Phishing powrócił! Wykradanie loginów i haseł poprzez spoofing znowu stanowi w Polsce poważne zagrożenie. Właściciele kont bankowych jednego z największych polskich banków internetowych – mBank – mogą czuć się zagrożeni…
Od około miesiąca właściciele kont bankowych w mBanku mogą czuć się niebezpiecznie, bowiem grupa polskich crackerów stworzyła rozbudowanego trojana (program-wirus, kradnący dane i przesyłający je pod zaprogramowany adres e-mail), którego rolą jest wykradanie loginów i haseł kont bankowych mBanku poprzez phishing.
Mimo, że od paru ostatnich lat poziom zabezpieczeń internetowych kont bankowych na całym świecie bardzo się podniósł, mBank pozostawia dużo do życzenia… Crackerzy korzystając z zainstalowanego na cudzym komputerze trojana, który uaktywnia sfałszowaną stronę mBanku (phishing) po włączeniu strony logowania do konta, kradną już na wstępie login, hasło dostępu i co nie typowe dla standardowego logowania hasło mLinii czyli niezbędne do np. zmiany numeru komórkowego dla przychodzących haseł SMS (jednorazowych) potrzebnych do wykonania jakiegokolwiek przelewu.
Nieoficjalnie wiadomo, że polska grupa crackerska współpracowała z niemiecką grupą twórców Trojan-a Prg. Obecnie w ofercie jest sprzedaż wykradzionych danych 5 różnych kont bankowych w cenie 1000 zł. Ich ofertę można odnaleźć w wiadomościach prywatnych na różnych forach hakerskich i crackerskich. Znakiem rozpoznawczym jest e-mail podawany jako dalszy kontakt.
Niepokojącym faktem może być to, że trojana możemy nabyć ściągając z popularnych stron internetowych z programami oraz to, że trojan nie jest wykrywalny przez żadne antywirusy. Według nieoficjalnych ustaleń zainfekowanych komputerów przez tego pozornie niegroźnego trojana może być ok 20 tys. komputerów w całej Polsce i Europie.
Policja jak na razie nie może trafić na trop cyberprzestępców. Wiadomo tylko, że grupa ta korzysta z internetu bezprzewodowego Play na kartę, który nie jest przypisany nikomu, gdyż działa na zasadach doładowywań, a jako modem może posłużyć każdy telefon obsługujący 3G.
1. i tak nie mam Windowsa, więc w tym konkretnym przypadku na 100% nie mam się czego bać
2. mam konto w mBanku, a na nim 2,58 PLN – czyli nie ma się czego bać
3. FF i tak pokazuje na zielono poprawność certyfikatu strony logowania mBanku (i każdego dowolnego innego banku internetowego); w przypadku manipulacji lub braku weryfikalności powinno walić po oczach na czerwono – i znów nie ma czego się bać
4. trzeba być niezłym głupkiem, żeby nie znać poprawnego adresu strony logowania swojego banku; kto nie jest głupkiem, nie ma się czego bać
5. trzeba być jeszcze większym głupkiem, żeby przy logowaniu się na podstawionej stronie internetowej podawać hasło do mLinii – normalnie myślący człowiek nie ma się czego bać
… a tak na marginesie, to odnoszę wrażenie, że żyjemy w cywilizacji napędzanej tylko strachem
Pomijając już fakt, że ta cywilizacja promuje właśnie wymienianych przez ciebie głupków… ;x
@Asgard
"4. trzeba być niezłym głupkiem, żeby nie znać poprawnego adresu strony logowania swojego banku; kto nie jest głupkiem, nie ma się czego bać"
Jak masz trojana, to co za problem wyświetlić stronę z dowolnym adresem na maszynie.
Ad1. Kolega nie ma windowsa. Najpierw musi jakoś zainstalować sobie tego trojana, żeby zrobił to o czym piszesz 😀
Use the Wine, Luke!
