Stracił 16 000 PLN bo miał dziurawy router

Wczoraj jeden z naszych czytelników opisał nam, jak z powodu dziury w routerze, z jego konta w mBanku zniknęło 16 000 PLN. Opis samego ataku oraz tego jak sprawdzić, czy wasz router jest dziurawy znajdziecie w tym artykule.

[tom1988]

Tylko po co tworzyć odbiorcę zdefiniowanego?

Idealny system to spreparowana strona, która działa równolegle jako automat z maszyną ofiary.

Ofiara wchodzi na mbank.pl, system oszustów widzi to i w momencie spisywania danych logowania równocześnie loguje się na prawdziwą witrynę. Ofiara jest zalogowana w fakeowej witrynie mbanku, a równocześnie w prawdziwej. System na bieżąco czyta informacje z oryginalnego panelu i przesyła je do fakeowej witryny. Ktoś chce zrobić przelew, może sobie nawet w

[Lk_hc]

(z tego co pamiętam jest tylko numer konta)

@tom1988: U mnie jest wszystko, kwota, nazwa odbiorcy.

No ale jak komuś przyjdzie taki kod ni z gruchy ni z pietruchy to jak ty to sobie wyobrażasz? Wołał cię kiedyś bank do komputera? Bo mnie nie :D

[tom1988]

@Lk_hc: Z reguły ktoś kto robi przelew i dostaje smsa, przepisuje tylko na szybko kod, często bez zwracania uwagi na kwotę (choć może być ta sama) jak i odbiorcę przelewu (z tego co pamiętam jest tylko numer konta). Wystarczy, że ktoś wklepie ten kod do fakeowej strony, a skrypt wklepie ten kod w tym samym czasie do prawdziwej strony i przelew zostanie fizycznie zrealizowany, tyle, że na inne konto.

[t.....1]

Jak można było nie pomyśleć o weryfikacji podglądu pliku i to jeszcze tak ważnego. Co to za programista był.

[Lk_hc]

@tomek001: Programista HTML :-)

[Marmite]

Wchodzę na niebezpiecznika, a on chce ode mnie wprowadzenia captchy, żeby przejść dalej oO pierwszy raz widzę coś takiego

[rzezol]

@Marmite: A może Twój komputer jest w botnecie i faktycznie próbował ddosować ich stronę, a Ty nawet o tym nie wiesz :)

[piko]

@Marmite: dobrze, ze nie kodu z SMS-a ;)

[oscar38]

nie tylko router tu zawinil.

Koles dal sie podejsc jak dziecko i dodal konto odbiorcy do listy przelewow.

czytajcie caly tekst.

Zeby tylko mbank dzieki tej aferze nie zaistrzyl bezpieczenstwa i nie dodal potwierdzania sms do przelewow z listy.

[kamizelka]

sexi sukienka :D

[maddict]

W takich sytuacjach ciesze sie, ze nie posiadam internetu. A moje oszczednosci w skaprecie nie sa nijak narazone.

[p.....y]

Stracił 16k bo nie umiał obsługiwać komputera i był delikatnie mówiąc naiwny. Tacy ludzie byli i będą idealnym targetem do skubania. Większości absolutnie nic nie grozi, pod warunkiem, że wiedzą, że jak nie ma zielonej kłódeczki, to nie klikać nic związanego z pieniędzmi.

Tak, wiem, kłódeczka nie daje 100% pewności czy odporności na ataki, ale np. w tym wypadku gość by się nie dał oskubać, gdyby zwrócił uwagę na jej brak.

[mucher]

@mk-pl-37: Dociąganie przez http mixed-contentu to nie bug - to dziura w bezpieczeństwie jak stąd do Kijowa. wystarczy JEDEN plik z mixed content - i jesteś ugotowany - nie masz ŻADNEJ gwarancji, że ktoś nie przechwycił strony i nie wyśle ona twoich danych gdzieś do Niggerii czy innej Rumunii.

Jeśli robi coś takiego bank - to banda debili i patałachów.

[mnlf]

@pies_harry: w mbanku teraz nie ma już „kłódeczki”, zrezygnowali z https i korzystają ze zwykłego http

Nawet jak sam wejdziesz na stronę do logowania

[https://www.mbank.com.pl/](https://www.mbank.com.pl/)

to przekieruje

[kasper93]

Oj tam, trzeba mieć trochę zdrowego rozsądku. Nie trzeba być ekspertem, żeby zerknąć na pasek czy zgadza się certyfikat. A jak nie zawsze to przynajmniej jak jakieś “dziwne” komunikaty wyskakują. Ale mam wrażenie, że osobom, które się dają na nie złapać nic nie pomoże :| Ataki w takiej czy innej postaci zawsze będą, a najlepszą ochroną jest nasz własny mózg.

[ewolucja_myszowatych]

chwila, jak złodziej dostał się na router?

[teraz_fred_wyrucha_was]

@ewolucja_myszowatych: dzwonili z kontroli lotów, uprzejmie proszą abyś zszedł na ziemię i przypominają że puki co terytorium Polski nie zostało przyłączone do Stanów Zjednoczonych...

[Marmite]

@ewolucja_myszowatych: http://niebezpiecznik.pl/post/dziura-w-routerach-z-firmwarem-zyxel-a-m-in-tp-link/

[enron]

Jak się ochronić? Myśleć! Koniec opowieści.