Taakstraf en geldboete voor fraude met ov-chipkaarten
De Rechtbank Rotterdam heeft een verdachte voor het frauderen met ov-chipkaarten veroordeeld tot een taakstraf en geldboete. De verdachte hield zich in 2014 bezig met het opwaarderen van het saldo van ov-chipkaarten. Vervolgens werden deze kaarten aan anderen gegeven, die het saldo op de kaarten verschillende malen contant lieten uitbetalen. Daarna werden de kaarten weer opgewaardeerd.
Trans Link Systems (TLS,) uitgever van de ov-chipkaart en beheerder van tegoeden van ov-chipkaarthouders, ontdekte dat er in april 2014 was gefraudeerd met vier ov-chipkaarten. Het beginsaldo van de transacties op de kaarten kon niet worden gerelateerd aan het eindsaldo van de voorgaande transactie. Zonder dat dit zichtbaar was in de systemen van TLS had iemand het saldo op de kaarten opgewaardeerd.
Verder bleek dat de betreffende kaarten voor een "refund" waren aangeboden aan de balie van Rotterdam Centraal en bij de servicewinkel van de RET. Daarbij kregen de kaarthouder telkens het gehele kaartsaldo contant uitbetaald. In december 2014 vond er een huiszoeking bij de verdachte plaats, waarbij een laptop werd aangetroffen met daarop software die het mogelijk maakt om ov-chipkaarten te manipuleren en software om kaartlezers van een bepaald type te laten functioneren. In de auto van de partner van de verdachte werd eenzelfde type kaartlezer aangetroffen.
Volgens de rechter staat vast dat de verdachte het saldo op de ov-chipkaarten heeft aangepast. "Door dit handelen is niet alleen vervoersbedrijf RET misleid, maar is ook Trans Link Systems als beheerder van het betaalsysteem benadeeld. Bovendien is door dit handelen het vertrouwen in het elektronische gegevensverkeer geschaad. Slechts door de alerte reactie van de afdeling clearing & settlement van TLS is aan dit handelen een einde gekomen en is de schade beperkt gebleven", aldus het vonnis.
De rechter veroordeelde de verdachte wegens computervredebreuk, oplichting en het in bezit hebben van een technisch hulpmiddel dat hoofdzakelijk geschikt gemaakt of ontworpen is tot het plegen van een misdrijf, namelijk een kaartschrijver/kaartlezer en daarbij behorende software, tot een geldboete van 2.000 euro en onvoorwaardelijke taakstraf van 60 uur. Bij het bepalen van de taakstraf heeft de rechter rekening gehouden met de "forse overschrijding" van Artikel 6 van het Europees Verdrag voor de Rechten van de Mens, dat het recht op een eerlijk proces moet waarborgen.
Als die mafketels een technologie aan mensen geven die zo makkelijk te hacken is
(contactloos betalen, ov chipkaart)
die zo makkelijk op te waarderen is,
Dan hoort hier geen straf voor te zijn; dan moet het BEDRIJF DAT DEZE ZOOI VERKOOPT AANSPRAKELIJK GESTELD WORDEN DOOR DE STAAT!
rare wereld!
Dan was dat vertrouwen dus allesbehalve terecht. Ik snap de uitspraak van rechter wel, maar de zwakke beveiliging was allesbehalve vertrouwen waard, dat is toendertijd ook uitgevoerig aangetoond door Brenno de Winter.
In dit geval heeft Trans Link werkelijk geen moer te vertellen. Welke idiote organisatie verzint een betaling systeem waarbij het saldo op de kaart wordt beheerd in plaats van een centrale server! Ze komen er goed vanaf, maar eigenlijk valt dit meer onder een security risico factor die ze hebben aangenomen bij de implementatie.
Als die mafketels een technologie aan mensen geven die zo makkelijk te hacken is
(contactloos betalen, ov chipkaart)
die zo makkelijk op te waarderen is,
Dan hoort hier geen straf voor te zijn; dan moet het BEDRIJF DAT DEZE ZOOI VERKOOPT AANSPRAKELIJK GESTELD WORDEN DOOR DE STAAT!
rare wereld!
Maar men mag ook niet de kat op het spek binden, maar dient te zorgen, dat de redenatie andersom ook niet geldt:
"Door een onveilige implementatie van de OV chipkaart kunnen alle reizigers benadeeld of tekortgedaan worden".
En dat gaat jaarlijks om vele miljoenen niet teruggeist geld, waar men een leuk uitje voor zou kunnen hebben.
Dus misschien is het waar dat men technische implicaties omhelst omdat ze zo fijn profijtelijk kan zijn.
Men zou de overtreders onder toezicht kunnen inzetten als ethische hackers om dit beter tegen te kunnen gaan.
In dit geval heeft Trans Link werkelijk geen moer te vertellen. Welke idiote organisatie verzint een betaling systeem waarbij het saldo op de kaart wordt beheerd in plaats van een centrale server! Ze komen er goed vanaf, maar eigenlijk valt dit meer onder een security risico factor die ze hebben aangenomen bij de implementatie.
