Jak złodzieje podmieniaja nr kont do przelewu internetowego...czyli jak stracic kase

[Robert Gdansk]

Ukryta Zawartość

Zaloguj się, aby zobaczyć treść.

Zaloguj się, aby zobaczyć treść (możliwe logowanie za pomocą )

 

Proponuje obejrzec...wpisany prawidłowy nr konta ale jakis skrypt zamienia go na lewy nr konta. I tylko sprawdzenie SMS i porownanie tego moze uchronic nas przed duzym problemem.

Kazdy z nas robi przelewy, na rozne kwoty wiec od dzis radze sie miec na bacznosci.

Ukryta Zawartość

Zaloguj się, aby zobaczyć treść.

Zaloguj się, aby zobaczyć treść (możliwe logowanie za pomocą )

[muls]

nie tak do konca.Wykonujac przelew bank ma dwie informacje.Nr konta odbiorcy i JEGO dane osobowe.Te dwie rzeczy musza sie zgadzac i sa scisle powiazane..Jesli bank robi przelew kierujac sie TYLKO kontem....to daje ciała i placi.

 

jesli mu to jest niepotrzebne to po cholore kaze to wypelniac pod rygorem braku mozlwosci przelania.Niezupelnie lotny adwokat to zalatwi.

 

oczywiscie OD banku bo to jego sprawa.

[firekage]

nie tak do konca.Wykonujac przelew bank ma dwie informacje.Nr konta odbiorcy i JEGO dane osobowe.Te dwie rzeczy musza sie zgadzac.Jesli bank robi przelew kierujac sie TYLKO kontem....to daje ciała i placi.

 

jesli mu to jest niepotrzebne to po cholore kaze to wypelniac pod rygorem braku mozlwosci przelania.Niezupelnie lotny adwokat to zalatwi.

 

On w tym filmie o tym mówił - konto było inne, dane klientki zgadzały się. Co ciekawe, dopiero zły numer konta widnieje na tym specjalnym wydruku, za to w historii wszystko się zgadza. Według mnie tutaj nie ma co winić autora nawet jeśli miałby wirusy na komputerze - logował się na połączenie szyfrowane. Mnie to osobiście śmieszą te zabezpieczenia, biorąc pod uwagę to, co oglądaliśmy.

 

Ps - dlatego siedzę i płacę pod linuxem, na którym żaden exe i plik wykonywalny, sam nic nie zrobi.

[muls]

onto było inne, dane klientki zgadzały się

jesli bank robi przelew to pani przelewajaca widzi dane i konto.Jesli przelew odbywa sie bez udzialu pani to tym bardziej zbedne sa dane osobowe.

 

ćóś tu nie gra.

 

a jesli jak wypadku PKO BP nie ma sms a jest nr ze zdrapki to w zyciu nie zorierntujesz sie ze podmieniono konto.Dopiero przy pdf.

 

po fakcie.

[fox733]

Problem tkwi w tym czy to co widzi na ekranie komputera (historia przelewu) to dane pobrane z banku czy ciągle te podmienione przez wirusa. Bo skoro na sms kodzie do potwierdzenia oraz pliku pobranym z banku widdniał podmieniony kod to oznacza, że to nie wina banku. Z filmu nie wynika, czy dalej jest na zawirusowanym komputerze czy nie,

Jeśli jednak logując się z dowolnie innego kompa dalej w historii widać właściwy rachunek to jak najbardziej winny jest bank.

[muls]

jesli konto jest podmienione w drodze do pani to pani powinna to zauwazyc.Jesli po pani to odpowiada bank.tak czy siak.

[Jaro_747]

Przecież to staroć, z początku roku chyba. Banki przed tym przestrzegały. Facet ma malware który w locie podmienia numer konta i to samo robi przy wyświetlaniu HTML-a, ale z pdf-em już sobie nie radzi. Komp dalej musi być zawirusowany. Szyfrowanie połączenia nie ma tu nic do rzeczy.

 

A tego trojana facet najpewniej sam odpalił, tylko już tego nie kojarzy.

