven dat iets impliceert, zorg er dan op zijn minst voor dat je een goede onderbouwing hebt. Of zoek je graag overal wat achter waar je aluminium hoedje naar staat?
Vijftig smaken sufheid, denk ik dan.
Daarnaast is de gecontroleerde toepassing van spreekwoordelijke aluhoedjes* een noodzakelijk gereedschap van de beveiliger, ook wel genoemd "professionele paranoia".
Maargoed, die ontkoppeling bestaat dus wel maar komt voort uit partieele aanbesteding waardoor de afstand tussen de verschillende stukjes kennis en kunde groter is dan ik dacht te zien.
* Echte aluhoedjes trekken juist overheids-gedachtencontrole-stralen aan, zoals een MIT-onderzoek een tijdje terug aantoonde. Zie "On the Effectiveness of Aluminium Foil Helmets: An Empirical Study".
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer
Grijp deze unieke kans voor carrière-ontwikkeling in informatiebeveiliging! Bij Esri bouw je vertrouwensrelaties op en help je zowel ons als onze klanten veiligere technologie te gebruiken. Ben jij de ervaren Security Officer die energie krijgt van werken in 'twee werelden'? Solliciteer dan nu!
Security Specialist Malware
NCSC
Zit cybersecurity diep in je DNA? Heb jij het in je om op het moment dat het er echt toe doet samen met je collega’s tot de juiste (technische) oplossing te komen? Als security specialist malware bij het Nationaal Cyber Security Centrum (NCSC) doe jij er alles aan om de impact van digitale dreigingen te verminderen en incidenten tegen te gaan.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
No more ransomware!
De nieuwe Ransomware Awareness Experience training biedt een realistische maar vooral leuke introductie in de wereld van ransomware. De deelnemers ervaren hoe eenvoudig een organisatie het slachtoffer kan worden van ransomware en leren meteen hoe een besmetting kan worden voorkomen!