Sicherheitsaspeke bei Kreditkarten und Banking

[geos]

ANZEIGE

Wer mal etwas näher wissen möchte, wie Kreditkarteninformationen abgephisht (und z.T. praktischerweise dann auch bei Apple Pay angemeldet) werden:

Exposing Darcula: a rare look behind the scenes of a global Phishing-as-a-Service operation

www.mnemonic.io

Bei Interesse auch die verlinkten Beiträge des norwegischen Rundfunks lesen.
Ist alles nichts Neues, aber nett geschrieben.

 

[geos]

Phishing-Opfer geht leer aus: Versicherung lehnt SMS-Betrug ab

Nicht jeder Schaden, der durch digitale Täuschung entsteht, ist laut Landgericht Bielefeld direkt durch eine Hausratversicherung mit Internetschutz abgedeckt.

www.heise.de

Das Urteil ist jetzt keine Überraschung für alle, die den Unterschied zwischen Email und SMS kennen. Bei so manchen Verbrauchern dürfte das allerdings nicht der Fall sein.
Inhaltlich zeigt der Fall einen sehr typischen Angriff auf Bankkunden. Das Problem ist, dass Banken ja durchaus mit ihren Kunden elektronisch kommunizieren und außerdem ab und an ihre Verfahren verändern bzw. neue Verfahren einführen, wobei dann z.T. eine Interaktion/Bestätigung des Kunden notwendig sein könnte. Wenn die Angreifer dies sprachlich gut imitieren und ein plausibel klingendes Szenario erfinden, hat der Kunde, der die Prozesse und Technik nicht durchblickt, aber nicht "zurückgeblieben" sein möchte und daher dennoch da aktiv mitmachen zu müssen und nicht zu "verweigern" (wozu die Banken ihre Kunden ja grundsätzlich auch bringen möchten), ein hohes Risiko, darauf reinzufallen.

 

[vlugangst]

darunter auch die Targobank übrigens, deren TAN-Gerät gar nicht weiß, was IP ist. Das ist ja gerade einer der Sicherheitsvorteile dieser Verfahren

Warum ist das Scannen einer auf einem unkompromittierten PC angezeigten photoTAN-Grafik mit einem photoTAN-Generator ohne Internetverbindung sicherer als das Scannen mit einer u. U. kompromittierten photoTAN-App auf einem Smartphone? Was ist der maximale Schaden? IMHO die Tatsache, dass die Transaktion nicht ausgeführt werden kann, weil die TAN falsch ist. Oder?

 

[knauserix]

Warum ist das Scannen einer auf einem unkompromittierten PC angezeigten photoTAN-Grafik mit einem photoTAN-Generator ohne Internetverbindung sicherer als das Scannen mit einer u. U. kompromittierten photoTAN-App auf einem Smartphone? Was ist der maximale Schaden? IMHO die Tatsache, dass die Transaktion nicht ausgeführt werden kann, weil die TAN falsch ist. Oder?

???

was genau ist jetzt die Frage ?

 

[vlugangst]

Äh, die, die da stehen? Anders formuliert: Worin besteht der von @geos behauptete Sicherheitsvorteil der Generatoren gegenüber den Apps?

 

[knauserix]

Äh, die, die da stehen? Anders formuliert: Worin besteht der von @geos behauptete Sicherheitsvorteil der Generatoren gegenüber den Apps?

dass der Generator nicht von außen (z.B. via Internet) angegriffen werden kann.
die sonstigen Angriffsmöglichkeiten beim Webbanking bleiben natürlich vorhanden, aber eine weniger unter den potentiell möglichen ist es halt schon. und auf dem Generator ist ja zu sehen, wohin eine Überweisung wirklich geht (das gilt bei der Smartphone-App, die die Funktion des Generators ersetzt, halt nur, wenn diese nicht kompromittiert wurde).

 

[vlugangst]

Ich fragte es sinngemäß schon oben: Was, außer einer falschen TAN, kann das Ergebnis einer kompromittierten photoTAN-App sein?

 

[websgeisti]

und auf dem Generator ist ja zu sehen, wohin eine Überweisung wirklich geht (das gilt bei der Smartphone-App, die die Funktion des Generators ersetzt, halt nur, wenn diese nicht kompromittiert wurde).

