Dwa dni temu na blogu Hackmana pojawił się post opisujący możliwość zakupienia za darmo butów w Deichmanie, dzięki kiepsko zaprojektowanemu systemowi płatności Sofort firmy Payment Network AG. Ważniejszym jednak elementem niż sama kradzież jest sposób w jakim tenże system płatności działa, a nie odbiega to od pospolitej próby phishingu.
System ten przy dokonywaniu płatności prosi o podanie loginu i hasła do bankowości internetowej klienta. Po czym loguje się i zleca przelew. Dziura wspomniana w poście to możliwość szybkiej zmiany hasła, a następnie anulowania przelewu jeśli zakup nie został dokonany w godzinach wykonywania przelewów Elixir.
Fragment oferty systemu Sofort ze strony produktu
Ważniejsze jest jednak to, że Payment Network AG w celu dokonania prostej płatności chce zyskać pełen dostęp do naszego konta (włącznie z prośbą o wpisanie hasła z smsa potwierdzającego). W regulaminie z kolei rezerwuje sobie możliwość również do prześledzenia płatności z ostatnich 30 dni, by stwierdzić czy wszystkie płatności zostały wykonane poprawnie.
Osobiście nie mam odwagi wypróbować rzeczonych płatności, bo nie mam do nich żadnego zaufania. Przytoczony schemat przecież nie różni się niczym od zwykłej próby phishingu, które większość internautów po prostu omija szerokim łukiem. Również uważam, że banki powinny blokować tego typu logowania botów i aż dziw, że jeszcze tego nie robią okazuje się, że robią to, lecz Sofort stosuje proxy do logowania na konta ich klientów.
"Osobiście nie mam odwagi wypróbować rzeczone płatności"
Polśka jęzik tłudna!
Co do tekstu, nie uważam, żeby możliwość kupienia w ten sposób butów była kradzieżą. Nie czytałem regulaminu serwisu (bo i po co), ale jeśli jest w nim napisane "aktualne hasło", to znaczy to oczywiście "aktualne w chwili transakcji". :>
Zastanawiam się, czy naprawdę są takie osoby "umysłowo sprawne inaczej" i niepozbawione sądowo zdolności do czynności prawnych, które świadomie i dobrowolnie udostępniają obcym podmiotom dostęp do swojego internetowego konta bankowego? Jeśli tak, to chyba muszę zacząć się leczyć, bo nie rozumiem otaczającej mnie rzeczywistości…
A jeśli ktoś podaje nr karty kredytowej, CVV2 i datę ważności karty, to czym to się różni od podania danych dostępowych do serwisu internetowego banku? Setki miliotów ludzi na świecie dokonuje płatności dokładnie w taki sposób i czy to ma znaczyć, że są "umysłowo sprawne inaczej". Imagine.
Przytoczę komentarz, który opublikowałem niżej:
Jak napisano w źródłowym poście, banki zapewne takie rzeczy blokują, więc… Sofort korzysta z proxy do logowania… Szef tego przekrętu powinien trafić do paki, to przecież jawny phishing.
Dzięki za zwrócenie uwagi. Poprawiłem posta.
Ale "wypróbować rzeczone płatności" nie poprawiłeś.
Zminusowaliście autora uwagi, a byk dalej wali po oczach.
Skoro dalej nie domyśliłeś się o co chodzi, to proszę:
"wypróbować rzeczonych płatności" – w dopełniaczu być powinno.
done
P: A szef Amazona nie powinien trafić do paki, bo ma mój nr karty kredytowej, CVV2 i datę wygaśnięcia karty?
O: Oczywiście, że nie powinien, bo podawanie ów danych jest jak najbardziej bezpiecznie… ale czy aby na pewno?
Kontrolowanie karty kredytowej i ilości wypłacanych tym kanałem pieniędzy jest znacznie prostsze. Nie jest tak samo w przypadku podania danych do Twojego centrum zarządzania tym kontem.
Kolejny koszmarek z internetów: "ów" odmienia się i *ma* liczbę mnogą. Nie używajcie słów, których nie rozumiecie 🙁
Jeśli może Ci wyczyścić konto, to za to niebezpieczeństwo odpowiadasz Ty. To decyzja klienta czy i jakie limity nakłada na daną metodę płatności. Opcja płacenia przez sofort może być bezpieczna dopiero gdy zaraz zmienisz hasło, a w międzyczasie i tak są w stanie wyrządzić znacznie większe szkody niż wyczyszczenie konta. Paypass też ma swoje ograniczenia, w standardzie i chyba w ogóle do 50 zł. Tym też nikt konta Ci nie wyczyści.
