Tuesday, 22. July 2003

IDENTITÄTS-DIEBSTAHL: Cracker räumt Online-Konten ab

Einem unbekannten Cracker gelang bei Südafrikas größter Bank die Selbstbedienung: Mit einem Keylogger-Programm stahl er Zugangscodes direkt bei den Kunden. Die müssen nun nachweisen, dass sie sich ausreichend geschützt haben.

Über das Online-Banking gibt es zahlreiche Legenden: Lange Jahre zögerte das Gros der Kunden, über das Web überhaupt Geld zu bewegen. Inzwischen gilt das als weitgehend sicher - und hartnäckig hält sich die Legende, die Banken würden erfolgreiche Hacks, wenn es sie geben würde, schon stillschweigend vertuschen. Der Kunde jedenfalls müsse keinen Schaden erwarten.

Harry de Villiers, Rechtsanwalt in Südafrika, weiß das jetzt besser. Als Kunde von Südafrikas größter Bank Absa gehört er zu einem bisher kleinen Kreis von Kunden, deren Konten in den letzten Tagen durch einen Cracker erleichtert wurden. Drei Fälle erkennt die Bank bisher an, sechs weitere werden augenblicklich untersucht. Insgesamt 530.000 Rand (rund 61.500 Euro) zog der Cracker bisher ab, 300.000 allein bei Villiers.

Ihn aufzuspüren wird nicht leicht. "Auf Seiten der Bank", versichert Absa-Sprecher Richard Peasey, "gab es keine Sicherheitsverletzung". Absa sei mitnichten gehackt worden, vielmehr setze der unbekannte Cracker direkt bei den Kunden an.

Wahrscheinlich, vermuten Sicherheitsexperten, jubele der Cracker den Kunden ganz gezielt per E-Mail einen so genannten Trojaner unter. Der aktiviere ein Keylogging-Programm, das von da an jeden Tastaturanschlag protokolliere und an den Cracker weiterleite. Die entsprechenden Mails landen auf einem unter falschem Namen eröffneten Hotmail-Account.

Nach und nach erfahre der Cracker so Zugangspassworte und PIN-Nummern. In den meisten Banking-Systemen bedarf es zu einer Abhebung aber darüber hinaus so genannter TAN-Nummern, die nach ihrem ersten Gebrauch verfallen. Das deutet darauf hin, dass der Cracker auch einen Echtzeit-Zugang zum Rechner der Betroffenen geschaffen hat: Er fängt die TAN-Nummern ab und gebraucht sie in der Folge im Namen ihrer eigentlichen Besitzer. Für die Bank besteht dabei kaum eine Möglichkeit festzustellen, ob sich nun Kunde oder Cracker im System befinden: Das ganze, sagt Pearsey, sei ein klassischer Fall von ID-Diebstahl, und kein Hack des Banksystems.

Auch, wenn das zunächst anders klingt, sind dies keine guten Nachrichten für Banking-Kunden. Bei einem Hack des Banksystems könnten diese gegenüber der Bank Schadensersatzansprüche geltend machen. Bei einer Methode, die beim Kunden ansetzt, müssten sie zunächst einmal nachweisen, dass sie zumindest versucht hatten, sich hinreichend zu schützen. Selbst dann bleibt die Schadensersatzfrage unklar.

Banksprecher Pearsey gibt an, man sei dem Cracker bereits auf den Fersen. Das ist noch nicht einmal unwahrscheinlich: Alle Geschädigten erstatteten ihre Anzeigen bei der gleichen Polizeibehörde, leben am gleichen Ort. Das erklärt auch, wie der Cracker so gezielt einzelne Bankkunden "ansprechen" konnte: Wahrscheinlich begann der Crack mit einer Beobachtung einer örtlichen Bank und ihrer Kunden.

Mit rund 400.000 Online-Kunden ist Absa Südafrikas größte Online-Bank. Insgesamt nutzen etwa 1,2 Millionen Südafrikaner die Möglichkeiten des Online-Banking.

Presseerklärung: http://www.absa.co.za/ABSA/Media_Releases/Article_Page/0,1551,424,00.html

Absa leads fight against Internet fraud

Publication Date : 20 July 2003

A small number of Internet account holders in South Africa have just become victims of the latest international trend in Internet fraud called identity theft. Absa and the rest of the banking industry are working together to combat this new crime.

“Fraudsters are beginning to realise how difficult it is to breach bank security systems and are now targeting the home computers of account holders by stealing their electronic identity, mainly their PIN and access account numbers,” says Richard Peasey, Absa Group Information Security Officer.

An Absa investigation has confirmed that so far, only three clients in the Western Cape have had money moved from their accounts after the fraudster managed to gain unauthorised access to their computers and load software called key-stroke logging software which automatically copied everything they typed on their computers and sent it back to the fraudster without their knowledge. The software therefore transmitted information about the bank accounts typed in by the clients to the fraudster. The fraudster was then able to use this information to electronically impersonate the client and gain access to their bank accounts. A further six cases are under investigation.

“Absa's forensic team is progressing with the investigation, ” says Peasey. All Absa transactions are monitored 24 hours per day, seven days a week, all year round.

Absa has also called a meeting of all the information security officers in the banking industry to find ways of stopping this form of crime. “At Absa and all the other banks, the peace of mind of our clients is our first priority and whenever we as the industry are faced with a new security problem like this, we work together to ensure the safety of clients’ money,” confirms Peasey. Absa’s forensic team is working with industry experts to resolve the matter.

“All the banks including Absa have been putting information on their websites and in their banking halls for Internet banking clients about safety precautions that they should take to protect their personal information. “Internet banking is safe and clients need to be more vigilant than ever to ensure that it stays safe,” says Peasey. He says that the safety precautions that clients should be taking include:

To prevent key-logging:

Make sure that no-one has unauthorized access to your PC. Ensure that you have the latest anti-virus applications loaded on your PC. Your local supplier will provide you with details in this regard. Make sure that the software that is loaded onto your PC via a third party is licensed. Update your operating system and browser with the latest Microsoft patches to protect your PC from exploitation. These can be downloaded from the Microsoft website http://www.microsoft.com Do not open suspicious or unfamiliar e-mails. Ensure that you have control over the shared folders on your PC as a shared folder could make your PC vulnerable to unauthorized installation of suspicious software. A shared folder can be identified by a blue icon shaped in the form of a hand.

General safety tips:

It is important to ensure that you are at the Absa website. This you do by checking the Absa Security Certificate by clicking on the security icon. Ensure that you are on the secure Absa Internet banking website by checking that the URL begins with “https” rather than “http.” The initial connection to www.absadirect.co.za will redirect the connection to an available Internet banking server. Always ensure the secrecy of your PIN number. Never disclose your PIN number to anyone – this includes bank staff members. A bank staff member will never ask you for your PIN. When entering your PIN information make sure that you cannot be seen – you never know who might be watching. Be especially vigilant of security cameras trained on your PC.
08:56 | #

disLEXia, a research project by Maximillian Dornseif