Es ist bei den meisten Phishing Betrügereien komplett irrelevant was im Display vom Generator oder im Smartphone steht. Die Opfer geben dennoch alles frei sobald der vorgeschobene Grund am Telefon nur „nett klingt“. Und kompromittierte Apps sind jetzt vielleicht auf Android ein Ding, aber nur wenn man jeden Mist (auch aus fremden Quellen installiert).

 

[knauserix]

Ich fragte es sinngemäß schon oben: Was, außer einer falschen TAN, kann das Ergebnis einer kompromittierten photoTAN-App sein?

Das Ergebnis kann evtl. sein, dass ein nicht vom Kontoinhaber wirklich gewollter Auftrag freigegeben wird (z.B. an eine andere Bankverbindung als dort scheinbar angegeben).

Beitrag automatisch zusammengeführt: Freitag um 11:58

Es ist bei den meisten Phishing Betrügereien komplett irrelevant was im Display vom Generator oder im Smartphone steht.

Das gilt für das Phishing. Und für die Opfer dieser Masche.

Ich schaue mir bei Überweisungen immer die IBAN an, die das jeweilige Authentifizierungs-Gerät angibt.

Beitrag automatisch zusammengeführt: Freitag um 11:59

Und kompromittierte Apps sind jetzt vielleicht auf Android ein Ding, aber nur wenn man jeden Mist (auch aus fremden Quellen installiert).

Und im Apple Store gab es noch nie irgendwelche Apps, die später als gefährlich eingestuft wurden ?

 

[mattes77]

Ich werfe mal in dem Raum, dass gerade unter Android
der Playstore voller "komprimentierter" Apps ist. Aber
die Schäden werden selten bekannt. Weil die Banken
sich irgendwie "geräuschlos" mit den Kunden einigen.
Oder die Kunden aus Scham nicht zur Polizei gehen.
Oder etliche Kunden wahrscheinlich ihre Finanzen
sowieso nicht überblicken. Sodass "kleinere" Abbuchungen
(bis in den dreistelligen Bereich über mehrere Monate
wohl auch nicht auffallen!

 

[websgeisti]

Aber
die Schäden werden selten bekannt. Weil die Banken
sich irgendwie "geräuschlos" mit den Kunden einigen.
Oder die Kunden aus Scham nicht zur Polizei gehen.

Quelle: „Vertrau mir Bruder“

 

[geos]

Warum ist das Scannen einer auf einem unkompromittierten PC angezeigten photoTAN-Grafik mit einem photoTAN-Generator ohne Internetverbindung sicherer als das Scannen mit einer u. U. kompromittierten photoTAN-App auf einem Smartphone? Was ist der maximale Schaden? IMHO die Tatsache, dass die Transaktion nicht ausgeführt werden kann, weil die TAN falsch ist. Oder?

Kommt auch die konkrete Implementation an. Es gibt gibt Systemen, bei denen auf dem TAN-Gerät die Transaktionsdaten angezeigt werden. Wenn der Angreifer es schafft, diese Anzeige zu manipulieren (und das Onlinerbanking im Browser o.ä. natürlich auch in seiner Hand ist), kann er z.B. bei Überweisungen dem Nutzer die vermeintliche Ziel-IBAN (und Betrag) anzeigen, während er die Überweisung in Wirklichkeit auf ein Konto unter seiner Kontrolle gehen lässt.
Andere Möglichkeit, falls er das Gerät mit der TAN-App kompromittiert, wäre, selbständig eine TAN zu erzeugen für eine Transaktion seiner Wahl. Die notwendigen Credentials sind ja in der App gespeichert.

Alle Angriffsszenarien setzen voraus, dass der PC/Browser (über den das OLB gemacht wird) auch kompromittiert ist. Falls man das in seiner Risikobetrachtung kategorisch ausschließt, braucht man gar keine TANs. Diese wurden ja genau deswegen eingeführt (als "zweiter Faktor" sozusagen).
Und ja, es gibt in der Praxis erfolgreiche Angriffe auf PC/Browser + Smartphone.
Und nochmals ja, häufig ist der Mensch dabei die entscheidende Schwachstelle.