"Paypass też ma swoje ograniczenia, w standardzie i chyba w ogóle do 50 zł. Tym też nikt konta Ci nie wyczyści."
Ależ oczywiście, że wyczyści. To, że większość ludzi nie ma dostępu do specjalistycznej elektroniki to nie znaczy, że taka nie istnieje 🙂
Podziel się proszę wiedzą, bo po głowie kołacze mi się tylko citation needed. (;
To tak jak z 0day exploitami, raczej nikt nie dzieli się takimi informacjami 😉
Znalazlem kiedys dosc wiarygodnie wygladajacy material o tym jak kiepsko sa zabezpieczone PayPassy, PayWave'y, nie chce mi sie teraz szukac – chwila google i da sie go znalezc (+ slawny juz fragment wywiadu z gosciem z Pogromcow Mitow n/t RFID w CC, do znalezienia na YT).
Sek w tym, ze jedna osobe taki atak bardzo bolec nie bedzie – jedynie 49.99 stracone, ale biorac pod uwage ilosc przypadkowych osob na ktorych sie przeprowadza atak to juz staje sie to niebezpieczne (i oplacalne). Po krotce, mozliwe jest proxowanie sygnalu karta <-> czytnik, jest to mozliwe nawet przez internet ktory ma lagi kiludziesiecio-ms – standard daje dosc sporo czasu na odpowiedz i to nie sa milisekundy. Czyli, dobrze zbierajaca antena, wzmacniacz sygnalu, wszystko to w plecaku w zatloczonym autobusie, internet, i mily pan przechadzajacy sie po sklepie majacy odbiornik sygnalu + antene w portfelu… kupujacy rzeczy po max 49.99…
Na miłych panów przechadzających się z odbiornikami, od pół roku mam małą niespodziankę. W okładkach etui na karty mam włożone dwie blaszki, wycięte z puszki po napoju. Żaden czytnik nie jest w stanie zeskanować tkwiących w środku kart.
Powtórzę po raz kolejny i jak będzie trzeba to jeszcze ze 100 razy 😉
Jak niby można za darmo te buty kupić? Przecież ten przykład jest tak trywialny, że aż wstyd go powtarzać. Rozumiem, że podamy fikcyjne dane w serwisie ale Sofort przynajmniej raz zaloguje się na nasze konto bankowe gdzie dane raczej są prawdziwe (no chyba że posiadamy też tak zwane lewe konto). W każdym bądź razie nawet jak zmienimy hasło, to przecież Sofort może za jakiś określony czas ponowić próbę logowania i jeżeli się nie powiedzie to wstrzymać płatność i wysyłkę towaru. To raz.
A dwa:
Tutaj chodzi głównie o prowizje. Banki/finansiści tworzą można powiedzieć kartel, który dyktuje warunki i w zasadzie nic im zrobić nie można. Rynek niemiecki jest akurat specyficzny i zorientowany bardzo na siebie (z niego właśnie wywodzi się Sofort). Teraz sytuacja trochę się zmienia ale jeszcze niedawno zapłacenie kartą VISA albo MC graniczyło z cudem i to nawet w największych miastach jak Berlin. Po prostu mają swoje rozwiązania i nie dają się doić międzynarodowym kartelom tak jak np my i wszyscy tu krzyczący. To chyba nie jest złe? Inaczej nie mogli tego zrobić, bo karty, paybylink itd itp są wszystkie w rękach finansistów i to oni dyktują warunki gry. Przelew z konta przez kupującego byłby najlepszy ale komplikuje zakupy i zabiera czas – stąd pewnie taki pomysł jak Sofort na automatyzację procesu. To że jest on mocno kontrowersyjny to inna sprawa. Jednak można się prosto zabezpieczyć. Mamy teraz na rynku pełno ofert kont darmowych jak się karty debetowej nie bierze. Założyć sobie takie konto tylko do Sofort i po sprawie. Jakby tak dużo ludzi zaczęło korzystać to by się może coś i na rynku ruszyło a tak siedzimy grzecznie w kieszeni finansjery i pełni oburzenia śpiewamy jak chcą – jaki to ten Sofort jest zły i okrutny.
Zwróćcie uwagę. Ostatnio poszło info że VISA obniży opłaty i co? Powoli banki w PL wprowadzają większe opłaty za karty, za ich nie używanie etc.
Także zanim znowu zrobimy raban i zaczniemy krzyczeć to może najpierw trochę pomyślmy – to nie boli.