[Melepeta]

Wygląda na to, że ma podmienioną stronę banku. I przez nią się loguje. Pokazał na filmie kłódeczkę, ale certyfikatu już nie sprawdził.

[muls]

Banki przed tym przestrzegały. Facet ma malware który w locie podmienia numer konta i to samo robi przy wyświetlaniu HTML-a, ale z pdf

no dobrze ale nadal nie jest jasne co z danymi odbiorcy.Skupilisice sie na koncie a sa jeszcze dane.Kto i jak przelewa faktycznie sume.

[cir]

opisujecie stary numer , niestety nalezy czytywac komunikaty od swojego banku -regularnie takie rzeczy podaja

zasyfiony komputer podmienial wszystko i jedynie zwrotka z banku sms-owa do potwierdzenia przelewu pokazywała gdzie tak naprawde slemy kase

kto nie przeczytał ten wysyłal tam gdzie chciał zlodziej

[Melepeta]

no dobrze ale nadal nie jest jasne co z danymi odbiorcy.Skupilisice sie na koncie a sa jeszcze dane.Kto i jak przelewa faktycznie sume.

W danych możesz wpisać Józef Stalin, czy Włodzimierz Lenin zamieszkały w mauzoleum. Bank tego nie weryfikuje.

[Robert Gdansk]

W danych możesz wpisać Józef Stalin, czy Włodzimierz Lenin zamieszkały w mauzoleum. Bank tego nie weryfikuje.

 

Dokładnie...mozesz wpisac Królik Bugs...i przelew dojdzie

po prostu przestrzegam przed takimi nr bo ja np nie slyszalem o takim nr (chytre to naprawde).

I sie ciesze jak raz przelewalem podobna sume i Bank Millenium (swoja droga wkurw... mnie we wszystkim) tym razem sie zachował na poziomie bo zadzwonił Pan i spytał sie czy rzeczywiscie na taki nr konta ma isc przelew.

[fetek]

Według mnie tutaj nie ma co winić autora nawet jeśli miałby wirusy na komputerze - logował się na połączenie szyfrowane

szyfrowanie uniemożliwia podsłuch, nie weryfikuje wprowadzania danych.

 

Wygląda na to, że ma podmienioną stronę banku. I przez nią się loguje. Pokazał na filmie kłódeczkę, ale certyfikatu już nie sprawdził.

zamiana numeru odbywa się w schowku, kopiując z notatnika do notatnika numer też zostanie zmieniony.

[Jaro_747]

no dobrze ale nadal nie jest jasne co z danymi odbiorcy.Skupilisice sie na koncie a sa jeszcze dane.Kto i jak przelewa faktycznie sume.

 

Kto przelewa, to wiadomo. Właściciel rachunku. Danych odbiorcy bank nie sprawdza.

Pierwsze tego typu trojany specyficzne dla Polski nasłuchiwały zawartość schowka Windows i czekały na dane mające strukturę numeru konta. Gdy ktoś robił przelew przeklejając numer konta (metodą "wytnij i wklej" np. z faktury którą dostał na maila) zawartość schowka była podmieniana numerem podstawionego konta.

Widzę, że teraz metoda ta została udoskonalona o ile rzeczywiście ofiara nie została przekierowana na fałszywą stronę banku.

[muls]

Ale ja to rozumiem natomiast ciagle sie pytam DLACZEGO bank nie weryfikuje danych skoro ich żąda.A wynika z tego nastepne pytanie .Jak to sie odbywa.Automatycznie czy robi to pani.

 

skoro dzwoni pani przy przelewach wiekszych.Jest jeszcze nastepne pytanie a co w takim razie przy numerach z zdrapek i odpowiedzialnosci banku wtedy..

 

jesli dzwoni pani z pytaniem o zasadnosc kwoty to rowniez mozecie przelac wlasciwa kwote na niewłasciwe konto skoro załozymy ze nie sa wazne dane włąsciciela konta odbierajacego.

[Peter75]

muls - bank nie żąda danych do przelewu, wpisujesz cokolwiek i dojdzie, wiem z doświadczenia. Przy większych kwotach dzwoni pani/pan i jedynie potwierdza to co wpisałeś, też bez weryfikacji czy nr konta zgadza się z danymi właściciela konta.