 

[knauserix]

Es gibt gibt Systemen, bei denen auf dem TAN-Gerät die Transaktionsdaten angezeigt werden. Wenn der Angreifer es schafft, diese Anzeige zu manipulieren (und das Onlinerbanking im Browser o.ä. natürlich auch in seiner Hand ist), kann er z.B. bei Überweisungen dem Nutzer die vermeintliche Ziel-IBAN (und Betrag) anzeigen, während er die Überweisung in Wirklichkeit auf ein Konto unter seiner Kontrolle gehen lässt.

Genau vor solchen Angriffen schützen die (batteriebetriebenen) TAN-Geräte mit IBAN-Anzeige zuverlässig, wie sie z.B. von Deuba, Cobank/comdirect, HVB und den Geno-Banken angeboten werden.

 

[geos]

Das ist genau das, was ich ursprünglich geschrieben hatte (und wozu vlugangst Erläuterungsbedarf geäußert hat).

 

[mattes77]

So sehe ich das auch.

 

[fzang]

Alle Angriffsszenarien setzen voraus, dass der PC/Browser (über den das OLB gemacht wird) auch kompromittiert ist. Falls man das in seiner Risikobetrachtung kategorisch ausschließt, braucht man gar keine TANs. Diese wurden ja genau deswegen eingeführt (als "zweiter Faktor" sozusagen).

Ganz genau richtig zusammengefasst!

 

[knauserix]

Und ja, es gibt in der Praxis erfolgreiche Angriffe auf PC/Browser + Smartphone.
Und nochmals ja, häufig ist der Mensch dabei die entscheidende Schwachstelle.

und deswegen sind natürlich die Onlinebanking-Aktivitäten, die ausschließlich über die App im Smartphone + Freigabe ebenfalls darüber -in "2. Kanal" oder separater App- stattfinden, besonders gefahrenträchtig.

Gerade bei Nutzung einer Banking-App der betroffenen Bank auf dem Handy empfiehlt es sich daher eigentlich, ein separates Gerät zur Freigabe zu verwenden (kann auch ein 2. Smartphone sein; immer noch besser, als alles auf einem einzigen Gerät abzuwickeln, so bequem das auch sein mag).

 

[websgeisti]

Gerade bei Nutzung einer Banking-App der betroffenen Bank auf dem Handy empfiehlt es sich daher eigentlich, ein separates Gerät zur Freigabe zu verwenden (kann auch ein 2. Smartphone sein; immer noch besser, als alles auf einem einzigen Gerät abzuwickeln, so bequem das auch sein mag).

Dann bitte erstmal hier wirkliche Beispiele nennen, bei denen eine kompromittierte App das Konto leergeräumt hat. Es wird hier andauernd als Beispiel genannt. Die Fälle von denen man liest bei denen Konten leergeräumt worden sind, lagen aber ausschließlich am Faktor Mensch (Phishing mit Social Engineering). Ob da jetzt eine TAN von Chiptan per Telefon dem Betrüger weitergegeben wird oder eine App Freigabe aufgrund einer Lüge des Betrügers am Telefon erteilt ist, ist praktisch das gleiche.

Naivere Personen vertrauen noch auf die Rufnummeranzeige am Telefon oder wenn ein Logo der Bank in einer Email verwendet wird. Und die glauben auch meistens, wenn der Betrüger was wie „Wir müssen ihr Geld in Sicherheit bringen. Bitte überweisen Sie 5.000€ an den Vorstand der Bank mit der IBAN die ich Ihnen gleich nenne. Falls Sie eine Meldung sehen, dass der Empfänger von der IBAN abweicht, beachten Sie den Hinweis nicht, denn damit wollen die Betrüger Sie verwirren.“ am Telefon sagt. Das sind immer ähnliche Maschen die fast unverändert so seit zig Jahren oder Jahrzehnten ablaufen.

