Hallo,
ich habe in den letzten tagen von Bekannten gehört, die eine Überweisung durchführen wollten und so über 2000 Euro verloren haben.
Mich würde mal interessieren, wie das ganze passieren kann und/oder wie ds funktioniert.
Es war kein Phishing. Die Übereisung wurde bei der Volksbank eingegeben und irgendwann ist die Transaktion abgebrochen. Kann ja mal passieren dachte der Kunde und hat die Sache nicht weiter beachtet. Aber die zugangsdaten und die TAN hat jemand ausspioniert und somit eine 2000 Euro Übereisung draus gemacht. Wie kann das funktionieren? Und wo kann das funktionieren (Modem, DSL…)???
Danke für Hilfe!
Grüße
Sebastian
Moien
Mich würde mal interessieren, wie das ganze passieren kann
und/oder wie ds funktioniert.
Es gibt da einige Wege:
Der „beste“ führt über einen kleinen Trojaner der die Streams des IE abfängt und modifiziert (Bug im IE, schon länger bekannt und Fix gab es auch nach ein paar Monaten von M$).
Man kann auch das HCBI-Modul austauchen. Das sollte über 1-2 Installationspopups ohne Viren machbar sein.
Manche Seiten sind auch anfällig für Man-in-the-middle Attacken (Rechner des Hacker tut so als ob er der Bankserver wäre). Die Banken sind halt zu faul/geldgeil um sowas zu beheben. Da man sowas mit DNS-poisening machen kann muss man keinen Zugriff auf den Rechner des Opfer haben. Es hinterlässt auch keinerlei Spuren.
Und wo kann das funktionieren (Modem, DSL…)???
Ist völlig wurscht. Solange man sich über ein unsicheres Netwerk bewegt (Internet), Leute Standards mit Füssen tretten und Qualität als Martekinggag sehen …
cu
Danke dir!
Das hört sich ja an wie ein Kinderspiel!?
Wird da jetzt ein User speziell attackiert, oder ist das ein Automatismus, der zufällg Daten von mehreren Usern ausliest und diese auf Verdacht verwendet werden?
Wenn ich mit DSL arbeite und F-Secure habe, reicht das aus?
Grüße
Sebastian
[Bei dieser Antwort wurde das Vollzitat nachträglich automatisiert entfernt]
Hi,
Wenn ich mit DSL arbeite und F-Secure habe, reicht das aus?
Nein, nicht solange du über einen Webbrowser auf die Bankseite gehst und dann mit PIN und TAN arbeitest.
Kauf dir einen Kartenleser der (mindestens) Sicherheitsklasse 2 (mit eigener Tastatur):
http://www.reiner-sct.com/content/view/4/16/
und die Chipkarte dazu. Das und die erforderliche Software (i.d.R. StarMoney) gibt’s zu günstigen Konditionen bei deiner Bank.
Alles andere kannst du vergessen.
Wenn du dann immer dran denkst, dass deine Bank dir niemals E-Mails schickt und/oder dich nach irgendwelchen Passwörtern fragt bzw. zum Ändern dieser auffordert, wenn du also deine Stuhl-Tastatur-Schnittstelle durch Wissen (und dessen Updates) absicherst, klappt’s auch mit dem Online-Banking.
Viele Grüße
WoDi
1 „Gefällt mir“
Moien
Das hört sich ja an wie ein Kinderspiel!?
Man muss schon ein bisschen Hacken können (… ich hab den MFC-Ansatz vergessen … ).
Wird da jetzt ein User speziell attackiert, oder ist das ein
Automatismus, der zufällg Daten von mehreren Usern ausliest
und diese auf Verdacht verwendet werden?
Der Trojaner der den Streambug von IE ausgenützt hat war nicht gezielt. Er wurde in P2P-Netzen und einigen Foren ausgesetzt und fang zufällig seinen Weg auf die Rechner. War der User zufälligerweise Nutzer einer ihm bekannten Bank …
Man-in-the-middle ist immer auf eine Bank gezielt. Um User auf den Server zu bekommen kann man phishen (Massen-Mails mit falscher URL verschicken, spammen) oder halt schlechte DNS-server ausnützen (wäre grossflächig möglich, würde dann aber auffallen. Es wird also auf eine Gruppe Internetuser (alle die über Provider XY ins Netz gehen) gezielt).
Reines Phishen ohne M-i-M ist IMHO das häufigste: Man spammed halt solange rum bis sich ein paar doofe melden. Technischer Aufwand = 0.
Wenn ich mit DSL arbeite und F-Secure habe, reicht das aus?
Uhm,… nein. Wenn die Bankseite nicht gegen M-i-M abgesichert ist kannst du nix, gar nix machen. Aus Sicht deines Rechners läuft alles perfekt ab. Es gibt nur wenige Banken die so rangehen aber auf heise.de findet werden so 1-2 pro Jahre welche aufgeführt. Pin, TAN, Kartenleser & Co ändern daran auch nix. Die Seite selbst muss sicher sein.
OnlineBanking ist sicher realisierbar. Mit einem sauberen Rechner und einem sicheren Server haben die bösen Jungs keine reale Chance.
Im Moment sieht die Sache anderes aus. Die Chance getroffen zu werden ist allerdings ähnlich hoch wie ein Sechser mit Superzahl im Lotto. Bei den paar Fällen pro Jahr zahlen halt die Banken, fertig aus (IMHO Schweigegeld). Ist für die billiger als ein sicheres System.
cu
1 „Gefällt mir“