Pomysł zakładania konta tylko pod usługę typu Sofort już istnieje od wielu lat i jest znacznie lepiej zrealizowany… nazywa się np. PayPal.
I bierze większą prowizję niż działający po partyzancku Sofort. I właśnie o to chodzi.
Zgadzam się, PayPal nakłada swoją prowizję, jednak uważam to za zdecydowanie mniejszą cenę niż narażenie bezpieczeństwa moich finansów i konta bankowego przez oddanie danych logowania do głównego centrum zarządzania nim.
Poczekaj aż w tym lepiej zrealizowany PayPal będziesz musiał reklamację złożyć he he albo jak Ci zablokują jakąś większą kwotę 'do wyjaśnienia' na np kilka m-c he he.
Tutaj tak naprawdę chodzi o to, że wyłamać się poza banki, która trzymają wszystko w garści. Piszesz o PP o kartach – napisz proszę ile przeszedłeś procedur reklamacji transakcji na karcie albo w PP to wtedy będzie można pogadać. Ja Ci dam mój prosty ostatni przykład, który wisi u arbitra bankowego. Kupiłem coś na ebay.co.uk zapłaciłem kartą kredytową przez PP i towar nie doszedł do celu. Myślisz że PP albo bank poczuwa się do odpowiedzialności? To bezpieczeństwo tak wychwalana – jest oczywiście ale nie dla klienta. Jak długo będzie ślepo wierzyć i negować takie inicjatywy jak Sofort to tak będzie.
Tyle, że tu naprawdę NIE chodzi o to, że ten kto odkrył tę aferę ukradł buty – choć jeśli to miało miejsce, to mam nadzieję, że zwrócił 😉 To tylko nieco przejaskrawiony przykład, który jednak wyraźnie pokazuje jak niebezpieczny może być ten system nie tylko dla zwykłych użytkowników, ale i dla firm które go wprowadzają. To kompletnie ślepa uliczka, ucząca jeszcze ludzi bardzo złych nawyków (udostępnianie byle komu bardzo wrażliwych danych). Nie, nie tędy droga.
"ale i dla firm które go wprowadzają."
To akurat nie takie proste; nie wiem jak wygląda podział odpowiedzialności w takim wypadku, to raz, być może przejmuje sofort, ale nawet jeśli nie, to pamiętaj, że sofort ma sporo niższą prowizję, więc dla firmy to może być skalkulowane ryzyko, że jeden na tysiąc zakupów do będzie strata, ale różnica prowizji w porównaniu do cc czy paybylinka wyrówna to z nawiązką.
Jeśli dla firm działanie na szkodę użytkownika, działanie wbrew regulaminom banków, działanie negujące wszelkie budowane z takim trudem kampanie przeciw oszustwom typu phishing ma być być tylko "skalkulowanym ryzykiem", to ja już naprawdę nie mam NIC do powiedzenia.
I pewnie jeszcze się będziesz bardzo dziwił, że firmy szukają sposobów na zwiększenie zysku na różne sposoby, nie zawsze etyczne, co?
@drugi akapit: Tak, ktoś już wpadł na ten pomysł, był gdzieś kiedyś filmik.
Łatwo pokazać na filmiku, trudniej przeprowadzić w rzeczywistości. Do takiego ataku trzeba jednak ten terminal przyłączony do rzeczywistej sieci skądś wziąć a to nie jest już takie proste (do filmiku wystarczy deweloperski). Można niby spróbować zarejestrować wszystko na jakiegoś słupa, ale to już się robią wtedy jakieś koszty, poza tym to trwa a taki fraud też długo nie potrwa a po zbanowaniu terminala trzeba znów kombinować – bardziej się opłaca skimming czy inne zabawy niż taki atak w realnym świecie.
Nie jestem pewien, ale wydaje mi się, że udostępniając mój kanał elektroniczny konta bankowego, działam wbrew regulaminowi banku. I pewnie bank może zastosować jakieś sankcje.
O ile reklamacja nieautoryzowanej transakcji karta to banal i pieniadze latwo odzyskac, to juz udostepnienie danych do logowania na konto automatycznie uniemozliwia Ci jakiekolwiek reklamacje.
Rozumiem, że piszą banał masz na myśli własne doświadczenia czy powtarzasz obiegowe ledendy?
Poczytaj sobie na sieci jak ludziom po skimingu karty wyczyszczono konta i jak im "szybko, gładko i bezproblemowo" bank oddał pieniądze.