 

[knauserix]

Dann bitte erstmal hier wirkliche Beispiele nennen, bei denen eine kompromittierte App das Konto leergeräumt hat. Es wird hier andauernd als Beispiel genannt. Die Fälle von denen man liest bei denen Konten leergeräumt worden sind, lagen aber ausschließlich am Faktor Mensch (Phishing mit Social Engineering). Ob da jetzt eine TAN von Chiptan per Telefon dem Betrüger weitergegeben wird oder eine App Freigabe aufgrund einer Lüge des Betrügers am Telefon erteilt ist, ist praktisch das gleiche.

Naivere Personen vertrauen noch auf die Rufnummeranzeige am Telefon oder wenn ein Logo der Bank in einer Email verwendet wird. Und die glauben auch meistens, wenn der Betrüger was wie „Wir müssen ihr Geld in Sicherheit bringen. Bitte überweisen Sie 5.000€ an den Vorstand der Bank mit der IBAN die ich Ihnen gleich nenne. Falls Sie eine Meldung sehen, dass der Empfänger von der IBAN abweicht, beachten Sie den Hinweis nicht, denn damit wollen die Betrüger Sie verwirren.“ am Telefon sagt. Das sind immer ähnliche Maschen die fast unverändert so seit zig Jahren oder Jahrzehnten ablaufen.

Hier

Smartphone-App räumt still Konto leer – Android-Nutzer aufgepasst

Smartphone-Besitzer mit Android-Betriebssystem sollten bei der Installation von Apps aufpassen. Cyberkriminelle versuchen, Bankdaten abzugreifen.

www.fr.de

wurde mal wieder darüber berichtet.

Ich denke aber, wie schon weiter oben von jemandem gepostet, dass die meisten dieser Fälle von den betroffenen Banken 'geräuschlos' bereinigt werden (d.h. unbürokratischer Ersatz bei Verschweigens-Verpflichtung durch die Betroffenen); denn keine Bank will da gerne eine Berichterstattung in der Presse sehen (könnte schließlich zu einer gewissen Kunden-Flucht führen).

 

[websgeisti]

wurde mal wieder darüber berichtet.

Ja, aber das passiert nur, wenn User alles installieren was bei drei auf dem Baum ist. Eben solche „Sicherheitsapps“, vielleicht auch noch aus dritten Quellen etc. Ebenso geben User dann Zugriff auf die NFC Schnittstelle usw. frei, obwohl die entsprechende App das nicht mal braucht.

In der Regel hilft es schon: Nur Apps aus dem offiziellen App Store laden, keine Virenscanner oder „Security“ Apps laden. Sich anschauen was der Entwickler sonst so installiert.

Das was @mattes77 meinte ist nur wieder eine seiner typischen Vermutungen, weil er ja jeglichen „Fortschritt“ ablehnt und pauschal Apps als „böse“ ansieht. Ich sehe dennoch die Wahrscheinlichkeit deutlich höher, dass Konten leergeräumt werden, weil der Nutzer Fehler gemacht hat.

 

[knauserix]

Ich sehe dennoch die Wahrscheinlichkeit deutlich höher, dass Konten leergeräumt werden, weil der Nutzer Fehler gemacht hat.

ja natürlich dürfte in den allermeisten Fällen der jeweilige Nutzer bzw. seine fehlende Vorsicht/Erfahrung/Umsicht der Grund sein.

Aber man kann auch mit einer gewissen Erfahrung nicht alle Risiken ausschließen, selbst bei Nutzung relativ neuer Geräte und regelmäßigem Aufspielen der Updates, wie z.B. dies hier zeigt:

Samsung-Smartphones: Wer ein älteres Modell besitzt, muss aktiv werden

Wer jetzt noch ein älteres Samsung-Smartphone nutzt, ist machtlos gegen ein einziges, manipuliertes Bildformat.

www.giga.de

Das Samsung s24 nutze ich derzeit noch (mein 2-Jahres-Vertrag läuft halt auch noch). Es hätte also auch mich treffen können, durch so einen Angriff ausgespäht zu werden. Es gibt einfach auch Angriffe, die nicht allein aufgrund der Blödheit oder Unerfahrenheit des Nutzers funktionieren. Das sollte man ganz realistisch sehen ... und nicht einfach davon ausgehen, selbst sei man ja sowieso schlauer ... und werde deshalb nicht davon betroffen sein.

Jedenfalls gehe ich selbst für mich davon nicht aus.