Als die mafketels een technologie aan mensen geven die zo makkelijk te hacken is…)
Ruiten kun je ook hel simpel ingooien. Toch heeft >99% van de mensen niet permanent een stalen rolluik voor hun zo makkelijk in te gooien ruiten. Als bij jou de ruiten ingegooid worden, wordt je vast boos op de dader en ga je ook niet jezelf de schuld geven.
De foute persoon is hier toch echt diegene die de ander probeert op te lichten.
Onzin. De stroomleveranciers worden ook niet aangepakt voor e stroom die ze leveren aan wietgroeiers.
De lampenboer (bv Phlips) wordt ook niet aangepakt. De electricien en de huurder wel.
Weet iemand wat hier precies gebeurd is? Het vonnis gaat niet dieper in op de situatie.
Als die mafketels een technologie aan mensen geven die zo makkelijk te hacken is
(contactloos betalen, ov chipkaart)
die zo makkelijk op te waarderen is,
Dan hoort hier geen straf voor te zijn; dan moet het BEDRIJF DAT DEZE ZOOI VERKOOPT AANSPRAKELIJK GESTELD WORDEN DOOR DE STAAT!
rare wereld!
Met alle respect, dit ben ik niet eens. Dat mensen hun spullen onvoldoende beveiligen wil nog niet zeggen dat er dan ook misbruik van gemaakt mag worden. Zelfs niet bij machtige organisaties.
Als we een grotere aansprakelijkheid van dergelijke organisaties willen hebben, is een meer rechtstreekse benadering nodig. Bijvoorbeeld nalatigheid als misdrijf (dood/letsel/schade/fraude door schuld) een sterkere juridische basis geven. Men kan er wel over spreken dat er straf voor moet zijn èn dat het bedrijf aansprakelijk gesteld wordt. Zeker indien (zoals in dit geval) over de problematiek waarschuwingen van deskundigen te over zijn geweest.
In dat eerste geval snap ik niet helemaal hoe die kaarten te manipuleren zijn. Het tweede geval lijkt op de early webshops die via javascript het winkelwagentje client-side 'beheerde' Dat was dus relatief eenvoudig aan te passen (veel kopen voor weinig geld) en valt dan onder een fail bij de ontwikkelaar van het systeem.
Als die mafketels een technologie aan mensen geven die zo makkelijk te hacken is
(contactloos betalen, ov chipkaart)
die zo makkelijk op te waarderen is,
Dan hoort hier geen straf voor te zijn; dan moet het BEDRIJF DAT DEZE ZOOI VERKOOPT AANSPRAKELIJK GESTELD WORDEN DOOR DE STAAT!
Je reactie is eigenlijk een hele trieste..... Maar ja de beste stuurlui staan altijd aan wal.
Het gevolg van deze TLS-opzet is wel dat de beveiliging dus afhangt van de sterkte van de encryptie op de kaart zelf, en dat was bij de vorige ronde waar deze gratis-saldo-op-je-kaart-fraude vrij grootschalig geprobeerd werd reden voor TLS om schoorvoetend dan toch maar iets betere kaartjes in te voeren die minder makkelijk te kraken waren.
Wat wel een redelijk grote blamage was want ze hadden tot dan toe volgehouden dat betere kaartjes echt niet konden, te duur waren, en ook helemaal niet nodig waren want ze hadden de reizigers toch wel in de smiezen met allerlei databases en ach de encryptie was toch wel sterk genoeg. Terwijl er links en rechts mensen demonstreerden hoe de encryptie te kraken. Dat was wel een aardig "Baghdad Bob"-momentje voor TLS.
Kennelijk heeft er iemand uitgevogeld hoe de betere kaartjes die nu in gebruik zijn toch te kunnen manipuleren. Lijkt me interessant te weten hoe dan. Zeker aangezien dit type kaartjes ook in bijvoorbeeld de Londense oyster-card terug te vinden zijn. (Transport for London had overigens veel minder moeite met precies dezelfde overgang. Heel toevallig.)
Dus..... Als ik mijn voordeur niet goed dicht doe, mag jij gewoon alles in mijn huis nee nemen? Of als iemand een minder goed slot op de voordeur heeft zitten?
Nee. Jij hebt geen dure spullen te kopen of zaken in je huis op te slaan waar je aan gehecht bent.
De kapitalisten inclusief bewoners van Nederland parasiteren op de 3e wereld.
Parasiteren, want Nederland is 10 van de 12 maanden onbewoonbaar zonder verwarming.
Parasiteren, want ze zijn een kanker voor moeder aarde.
Een normaal mens woont in een warm land, verbouwt eigen eten (geen vlees, vis, roken, alcohol etc. etc)
En produceert, zonder geld, zijn eigen rijkdom.
C.q. iedereen heeft recht op dat wat hij NODIG HEEFT (eten, onderdak, warmte van de zon) en niet wat hij wilt.
De wereld is tegenwoordig gebouwt op wat mensen willen (leven op comfortbasis), dat gaat niet lang meer duren hoor.
C.q. iedereen die in armoede leeft heeft zeker het recht om luxe artikelen bij anderen, zonder daarvoor te moeten hoeven boeten, weg te halen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