 

Tym sposobem za wszystko jest odpowiedzialny klient. Przy większym przelewie bank zadzwonił? zadzwonił. Klient potwierdził dane? potwierdził. i cześć.

[Gość stary bej]

http://samcik.blox.pl/2015/05/Kradna-SMS-y-autoryzacyjne-podmieniaja-numery.html

 

dlatego siedzę i płacę pod linuxem

 

to oczywiście połowa sukcesu, ale aby dopełnić, należałoby otrzymywać sms-y na ("zwykły") telefon, nie posiadający łączności z netem - wszystkie nowoczesne zabawki odpadają, gdyż mogą zostać zhakowane zdalnie.

[fetek]

SMS'y podmienili nawet 10 lat tamu, o fałszywszych stronach trąbi się od kilku lat, trojany które zmieniają dane też już były.. wszystko było. Na użytkownika bez mózgu i tak nie ma rady... banki, firmy kurierskie, poczta polska i wiele innych firm przysyła faktury oraz inne aplikacje a ludzie to otwierają. Czemu jedni mają 1-2 wirusy na 10 lat mimo braku zabezpieczeń a inni tyle w ciągu miesiąca mimo że avast albo inne badziewie czuwa?

 

przecież XP jest super...

 

Co nie zmienia faktu że zabezpieczenia są zbyt słabe i coś należy z tym zrobić, cofnąć przelew to też nie takie hop.

[firekage]

Ukryta Zawartość

Zaloguj się, aby zobaczyć treść.

Zaloguj się, aby zobaczyć treść (możliwe logowanie za pomocą )

 

 

 

to oczywiście połowa sukcesu, ale aby dopełnić, należałoby otrzymywać sms-y na ("zwykły") telefon, nie posiadający łączności z netem - wszystkie nowoczesne zabawki odpadają, gdyż mogą zostać zhakowane zdalnie.

Tak właśnie jest. Telefon, co prawda z Androidem, ale nie ma łączoności z netem, dane pakietowe są zablokowane.

Ukryta Zawartość

Zaloguj się, aby zobaczyć treść.

Zaloguj się, aby zobaczyć treść (możliwe logowanie za pomocą )

[Gość Tubatoon]

Ps - dlatego siedzę i płacę pod linuxem, na którym żaden exe i plik wykonywalny, sam nic nie zrobi.

 

Pod Windows żaden EXE, ani plik wykonywalny też SAM nic nie zrobi, wielkie mi halo.

[Gość A&T]

Potwierdzam. W PKO BP przy większych kwotach dzwonią z pytaniem o potwierdzenie. Tak powinno być we wszystkich bankach.

[firekage]

Pod Windows żaden EXE, ani plik wykonywalny też SAM nic nie zrobi, wielkie mi halo.

Kliknij w linka w emailu i już masz problem.

[Gość Tubatoon]

Pod Windows żaden EXE, ani plik wykonywalny też SAM nic nie zrobi, wielkie mi halo.

Kliknij w linka w emailu i już masz problem.

 

Powtórzę, podkreślę i wytłuszczę:

 

Pod Windows żaden EXE, ani plik wykonywalny też SAM nic nie zrobi, wielkie mi halo.

[Less]

Nidy nie kliknąłeś czegoś przez przypadek? Albo bez zastanowienia?

 

W linuxie można sobie kliknąć przypadkowo lub bez dogłębnej analizy i

żaden EXE, ani plik wykonywalny nic nie zrobi

 

Większość czasu pracuje w Windows. Bankowość staram się robić przez Linuxa o ile lenistwo mnie nie pokona (nie chce mi się restartować kompa). Po ostatnich doniesieniach będę bardziej konsekwentny.

[Gość Tubatoon]

Nidy nie kliknąłeś czegoś przez przypadek? Albo bez zastanowienia?

 

Nie.

Najważniejszy system antywirusowy znajduje się między uszami użytkownika. Bez niego to Ci i linux nie pomoże.