Asgard:
odnośnie pkt 3 i 4:
dobry trojan doda wpis w hosts, doda swój cert CA do Twojego magazynu i też będziesz miał wszystko na zielono
a tak poza tym to nie obrażaj ludzi… wielu (w tym i moi rodzice) wręcz boi się komputerów, więc jeśli komputer pyta o login to wpisują login
Najwiekszym glupkiem okazuje sie chyba asgard – ignorant. Myslisz, ze jakis bioinzynier bedzie cie wytykal palcem bo nie wiesz jak policzyc naprezenia scianek naczyn krwionosnych? Przeciez to jest dla niego chleb powszedni…
Nie, tu raczej chodzi o wyśmiewanie przez biologa kogoś, kto nie potrafi odróżnić kota od psa.
ja ogólnie nie lubię nikogo wyśmiewać…
ludzie są różni – nie na każdego można patrzeć przez 'swoje okulary'
Fakt, nie należy wyśmiewać, tylko edukować, ale zaraz potem odzywają się tacy "obrońcy" z hasłem na ustach "przecież nie każdy musi wiedzieć, jak odróżnić kota od psa!". Szanujmy ludzi, ale nie szanujmy głupoty (chyba, że jest wynikiem choroby, ale to już zupełnie inna kwestia).
"Nie, tu raczej chodzi o wyśmiewanie przez biologa kogoś, kto nie potrafi odróżnić kota od psa."
Gorzej jak ten "biolog" zaczyna bredzić, nie sądzisz?
"zaraz potem odzywają się tacy “obrońcy” z hasłem na ustach “przecież nie każdy musi wiedzieć, jak odróżnić kota od psa!”"
Ale wiesz, najśmieszniejsze jest, że ten co niby potrafi odróżnić wyraźnie nie zdaje sobie sprawy z tego jakie zagrożenia niesie trojan napisany specjalnie pod mbank i głupio kozakuje.
dos: przesadzasz, kot czy pies jest raczej codziennością…
ale dla ludzi którzy 40 i więcej lat żyli bez komputerów różnica między adreswww , a wwwadres jest żadna…
więc jeśli coś wygląda jak strona banku, a adres ma przecież podobny to się ludzie dają nabrać…
weźmy inny przypadek: idziesz po kredyt do banku, pani Doradczyni Ci wszystko pięknie ładnie opowiada… tylko 9%, nieznaczna prowizja… podpisujesz papierki, a po tym jak przychodzisz do domu to się okazuje, że po przeliczeniu RRSO wynosi 25% – wtedy ja też mam prawo nazwać Ciebie głupkiem ?
Nawet nie wiesz jak nas w "bambuko" może zrobić trojan, który jest na naszym komputerze. Wszystko będzie wyglądać tak samo jak przy normalnym logowaniu!
Dowiedz się na komendzie w Warszawie czy nie odnotowali w przęciągu ostatnich 2ch tygodni włamań na konto mBank i kradzieży dostępnych na koncie pieniędzy.
Nie ma się czego bać? Powodzenia!
> Dowiedz się na komendzie w Warszawie czy nie odnotowali w przęciągu ostatnich 2ch tygodni włamań na konto mBank i kradzieży dostępnych na koncie pieniędzy.
Dowiedz się też czy nie odnotowali cyrków z kontami w innych bankach – odnotowali.
> Wszystko będzie wyglądać tak samo jak przy normalnym logowaniu!
Taaa, pytanie o mLinię faktycznie jest obecne przy normalnym logowaniu…
> Nie ma się czego bać? Powodzenia!
Patrząc po Twojemu – dowiedz się na komendzie czy w przeciągu dwóch ostatnich tygodni ktoś miał nieszczęśliwy wypadek w kuchniłazience… Czy teraz zaczniesz się panicznie bać wizyt w ww pomieszczeniach?
.
Najpierw trzeba samemu sobie do (kompatybilnego) systemu takie draństwo załadować, potem nie zdziwić się dodatkowymi pytaniami przy logowaniu… Powodzenia.
"pytanie o mLinię faktycznie jest obecne przy normalnym logowaniu…"
To świadczy co najwyżej o tym, że ktoś spieprzył trojana. Pewien jesteś, że następny też spieprzy?
A jak inaczej ma zdobyć hasło do mLinii skoro jest ono konieczne do wprowadzenia zmian i faktycznego przejęcia konta?
alez jestescie ciezkomyslacy… czy jak ZU zobaczy komunikat w stylu: "system bankowy mlinia przechodzi transformacje na lepszy/bezpieczniejszy/wypasienszy, aby aktywowac go na nowo podaj dotychczasowy kod" bedzie wiedzial, ze chodzi o kradziez? taki ZU ktory wie, co to jest gadu gadu i jak sie wchodzi na onet, mbank i naszaklase?
LV: Nie jest potrzebne, żeby przejąć kasę z konta, wystarczy wyłudzić hasło jednorazowe, co dla trojana nie jest niemożliwe. Nawet w miarę proste.
