[niebezpiecznik-pl]

Publikujemy szczegółowy opis ataku, który dotknął wczoraj taty Mirka @Igomi wraz z poradami, co robić jak żyć żeby Was to nie spotkało.

https://niebezpiecznik.pl/post/przestepcy-przekierowali-mu-telefon-i-okradli-konto-w-banku/

TL,DR: Klient T-Mobile został okradziony, bo ktoś przekierował jego numer na inny przez infolinię - wystarczyło podać PESEL i nazwisko klienta (!!!). Potem przestępca spiął apkę mobilną mBanku z kontem ofiary podając znów PESEL plus nazwisko panieńskie matki. Co ciekawe, spięcie apki nie wymaga podania kodu SMS, a jedynie odebrania połączenia telefonicznego (a to złodziej odebrał, dzięki przekierowaniu, na swoim telefonie).
W artykule radzimy, jak przekonfigurować swoje konto w mBanku aby uniemożliwić ten atak i jak sprawa przekierowań wygląda u innych operatorów. Ostrzeżcie znajomych i rodziców, zanim będzie za późno:

#mbank #niebezpiecznik #bezpieczenstwo #hacking #security #banki #bankowosc #pieniadze #tmobile #plus #orange #gsm #telefony

[l1pka]

@niebezpiecznik-pl: leć w gorące ( ͡º ͜ʖ͡º)

[Issac]

@niebezpiecznik-pl #protip uciekac jak szczury z tego tonacego statku jakim jest #mbank

[niebezpiecznik-pl]

@Issac: tu jednak przyczyną jest wjazd na maila ofiary a ciała to daje TMobile... W Plusie np. nie przekieruje się numeru na inny przez infolinię. A jak masz prepaid w Plusie to w ogóle.

[A.....1]

@niebezpiecznik-pl: Pozwoliłem sobie wrzucić jako znalezisko.

https://www.wykop.pl/link/4109391/przestepcy-przekierowali-mu-telefon-i-okradli-konto-w-banku/

[niebezpiecznik-pl]

@qmox: klucz u2f bezpieczniejszy - w artykule linkujemy do naszego poprzedniego tekstu, który wyjaśnia dlaczego to lepsze podejście - w skrócie - odporny na phishing, odporny na ataki na operatora GSM.

[n.....g]

@ZespolmBanku
A gdy jakiś czas temu pisałem że odpalenie apki na podstawie samych danych personalnych to #!$%@? ,to pisaliście, że na wypadek kradzieży telefonu wystarczy blokada kart SIM poprzez pin. A tutaj się okazuje że nawet telefonu nie trzeba kraść!

[Precypitat]

@niebezpiecznik-pl: zmiana limitów apki mobilnej zmienia też limity korzystania z blika? Bo teraz mam dylemat, czy dać się zaatakować przez apkę, czy przez zczytanie danych z karty w podejrzanym bankomacie (✌ ﾟ ∀ ﾟ)☞

[oddalenie]

@niebezpiecznik-pl: "Analiza korespondencji, która się znajdowała się na skrzynce ofiary, pozwoliła przestępcy na pozyskanie kilku informacji na temat ofiary, co najmniej takich jak jego PESEL i nazwisko panieńskie matki."

rly? :D

[ZespolmBanku]

@nordberg badamy tę sprawę. Pozdrawiamy, Zespół mBanku.

[Raum]

@niebezpiecznik-pl: W Red Bull Mobile (technicznie play) przekierowanie można ustawić sobie od ręki, nawet w prepaid. Zrobiłem to jednym telefonem, z tego co pamiętam nawet nie bardzo pytali o dane.

[dzikdzikdzik]

@ZespolmBanku Moglibyscie sobie darowac. To brzmi tanio. Poza tym o takich rzeczach trzeba myslec wczesniej, szczegolnie w banku.

[Precypitat]

@ZespolmBanku: w dziale "kanały dostępu" widzę, że jest miejsce na dwa urządzenia mobilne. Czy to oznacza, że jak wykorzystam te dwa miejsca, to zrobi się jeszcze jedno, czy wysycę ten sposób komunikacji z bankiem?

[niebezpiecznik-pl]

@Precypitat: ryzykuj karty bo kfraudy na kartach to problem visy/mc i za pomocą chargebacku dostaniesz zwrot za każdą reklamowana transakcje. Posłuchaj drugiego odcinka naszego podcastu - tam mówimy o kartach płatniczych: https://Niebezpiecznik.pl/002

[niebezpiecznik-pl]

@Precypitat: tak dokładnie się stanie.

[niebezpiecznik-pl]

@Raum: kiedy to było? sprawdzisz pls czy teraz się jeszcze da to zrobić?

[GermanParis]

@niebezpiecznik-pl: Witam, czy mogliby Państwo wskazać, który bank ma najlepsze zabezpieczenia pod kątem kanałów internet/mobile? (Jeżeli robili już Państwo taki artykuł to niestety nie udało mi się go znaleźć).

[ZespolmBanku]

Przypadek opisany przez portal niebezpiecznik.pl wynika z niewystarczających zabezpieczeń procesu przekierowywania rozmów po stronie operatora komórkowego. Zlecenie przekierowania rozmów jest w naszej ocenie krytyczną operacją i powinno wymagać tzw. silnego uwierzytelnienia, opartego na elementach będących w posiadaniu wyłącznie uprawnionego właściciela telefonu. Bazowanie wyłącznie na podstawowych danych osobowych klienta, łatwych do pozyskania przez przestępców, jest niewystarczające. Jesteśmy w kontakcie z T-Mobile i wspólnie pracujemy nad bezpiecznym rozwiązaniem. Monitorujemy również podejrzane transakcje, które mogą

[Raum]

@GermanParis: Z 2-3 miesiące temu. Dodzwoniłem się na infolinię, wystarczy podać konsultantowi imię, nazwisko, adres i PESEL. Wszystko robi od ręki.

[Raum]

@niebezpiecznik-pl: pomyliłem osoby do oznaczenia xD patrz post powyżej
generalnie wystarczy znać podstawowe dane i numer telefonu żeby zrobić taka inbę, porażka imho