[g.....i]

Instrukcja, jak bez trudu włamać się komuś na konto w mBanku (Tobie też).

Wymagania:
1. PESEL ofiary.
2. Nazwisko panieńskie ofiary.
3. Chwila nieuwagi ofiary, gdy spuszcza ona z oka swój telefon (może być zablokowany).

Instrukcja.
1. Instalujemy na *swoim* telefonie aplikację mBank.
2. Czekamy, aż ofiara zostawi swój telefon na chwilę (np. kolega z pracy pójdzie do kibla i zostawi go na biurku).
3. Wybieramy aktywację telefoniczną i wpisujemy PESEL oraz nazwisko matki ofiary.
4. Po chwili na telefon ofiary dzwoni automat — odbieramy (blokada nie jest przeszkodą, bo rozmowa przychodząca), automat podaje kod, który wpisujemy w aplikacji w *swoim* telefonie.
5. Gotowe. Konto stoi otworem. Możemy bez ograniczeń przeglądać konto ofiary, wykonywać przelewy do 1000 zł bez autoryzacji i wykonywać parę innych operacji.
6. Profit.

Nie, nie musisz znać żadnego hasła ofiary. Nie, nie da się zastrzec możliwości autoryzacji aplikacji mobilnej. Oczywiście całość robimy z jakiegoś lewego telefonu z komisu, żeby nie mieć problemów.

#mbank #bankowosc #bezpieczenstwo #informatyka #kontabankowe #mobilne #aplikacje @mBank @niebezpiecznik-pl

[protuberator]

@gandhi: Co ja przeczytałem?

Czemu nie jestem chamem że sztachetą.

Taka moralność mam niepasującą do dzisiejszych czasów, że nawet jakby blokady nie było na telefonie i znałbym hasło, to i tak grosza bym nie wziął.

[progressive]

@gandhi a co jak mam tę aplikację i mam ustawiony pin?

[protuberator]

@progressive: Można mieć apkę na dwóch urządzeniach a to drugie właśnie tak się aktywuje. Przez telefon główny.

[g.....i]

@progressive: Zainstalowałem bez problemu na innym telefonie drugą i ustawiłem osobny PIN.

@protuberator: to nie zachęta do włamania, lecz ostrzeżenie.

[protuberator]

@gandhi: No tylko napisane w takiej "zachęcającej" formie ( ͡° ͜ʖ ͡°)
Musi być jakiś haczyk. Aż dziwne że nikt na to nie wpadł wcześniej.

[dacube]

Niestety podobnie, jak piszesz "bez trudu", można to zrobić w aplikacjach mobilnych innych banków...

W mBanku, z tego co kiedyś sprawdzałem, nie da się zastrzec możliwości autoryzacji, ale można ustawić limity przelewów na urządzeniach mobilnych. Nie wiem, jak to wygląda w innych bankach.

[g.....i]

@protuberator: Nie ma haczyka, właśnie eksperymentalnie sprawdziłem na nowym telefonie i włamałem się w ten sposób na własne konto.

[F.....z]

włamałem się w ten sposób na własne konto.

@gandhi: Bagiety już jadą. Zgłosiłem to.

[ZaufanaTrzeciaStrona]

@gandhi: Jest prostszy patent i dużo skuteczniejszy. Czekamy aż ktoś idzie do toalety, instalujemy keyloggera na komputerze, podsł#!$%@? login i hasło do (m)banku. Potem czekamy aż znowu pójdzie i zostawi telefon, odczytujemy kod SMS i już. I nie ma limitów na przelewy!

[g.....i]

@ZaufanaTrzeciaStrona: Fajnie, że profil zajmujący się bezpieczeństwem zbywa problem w lekceważący i kpiący sposób (bardzo profesjonalne), ale mimo to wskażę wam różnice:
1. Telefon nosi każdy ze sobą, komputer mało kto, przez co posiadacz telefonu jest bardziej narażony.
2. By użyć keyloggera trzeba przełamać blokadę komputera, w moim sposobie blokada telefonu nie jest przeszkodą.
3. Po co keylogger w ogóle? Nieważne, jak strzeżesz swoje hasło, złodziej i tak wchodzi na konto,

[dacube]

@gandhi: co proponujesz? Banki powinny zrezygnować z aplikacji mobilnej? Wprowadzić kilkustopniowe weryfikacje (mało wygodne dla userów)?
Każde rozwiązanie rodzi potencjalne ryzyka - noszenie portfela w kieszeni również.