Kasę tak, możliwość wykorzystania konta do lewych interesów wymaga więcej niż tylko kilku haseł jednorazowych. Lewe konta bywają bardzo przydatne.
LV: Nie wiem czy bardzo pocieszające jest, że mogą wziąć "tylko" kasę.
Z dwóch opcji – strata kasy lub 'udział' w obrocie nielegalnymi materiałami (powiedzmy konto użyte przy sprzedaży bardzo zuych rzeczy) to jednak wolę tylko stracić kasę… Lepsze to niż tłumaczenie się przed sądem, że jestem niewinny a konto już nie było moje.
@cutugno: co ma niby dac wyludzenie hasla jednorazowego? Przeciez one sa generowane jako hasze danych konkretnej transakcji, wiec trojan moze co najwyzej potwierdzic przelew ktory ja sam chce wlasnie zrobic.
Ogolnie art. pelen ogolnikow jakby napisany w celu zdyskredytowania konkretnego banku. Banku ktoreg zabezpieczenia nie sa ani najlepsze ani najgorsze za to userzy raczej dosc swiadomi (na tle innych typu PKO BP).
@gosc: James Randi daje nagrodę miliona dolarów za udowodnienie zdolności paranormalnych, co Ci się chyba udało. Przynajmniej jeśli na poważnie twierdzisz, że listy haseł jednorazowych, które mbank przysłał mi pięć lat temu zawierają hasze wykonywanych obecnie przelewów. Oczywiście jest też możliwość, że pomyliłeś je z hasłami SMSowymi.
LV: "Z dwóch opcji – strata kasy lub ‘udział’ w obrocie nielegalnymi materiałami (powiedzmy konto użyte przy sprzedaży bardzo zuych rzeczy) to jednak wolę tylko stracić kasę…"
Pewnie tak, chociaż w takiej sytuacji i tak i tak jest przerąbane. Z drugiej strony wątpię, żeby poważny bandzior w ten sposób kradł konto, brak dostępu albo dziwne operacje zauważysz dość szybko a wtedy sam zgłosisz się na policję. Już prędzej myślę, że spróbuje lewe konto założyć posługując się lewymi danymi/dokumentami…
Autor mógłby się zapoznać z takimi rzeczami jak ortografia, stylistyka, podstawowe pojęcia związane z tematem (cracker, wirus, trojan itd.)… Proponowałbym też sprawdzić w słowniku znaczenie słowa 'nabyć'. Nie rozumiem też 'uaktywniania strony'. Banker pozornie niegroźny? No chyba ktoś sobie jaja robi albo krasomówcą jest takim samym jak łaskawie nam panujący Lechu K. W całej Polsce i Europie? To pierwsze nie jest małym wycinkiem i integralną częścią drugiego?
.
Swoją drogą cena jest jakaś dziwna, na czarnym rynku (o ile nic się nie zmieniło) raczej nieco inne stawki obowiązywały… Poza tym phishing nie powrócił, cały czas jest obecny.
Pomijając to, że news wygląda jak reklama. Jest opis działania firmy, opis produktu, cena i adres kontaktowy 😡
Usunąłem adres, faktycznie niefajne połączenie elementów.
trzeba było chociaż początek adresu email zostawić, bo ten artykuł miał ostrzegać przed tego typu zagrożeniem.
Sorry, ale jaja sobie robisz? Co ma wspólnego mail kontaktowy z oferty sprzedaży danych z 'ostrzeganiem przed zagrożeniem'? Przecież atakowany tego maila *nigdy* nawet nie zobaczy, jest on przydatny jedynie panom od lewych interesów.
Ja mam konto w lukas banku. Tam by się zalogować przez internet poza podaniem hasła trzeba podać również 6 cyfrowy kod z tokena (przenośne urządzenie wyświetlające inny kod co minutę wielkości bryloka do kluczy) i po sprawie;)
Rozwiązanie jak proste a jak skuteczne 🙂
Zdobycie hasła i loginu do mBanku nie skutkuje jeszcze możliwością wykradnięcia pieniędzy z konta (jak i w każdym innym banku). Podczas dokonywania przelewu trzeba podać hasło jednorazowe, które w zależności od wybranej formy wpisujemy ze specjalnej kartki z hasłami jednorazowymi lub z smsa wysyłanego na telefon komórkowy.
