W czerwcu pewien Australijczyk otrzymał telefon od swojego banku, informujący go o zakończeniu wypłaty 45 000$ z jego konta. Mocno zdziwiony potomek krokodyla Dundee zadziwił się przeogromnie, gdyż wierzył, iż korzystając nie tylko z hasła do bankowości elektronicznej ale także dodatkowych kodów SMS, będzie bezpieczny. Jak cyberprzestępcy oszukali system?
Zainfekowanie systemu operacyjnego ofiary to już dziś chleb powszedni, w ten sposób uzyskali dostęp do loginów i haseł do systemu bankowego. Jednak w celu uzyskania dostępu do kodów SMS posłużyli się nową i dość ciekawą techniką. Nie infekowali telefonu złośliwym oprogramowaniem jak to robił pewien wariant trojana ZeuS ale wykorzystali proceduralne podatności w systemie telefonii komórkowej. W pierwszej fazie uzyskali wszelkie przydatne informacje na temat ofiary – dzwoniąc do biura gdzie pracował (podając się za urząd podatkowy) oraz do jego córki. Następnie z uzyskanych informacji, przygotowali wniosek do operatora sieci komórkowej właściciela firmy o przeniesienie numeru do innego operatora. Po przekonaniu operatorów o legalności przeniesienia, wysłali do właściciela telefonu SMS informujący o przejściowych problemach w sieci komórkowej. Po przeniesieniu numeru, wykorzystali uzyskane loginy i hasła do systemu bankowego i wyprowadzili 45 tysięcy dolarów z konta zdziwionego biznesmena :] Na końcu przenieśli numer do macierzystego operatora, by dłużej pozostać w cieniu.
> wierzył, iż korzystając nie tylko z hasła do bankowości
> elektronicznej ale także dodatkowych kodów SMS,
> będzie bezpieczny.
I jest bezpieczny.
Obowiązek autoryzacją użytkownika spoczywa na banku. To bank *odpowiada* za wydanie pieniędzy uprawnionej osobie i tylko jej.
Bank może wprowadzać sobie karty, piny, hasła jednorazowe, smsowe, może nawet skanować siatkówkę oka – to wszystko są metody, którymi *bank* zabezpiecza się przed wydaniem pieniędzy nieuprawnionej osobie, a nie którymi "my zabezpieczamy nasze konto".
Jeśli te metody zawiodą, to jest to wyłączenie wina banku, o ile nie udowodni inaczej, że np. niezgodnie z umową udostępniliśmy *świadomie* nasz pin albo inne dane.
Bank zawsze może wrócić do wydawania pieniędzy jedynie osobiście za okazaniem dowodu i podpisu. Byłoby bezpieczniej. Ale w takim przypadku trudno by było wmówić klientom, że to oni odpowiadają za nieautoryzowane wypłaty z ich kont.
Oczywiście banki próbują okradać klientów, na nich przenosząc odpowiedzialność. Wprowadzają płatne ubezpieczenia konta, podczas gdy to one powinny za nie płacić (i płacą).
Tak więc nie okradziono tego człowieka, ale okradziono bank.
Człowiek idzie do banku i mówi, że nie wypłacał tych pieniędzy.
I w tym momencie powinien natychmiast mieć je z powrotem na koncie.
Dokładniej to konto to też wewnętrzna sprawa banku – zatem właściwym stwierdzeniem jest, że ów człowiek powinien móc te pieniądze z banku wypłacić (o ile umowa nie nakłada na to ograniczeń, ale skoro przestępca mógł wypłacić, to zakładam, że i klient może).
Bank może zgłosić sprawę na policję, albo przeciwko klientowi o wyłudzenie, albo że został okradziony przez nieznanych sprawców, albo nawet obie te sprawy. Tylko niech nie miesza klienta do własnych zabezpieczeń.
Nie do końca. Bank może próbować dowieść, że klient nie dołożył wszelkich możliwych starań w celu zabezpieczenia swojego komputera przed infekcją wirusem. Jeśli klient nie posiadał oprogramowania antywirusowego, lub korzystał z nielegalnego oprogramowania to może mieć problem. W praktyce jest tak, że jeśli fraud jest na niewielką kwotę (45k$ to jeszcze nie aż tak dużo w sumie), to pewnie bank odpuści i odda kasę. Jeśli byłoby to 450k$ to myślę, że mogli by pójść do sądu.
Swoją drogą największą "wtopę" zaliczyli operatorzy telefonów a nie bank albo klient. Możliwość zmiany operatora (lub warunków umowy) opierając się jedynie na informacjach o kliencie, bez posiadania czegokolwiek fizycznie (bo jak rozumiem, nie uzyskano fizycznego dostępu do dowodu tożsamości). Okradanie w banku to jedna rzecz. Ale przez telefony przekazywane jest sporo innych, poufnych / prywatnych wiadomości. I to jest prawdziwa luka, którą trzeba załatać. Na szczęście w Polsce chyba tak łatwo się nie da zmienić operatora?
Trzeba iść do salonu operatora ze swoim dowodem osobistym i podpisać kilka kwitów papierowych i chyba mieć jakąś fakturę za rachunek telefoniczny na ten numer dla pewności