Mobiele nummer bitcoinbezitters overgenomen door criminelen
Tientallen eigenaren van bitcoin en andere cryptocurrency zijn de afgelopen maanden het doelwit geworden van criminelen die hun mobiele nummer overnamen om zo toegang tot belangrijke accounts te krijgen. Een van de slachtoffers verloor 150.000 dollar, zo laat de New York Times weten.
De criminelen bellen telecomproviders op en doen zich voor als de bitcoinbezitter waar ze het op hebben gemunt. Via social engineering proberen ze vervolgens het mobiele nummer over te nemen en op een toestel te zetten waar zij de controle over hebben. Via het mobiele nummer kunnen vervolgens wachtwoorden van allerlei accounts worden gereset. "Van iedereen die ik op het gebied van cryptocurrency ken is het telefoonnummer gestolen", zegt bitcoin-ondernemer Joby Weeks. Hij zou op deze manier een miljoen dollar aan digitale valuta zijn verloren.
De aanvallers lijken zich te richten op iedereen die op social media praat over het bezitten van cryptocurrency en personen die bekend staan om het investeren in cryptocurrency-bedrijven, zoals durfinvesteerders. De Amerikaanse toezichthouder FTC liet vorig jaar weten dat het melding van bijna 2700 slachtoffers had ontvangen van wie het mobiele nummer was overgenomen. Telecomproviders bieden wel opties om de accounts van klanten beter te beschermen, zoals een pincode. Er zijn echter ook gevallen bekend waarbij werknemers via social engineering werden verleid om het mobiele nummer zonder de benodigde pincode toch op een ander toestel te zetten.
Op zich is dat al interessant, maar het geeft ook aan dat "beveiligingsmaatregelen" als het vereisen van een telefoonnummer stoelen op aannames die kennelijk niet opgaan. Zoals hier de gedachte dat een mobiel nummer belangrijk voor je is en je er dus wel zuinig op zal zijn. Leuk gedacht, maar daar hebben criminelen lak aan, dus die motivatie voegt geen veiligheid toe, maar legt wel extra druk op de accounthouder (en wellicht aanstaand slachtoffer).
Dit is dus een denkfoutje, in zekere zin vergelijkbaar met de denkfout die je terugziet bij voorstanders van biometrie. Denk maar na waarom.
Of liever, het is niet zozeer een denkfout, het laat zien dat (in beide gevallen) de motivatie voor die "beveiliging" er niet is voor de accounthouder, maar om de andere partij uit de wind te houden. "Voor uw en onze veiligheid" is dus minus het "uw en", terwijl het meestal wel de accounthouder extra werk en rompslomp kost. Slim he?
1 (EEN) e-mail naar het bij de vorige provider bekende e-mailadres.
Soms nog een SMS van de oude provider,
maar als die foon alleen maar actief gebruikt wordt in speciale gevallen dan zie je die ook niet.
Dan is de Google Authenticator toch een zekerder methode. Bij de Google Authenticator moet de code echt door dat ene apparaat aangemaakt zijn.
Dan is de Google Authenticator toch een zekerder methode. Bij de Google Authenticator moet de code echt door dat ene apparaat aangemaakt zijn.
Dat is het al jaren. SMS is jaren geleden al gehacked via het GSM signaal. Kost ongeveer 1000 euro en je kunt zendmasten kapen. Echt, dat bedrijven nog steeds roepen dat 2 factor met SMS veilig is, zijn achterlijk. Daarom heb ik dat nog nooit dat aangezet, en heb ik zeker nog nooit een 06 achter gelaten. Alle diensten die een 06 nodig achten om te kunnen werken zijn onveilig.
http://securityaffairs.co/wordpress/31262/hacking/flaws-ss7-protocol-spy-on-phone.html
https://fedotov.co/ss7-hack-tutorial-software/
TheYOSH
Wat? Maar je hebt toch een aparte telefoon voor de TAN codes? En een aparte telefoon voor je andere bank? En een aparte telefoon voor je digid? Vul maar in, verder.
Wat? Maar je hebt toch een aparte telefoon voor de TAN codes? En een aparte telefoon voor je andere bank? En een aparte telefoon voor je digid? Vul maar in, verder.
Eigenlijk heb je alleen maar aparte sim-kaarten nodig en een apparaatje waarmee je die gebruikt om SMS te ontvangen, nieuw idee voor de markt?
Dan is de Google Authenticator toch een zekerder methode. Bij de Google Authenticator moet de code echt door dat ene apparaat aangemaakt zijn.
Op echte 2 factor verificatie moet het overnemen van een telefoonnummer geen impact hebben, aangezien ook nog je wachtwoord vereist is.
Geen enkele authenticatie helpt tegen menselijk falen.
Op zich is dat al interessant, maar het geeft ook aan dat "beveiligingsmaatregelen" als het vereisen van een telefoonnummer stoelen op aannames die kennelijk niet opgaan. Zoals hier de gedachte dat een mobiel nummer belangrijk voor je is en je er dus wel zuinig op zal zijn. Leuk gedacht, maar daar hebben criminelen lak aan, dus die motivatie voegt geen veiligheid toe, maar legt wel extra druk op de accounthouder (en wellicht aanstaand slachtoffer).
Dit is dus een denkfoutje, in zekere zin vergelijkbaar met de denkfout die je terugziet bij voorstanders van biometrie. Denk maar na waarom.
Of liever, het is niet zozeer een denkfout, het laat zien dat (in beide gevallen) de motivatie voor die "beveiliging" er niet is voor de accounthouder, maar om de andere partij uit de wind te houden. "Voor uw en onze veiligheid" is dus minus het "uw en", terwijl het meestal wel de accounthouder extra werk en rompslomp kost. Slim he?
zeer intelligente redenatie die ik zeker kan volgen.....
Dit gebrek aan veiligheid op de digitale infrastructuur wordt weerspiegeld in de reële wereld van elke dag,
omdat het ene een aspect is van het andere. Pakkans gering, winst geoptimaliseerd.
Je je dit ieder moment realiseren kan je helpen, al denk je volgens geheel andere patronen als de cybercrimineel.
Sommige bedrijven laten personeel al chippen, dan blijven ze wie ze zijn ondanks de eventuele diefstal van hun BSN.
Voor BIC en SWIFT zijn we allemaal alleen nog maar "nummers".
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