Odnosząc się do tego ostatniego (hasła na komórkę), posiadanie hasła na mLinię umożliwia napastnikom zgłoszenie zmiany numeru telefonu komórkowego. Jeśli ktoś ma włączoną usługę wysyłania haseł jednorazowych na telefon komórkowy, to skutki można już sobie tylko wyobrazić…
A zgłoszenie zmiany autoryzacji z haseł jednorazowych z papiórka na SMS też odbywa się za pomocą mLinii….
fakt, z podaniem hasła do mLinii może być problem (chociaż człowiek przynajmniej trochę myślący nie poda go podczas logowania się przez inny kanał dostępu niż ten do którego hasło faktycznie jest przypisane) ale o ile chodzi o zmianę numeru telefonu to założę się (to tylko moje domysły bo nie chciało mi się sprawdzać tego na stronie mBanku ani tego sam nigdy nie robiłem) że podczas zmiany numeru telefonu dostajemy hasła na dwa numery (stary i nowy) i dopiero po takiej weryfikacji numer może być zmieniony. A przynajmniej ja bym tak zaprojektował taki proces bo myślę, że to by było najbezpieczniejsze w przypadku możliwości utraty hasła ;p
Ukradli mi telefon. Jak mam wtedy zmienić numer jeśli hasło przyjdzie także na stary numer?
Miałem okazję zmieniać numer telefonu na mLinii już dwukrotnie, dwa lata temu. Dzwonię do mLinii, "loguję się" wklepując narzucone (wybrane przez system) liczby z mojego hasła, łączę się z operatorem, proszę o zmianę numeru. Operator chyba pyta o kilka danych osobowych i dopiero zmienia numer telefonu. To wszystko, nic dodatkowego na komórkę nie dochodzi.
W tym roku zmieniałem numer komórki za pomocą strony internetowej: Hasło przyszło sms`em na stary numer.
Dziwne, że na mLinii robią to na "dane osobowe"
Jak fajnie, że mam linuksa, matce też zainstalowałem rok temu. Opłaciło się półroczne przestawianie mózgu z pseudomyślenia windowsowego na myślenie linuksowe bo oboje korzystamy z mBanku.
Bezpieczeństwo konta bankowego leży po stronie rozsądku użytkownika komputera i nie ma nic wspólnego z używanym systemem operacyjnym.
Trzeba mieć doszczętnie zryty beret żeby uważać, że istnieje coś takiego jak "pseudomyślenie windowsowe" lub "myślenie linuksowe".
W sytuacji jednak kiedy myślenie i uwagę wyłączysz, bo jesteś głupi albo… po prostu nie masz prawie czasu (to wbrew pozorom zdarza się częściej), używając konta bankowego jesteś zdecydowanie bardziej bezpieczny pod systemami alternatywnymi.
Nie całkiem. Jeden czy drugi trojan wiosny nie czyni. Jeśli za klawiaturką będzie siedział linuksiarz (wpisz tu co chcesz, bsdźiarz, solarek itp.) i będzie grzecznie udzielał odpowiedzi na temat dostępu do swojego konta to nic go nie uchroni.
No chyba, że (pomijąc powyższe systemy) zwolennik alternatywy przez duże "A", będzie tylko oglądał witrynę swojego banku, bo zalogować się już nie zdoła (FULL BEZPIECZEŃSTWO).
Slogan jesteś zdecydowanie bardziej bezpieczny pod systemami alternatywnymi brzmi tak samo wiarygodnie jak slogan nasze podpaski zdecydowanie mniej przemakają.
z tym, ze trojana nie zlapie
@przemyslaw co nie zmienia faktu, że istnieje duża korelacja pomiędzy ludźmi "świadomymi informatycznie" a użytkownikami alternatywnych systemów
"Mimo, że od paru ostatnich lat poziom zabezpieczeń internetowych kont bankowych na całym świecie bardzo się podniósł, mBank pozostawia dużo do życzenia…" – Proszę jaśnie pana "eksperta" o wytłumaczenie mi dlaczego poziom zabezpieczeń mBanku "pozostawia dużo do życzenia"? Takiego stronniczego, przesadzonego i nie wnoszącego nic do tematu newsa już dawno nie widziałem. Przestępstwa komputerowe istniały, istnieją i będą istniały, a mądry użytkownik w większości przypadków nie ma się czego obawiać.
Może konkurencja mBanku rozsiewa ploty. 🙂
absolutnie! ostrzegam innych, ponieważ ta sytuacja zdarzyła się mojej przyjaciółce, której ktoś przelał ponad 2 tys zł na cudze konto i odzyskać tego już nie może.
każdy bank ma ubezpieczenie i każdy bank jak coś takiego wyniknie oddaje kase całą i jeszcze prosi o nie kontaktowanie się z prasą etc. za co też płaci, moją koleżankę tak pko ogołocili oddali jej 4tyś i jeszcze jej za milczenie 3tys zapłacili widzę że co poniektórzy nie mają pojęcia jak funkcjonują banki.