 

Bankowość staram się robić przez Linuxa o ile lenistwo mnie nie pokona (nie chce mi się restartować kompa). Po ostatnich doniesieniach będę bardziej konsekwentny.

 

Na zainfekowany cache DNS w routerze to i linux Ci nie pomoże.

[firekage]

 

Na zainfekowany cache DNS w routerze to i linux Ci nie pomoże.

 

Routery, te lepsze, mają sporo zabezpieczeń. Sprzętowe NAT'y, FIREWALL'E, flitracja po MAC'ach itd.

[Gość Tubatoon]

Na zainfekowany cache DNS w routerze to i linux Ci nie pomoże.

Routery, te lepsze, mają sporo zabezpieczeń. Sprzętowe NAT'y, FIREWALL'E, flitracja po MAC'ach itd.

 

Zgadza się, mają.

 

Tylko większość użytkowników ma w domach jakiejś srutery za złotówkę od swojego dostawcy internetu latające na domyślnych hasłach i ustawieniach.

 

Ale co tam, Linuks ich obroni :-)

 

Nie żebym nie lubił tego systemu.

Tylko śmiać mi się chce jak słyszę "mam Linuksa, także jestem bezpieczny".

[firekage]

Zgadza się, mają.

 

Tylko większość użytkowników ma w domach jakiejś srutery za złotówkę od swojego dostawcy internetu latające na domyślnych hasłach i ustawieniach.

 

Ale co tam, Linuks ich obroni :-)

 

Nie żebym nie lubił tego systemu.

Tylko śmiać mi się chce jak słyszę "mam Linuksa, także jestem bezpieczny".

 

Zdajesz sobie sprawę z tego, że Twój post wyklucza sam siebie? User mający tani ruter, za przysłowiową złotówkę, od dostawcy "neta", ma jednocześnie Windowsa...i bardzo niski poziom świadomości komputerowej...user świadomy, znający linuxa, nie musi mieć ochrony w samym ruterze - może, nie musi. Jednocześnie, pewnie ma znacznie lepszy ruter niż wynalazki. Mój stary D-Link (bodaj DIR300 ze switch'em 100MB/s) już miał opcje, o których wspominałem, a to sprzęt za...1 zł od operatora internetu...więc wiesz...

 

Ps - oddzielmy dwa sprzęty: prawdziwe rutery od wynalazków multi-room'owych, czyli pseudo ruterów, w których ma się nikłą możliwość konfiguracji bo jest preinstalowany system pod telewizje i łatwy dostęp użytkowników...a to właśnie ten sprzęt jest często wciskany ludziom za "1 zł".

[Xymox drugi]

Kto przelewa, to wiadomo. Właściciel rachunku. Danych odbiorcy bank nie sprawdza.

Pierwsze tego typu trojany specyficzne dla Polski nasłuchiwały zawartość schowka Windows i czekały na dane mające strukturę numeru konta. Gdy ktoś robił przelew przeklejając numer konta (metodą "wytnij i wklej" np. z faktury którą dostał na maila) zawartość schowka była podmieniana numerem podstawionego konta.

Widzę, że teraz metoda ta została udoskonalona o ile rzeczywiście ofiara nie została przekierowana na fałszywą stronę banku.

A skąd ten trojan,wirus czy jak tam,wiedział który przelew przekierować? Czemu pośród wielu dużo mniejszych wybrał akurat ten największy?

[dd6]

1. Bank nie weryfikuje adresu i nazwy użytkownika i robi przelew wyłącznie na podstawie numeru konta bo takie są WYMOGI UNIJNE. Wcześniej było inaczej i bank był odpowiedzialny za weryfikację tych danych, częściowo, bo w sądach przyjmowano, że w połowie jest to odpowiedzialność banku, a w połowie użytkownika.

 

2. Smartfona mozna zhakować nie tylko przez net, wystarczy że użytkownik podepnie go do swojego kompa po usb, albo otrzyma odpowiedni mms.

 

3. Jest jeszcze metoda polegająca na przejęciu numeru telefonu: złodziej z podrobionym dowodem przenosi numer do innego operatora albo bierze w punkcie drugą kartę sim