[ZaufanaTrzeciaStrona]

@gandhi: 1) Apka ma limity
2) Logowania do sieci GSM zostawiają ślady których trudno uniknąć (m. in. lokalizacja)
3) Gdyby to był realny scenariusz ataku to pewnie byśmy już o nim słyszeli, a nikt w bankach w których sprawdziliśmy się z nim nie spotkał
4) Trochę tak jak z "atakami na płatności zbliżeniowe" - dobrze wyglądają na konferencjach, ale w rzeczywistości był bodajże jeden udokumentowany przypadek w historii
5) Wydumane po

[g.....i]

@ZaufanaTrzeciaStrona:

1) Apka ma limity

Dla mnie tysiąc złotych to jednak nie jest pomijalna kwota. I buszowanie w historii moich przelewów przez osoby trzecie też nie jest rzeczą, której bym sobie życzył.

2) Logowania do sieci GSM zostawiają ślady których trudno uniknąć (m. in. lokalizacja)

Serio? A pamiętacie, kiedy komuś udało się zmusić policję do ich wyciągnięcia i użycia?

3) Gdyby to był realny scenariusz ataku to pewnie byśmy już o

[g.....i]

co proponujesz? Banki powinny zrezygnować z aplikacji mobilnej? Wprowadzić kilkustopniowe weryfikacje (mało wygodne dla userów)?

@dacube: Wpisywanie hasła w desktopie jest wygodne, a w komórce już nie? Pomijajmy zabezpieczenia, bo mało wygodne? No kurde, ja Was proszę :/

Życzyłbym sobie co najmniej opcji blokady autoryzacji mobilnej.

[ZaufanaTrzeciaStrona]

@gandhi: Co roku jest między kilkaset a kilka tysięcy udanych ataków na konta bankowe przez keyloggery/webinjecty itp plus niefrasobliwość ludzi, którzy podają kody z SMSów gdzie popadnie. To jest prawdziwy scenariusz ataku. Ten opisany przez Ciebie w praktyce nie istnieje.

Bank po to wprowadził limity, by ograniczyć ryzyko. Ryzyko, które tworzy, upraszczając proces uwierzytelnienia transakcji. Wszystko jest skalkulowane i zapewne gdyby ktoś Cię w ten sposób okradł to mógłbyś się nawet

[g.....i]

@ZaufanaTrzeciaStrona: Porównanie skali ataków via desktop i via mobile uważam za nieuprawnione ze względu na dysproporcję liczby użytkowników jednej i drugiej formy bankowania.

Argument o kalkulacji ryzyka przez bank uznaję. Żałuję tylko, iż ja, jako klient, też to ryzyko ponoszę, i nie dano mi wyboru, a chciałbym go mieć.

Rozróżnijmy też przestępstwa na szeroką skalę — ja rozumiem, że banki boją się przede wszystkim ataków na szeroką skalę. Słabość przeze mnie

[j.....s]

@gandhi: dlatego cenię sobie apkę Pekao, która do użycia wymaga zalogowania się jak do banku, a przelewy można robić tylko na zdefiniowane numery kont bankowych. Owszem, trzeba aktywować aplikację przez SMS, ale żeby to zrobić, najpierw trzeba zalogować się jak do banku. Innej opcji nie ma.

Mają też własny odpowiednik blika - peopay. Tu w ogóle jest problem, żeby się "włamać", bo nie dość, że aplikację aktywuje się przez portal bankowy

[g.....i]

Jeśli ktoś kogoś okradnie w opisywany przez Ciebie sposób i bank nie odda pieniędzy (o ile sam tego incydentu nie zaaranżujesz ;)) to obiecuję odszczekać na głównej stronie swoje wpisy i publicznie Cię przeprosić za wątpienie w Twój pomysł. Do tego jednak momentu uważam Twój scenariusz za zupełnie dla nikogo niegroźny.

@ZaufanaTrzeciaStrona: No to czekam na odszczekanie, bo:
https://www.facebook.com/niebezpiecznik/photos/a.10151908826186821.1073741825.176141556820/10155041326551821/?type=3

[niebezpiecznik-pl]

@gandhi: ale tu jest różnica istotną w stosunku do Twojego scenariusza - brak dostępu fizycznego do urządzenia.

[g.....i]

@niebezpiecznik-pl: No tak, bo ktoś ulepszył sposób i użył przekierowania.