PS:
aber am Rande erwähnt: ich selbst habe meine erste Online-Überweisung im Herbst 1990 gemacht (damals noch Btx), so etwa ab 1992/93 auch Börsengeschäfte via Internet (über einen US-Broker), betreibe also seit über 35 Jahren Online-Banking ... und war noch nie Opfer einer solchen Masche beim Onlinebanking ... und versuche aber halt auch immer, alle sinnvollen Vorsichtsmaßnahmen einzuhalten ...
bislang war es erfolgreich ... aber wer kann schon in die Zukunft sehen ...

 

[geos]

Gerade bei Nutzung einer Banking-App der betroffenen Bank auf dem Handy empfiehlt es sich daher eigentlich, ein separates Gerät zur Freigabe zu verwenden (kann auch ein 2. Smartphone sein; immer noch besser, als alles auf einem einzigen Gerät abzuwickeln, so bequem das auch sein mag).

Um da noch eines draufzusetzen: leider bringt dies nichts bei Banken, die keine separate TAN-App anbieten, sondern zwingend die TANs über eine Banking-App erzeugen, die selbst wiederum volle Zugriffsrechte auf das Konto bietet, egal ob der legitime Nutzer nun davon Gebrauch macht oder nicht. Von daher ist das eine sehr schlechte Sicherheitspraxis, weil sie dem Nutzer die Möglichkeit der Gerätetrennung nimmt.

 

[knauserix]

Um da noch eines draufzusetzen: leider bringt dies nichts bei Banken, die keine separate TAN-App anbieten, sondern zwingend die TANs über eine Banking-App erzeugen, die selbst wiederum volle Zugriffsrechte auf das Konto bietet, egal ob der legitime Nutzer nun davon Gebrauch macht oder nicht. Von daher ist das eine sehr schlechte Sicherheitspraxis, weil sie dem Nutzer die Möglichkeit der Gerätetrennung nimmt.

ja klar, Banken, die alles über eine einzige App abwickeln lassen, haben erhebliche Sicherheitsrisiken.

Dazu gehört ja z.B. auch die Ing -Diba, wobei man deren App ja immerhin auf 3 Smartphones installieren kann ... und bei Nutzung des Webbrowsers dann ja gefragt wird, mit welchem Smartphone man die Authentifizierung durchführen möchte.

Diese Variante geht ja bei einer Reihe von Banken in dieser oder ähnlicher Weise, so jedenfalls wohl bei vielen oder fast allen Sparkassen, wohl allen Genobanken bzw. allen am Atruvia-RZ hängenden Banken, der DB-Gruppe, Cobank/Comdirect und vermutlich diversen anderen auch.

Vor allem viele Newcomer am Bankenmarkt hingegen leisten sich einen zweifelhaften Umgang mit solchen Sicherheitsaspekten und koppeln das Konto zwingend an ein einziges Smartphone (z.B. Trade Republic, Openbank, C 24, N 26 jedenfalls früher -aktelle Kenntnis fehlt mir -, u.a.). Aber auch die Santander macht das so. Und die HVB, wobei die zusätzlich ein Photo-TAN-Gerät bietet.

In Sachen Sicherheit ist man also doch wohl am besten aufgehoben bei den 'traditionellen Instituten'.

 

[avator]

Wobei man bei Santander, Openbank und BBVA als TAN SMS nutzen kann, damit kann man es also entkoppelt von einem Gerät.
Bei der DKB geht es leider nicht. Da läuft leider alles mit einer App und somit mit einem Gerät.

 

[knauserix]

ANZEIGE

Wobei man bei Santander, Openbank und BBVA als TAN SMS nutzen kann, damit kann man es also entkoppelt von einem Gerät.

richtig (mache ich auch so; allerdings ist SMS-TAN auch anfällig für betrügerische Angriffe).

Beitrag automatisch zusammengeführt: Gestern um 13:02

Bei der DKB geht es leider nicht. Da läuft leider alles mit einer App und somit mit einem Gerät.

stimmt auch, allerdings kann man sich auch auf den anderen Smartphones, auf denen die App installiert ist, einloggen, und dort das Standard-Gerät ändern; das ist gar nicht sooo schlecht gelöst.