FIO

[zivan]

Na PC si hackem, virem zjisti tvoje prihlasovaci udaje do IB (nekdo mu je dobrovolne zada i na podvrzeny email banky) a ty potvrzovaci SMS pak pujdou jemu a ne tobe. Pripadne staci, kdyz se ti dostane do smartphonu (pripojis ho k napadenemu PC) a ten mu umozni ty potvrzovaci SMS preposilat na jeho cislo a u tebe je hned mazat.

[S474N]

Jasne, ciste teoreticky to mozne je, prakticky nerealne. Hlavne se nevydesit k smrti.

[lemming]

Jak to myslíte s tím "prakticky nereálné"? Reálně se takové případy samozřejmě dějí, to není žádná teorie.

[MirekM.]

Nezkoušeli jste někdo zřídit BÚ s kartou u slovenského FIO online? Je bezpodmínečně nutné vše v českém FIO pred tim zrušit?

[S474N]

Jak muzou jit potvrzovaci kody k nemu, kdyz v ramci IB neni mozne zmenit cislo?

[Pezos]

V médiích probleskly zprávy, že někteří operátoři (myslím že ne v ČR) nedostatečně ověřili identitu a klidně vydali náhradní SIM kartu (pod záminkou ztráty) někomu jinému než majiteli čísla. V USA byly i případy, kdy zločinci přímo nabízeli spolupráci zaměstnancům operátora.

Malware na mobil, který bude přeposílat SMS, je druhá možnost.

Mezi teoretické bych z předchozího zařadil útoky přímo na SS7. Proč taky, když sociální inženýrství je jednodušší a se značně vyšším potenciálem úspěchu.

[zivan]

Vymena SIM za 24 milionu $:
http://bitcoinonline.cz/2018/08/20/vyme ... operatora/

[lemmy1978]

Proste bordel ako v usa )) podobne bankove aplikacie mame aj tu a ziadne taketo pripady sa nestavaju. Inak staci si zadat do google at&t or verizon )))) nastvany zamestnanci a otrasny menezment ala majkl z office su pliaga usa mentalov)))

[vlazy]

Tak a teď když už všichni víte jaké nebezpečí hrozí penězům na účtech v bankách tak v pondělí honem do bank a rušit všechny účty aby jste o ty miliony co tam máte náhodou někdo nepřišel. Mám dojem, že se tu někteří snaží šířit zbytečnou paniku.

[lemming]

Jak muzou jit potvrzovaci kody k nemu, kdyz v ramci IB neni mozne zmenit cislo?

Už to tu bylo nakousnuté výše. Jsou následující možnosti, jak tu potvrzovací SMS získat:

1) Trojan v mobilu co ty SMS přesměruje na útočníkovo číslo. Nejčastější varianta.

2) SMS se dají přesměrovat/odposlechnout přímo v síti operátora. Méně pravděpodobné, ale už také uskutečněné. Hlavní problém je, že protokol mezi operátory není nijak zabezpečen, tedy kterýkoli operátor může předstírat, že se k němu mobil zaroamoval a chtít posílat komunikaci pro ten telefon.

3) U hloupějších lidí funguje i sociální inženýring, tedy se s ním spřátelíš třeba na Facebooku pod jménem jeho kamaráda a pak napíšeš něco jako "Sorry, omylem jsem si poslal kód na tvůj telefon, můžeš mi ho přeposlat?" Opět ne moc časté, ale už jsem to taky zaznamenal.

4) Vzhledem k děravému GSM je možné odposlechnout SMS ve chvíli, kdy je doručována do cílového telefonu, ale není to moc praktické - SMS oběti dojde a ona může zpozornit, je nutno být poblíž příjemce.

[tomsln]

Zajímavé téma. Vzhledem k tomu, že většina bank má u loginu výrazný varování před podstrčenými stránkami odhaduji, že se tyhle věci dějí častěji, než si myslíme...

@lemming
A před tou jedničkou se lze chránit jak? Antivirem v mobilu?

[glock69]

"Hloupým" mobilem?

[vpe]

Ad1) Iphone rovnou preposila SMSky v ramci apple id na vsechny zarizeni, takze nepotrebujes trojan. (Preposilani jde pres data, pres apple servery, takze i apple vi kod

Ad2) to je spise teoreticka moznost, protoze narodni operatori spolu neroamuji a mezinarodni, to by musel stihnout okamzik, nez se prihlasi zase telefon v tuzemsku a je tam spousta dalsich podminek

Ad4) UMTS/3G a vyse ma silnejsi klic nez GSM/2G... a kdyz uz jses pobliz tak cilovy telefon muzes jammovat a nic mu neprijde (bankovni sms ma myslim nastavenu nizkou expiraci),

[noi2]

Ono stačí podstrčit falešný IB, při přihlášení uživatele zároveň dělat to samé na skutečném IB a ukazovat uživateli stejná data (vlastně obyčejná proxy). Pokud uživatel ve falešném IB zadá platbu, udělat to samé v reálu, jen s jiným příjemcem a případně počtem nul. Uživatel zadá do falešného IB potvrzovací kód (zdaleka ne každý kontroluje celý text SMS) a je vymalováno. To vše se dá snadno zautomatizovat.

[fc70]

Ne „dá“, tohle se běžně už dlouho dělá. https://en.wikipedia.org/wiki/Zeus_(malware) Přidat do toho další banku znamená jen přidat další konfiguraci, není potřeba nic programovat.

O tom, že infikovaný počítač infikuje i mobil (nebo přesvědčí uživatele, aby s tím pomohl), nebo snad naopak, jsem taky slyšel už před mnoha lety.