Moją odpowiedzią na zadane wyżej pytanie jest zapoznanie się z systemem bezpieczeństwa takiego banku jak Kredyt Bank, mając konto w takim banku czuł bym się bardziej bezpiecznie.
To mało wiesz, kochanie. Jeżeli ktoś uzyskuje dostęp do Twojego systemu to ten system przestaje być Twój. Kiedy coś filtruje komunikację z bankiem to niezależnie od zabezpieczeń będziesz bezbronny…
No proszę, ale dyskusja, tu pada tekst bezpieczeństwo, zaraz później tekst kochanie… No i w tym kontekście ksywka BeSafe przestaje mnie dziwić, bo wszystko zmierza do Durexa… 😉
Przemuś, ku Twojemu rozczarowaniu, preferuję wyłącznie dojrzałe przedstawicielki płci pięknej… A Dureksa to 'se' możesz nadmuchać.
Roczarowany bynajmniej nie jestem (nie spoufalaj się LV-uś!).
A co do ostatniego zdania, widzę że edukacji nigdy dość, w gumę się nie dmucha, dmucha się w gumie!
od tego pedalstwa nie dobrze się robi
Ciągle czujesz ten smak?
Tak to jest jak homoseksualista (czyt. pedał) zaczyna pisać o Durexach.
Zniesławienie zagrożone jest karą grzywny, karą ograniczenia wolności albo karą pozbawienia wolności do roku na podstawie art. 212 § 1. Kodeksu karnego. Sprawca podlega grzywnie, karze ograniczenia wolności albo karze pozbawienia wolności do lat 2 jeżeli pomawia inną osobę za pomocą środków masowego komunikowania (art. 212. § 2. K.k.).
Ściganie odbywa się z oskarżenia prywatnego (art. 212. § 4. K.k.)..
Za dużo telewizji się koleżanka naoglądała
System KB faktycznie 'wygląda' na dość bezpieczny, tylko mi wytłumacz, co robi komunikat:
"UWAGA!
Logowanie do systemu KB24 odbywa się wyłącznie przy użyciu Identyfikatora i PIN-u,
a Bank nigdy nie prosi o podanie innych poufnych danych podczas logowania, takich jak:
hasła jednorazowe, numery kart płatniczych czy też numery PIN do tych kart."
na stronie do logowania? Widnieje tam już od paru dobrych lat.
Różnica względem mBanku polega na tym, że nie możesz zmienić adresu, na który mają przychodzić hasła przez telefon.
pierdoły piszecie mam konto w mbank i jak zmieniałem sobie nr telefonu do sms na mlinii to najpierw trzeba podać kod ze starego nr a potem drugi z nowego, więc hasło do mlinii nie jest groźne. Więc jeśli ktoś ma twoje hasło i login może ci jedynie połazić po koncie bo nawet zmiana w zdefiniowanych odbiorcach nie zrobi, mógłby ktoś np. nr konta podmienić też trzeba zatwierdzić kodem z sms więc mogą se ci hakerzy czy jak ich tam zwał nafikać,
Mimo tego nikt nie pomyślał, że można zakazać banki internetowe. Choć było na OSnews kiedyś o raporcie, z którego wynika, że phishing stanowi znacznie więcej przestępstw w Internecie, niż np. dziecięce pornografia.
Jak można wykopać tak głupi i nieobiektywny "news". Gołym okiem widać, że autor nic nie wie na temat, który opisuje i perfidnie reklamuje siebie i inne banki. Dalej nie zobaczyłem odpowiedzi na pytanie czym różnią się zabezpieczenia mBanku od reklamowanego przez autora Kredyt Banku. Pewnie się nie doczekam, bo news jest sponsorowany. OSnews stoczył się na samo dno.
I nawet autor, który siebie opisuje jako specjalistę od hakerów, Internetowi wydaje się być kompletnie nieznany.
Proszę nie piszcie ze wirusy, trojany atakują komputery, a system zainstalowany W$iadomo jaki 🙂
No coz. Linux musi na czyms zarabiac, wlasnie tak dorabiaja sobie tworcy Linuxa po godzinach, w ramach rozwoju wolnego oprogramowania 😀