spyology

the shadow

[url=http://www.99poze.ro/p/24604bb59ddb476f0834fc4c85b60181.jpg] Banking security - Securitatea bancara, o himera. Banking security - Securitatea bancara, o himera.

Banking security - Securitatea bancara, o himera. Banking security - Securitatea bancara, o himera.

[/url]

O intamplare care a avut loc astazi m-a determinat sa incep topicul dedicat securitatii bancare in Romania. Probabil ca va veti intreba care este punctul comun dintre banking si intelligence. Voi incerca sa tratez acest subiect din perspentiva corporate intelligence, desi aceasta notiune cat si aplicatia ei este apeoape inexistenta in Romania.

Astazi am efectuat o retragere de numerer din contul meu curent de la BRD - Societe Generale, retragerea fiind operata la alta sucursala (aflata in incinta unui supermarket notoriu) decat cea la care am deschis contul. Operatiunea a decurs relativ repede, fiindu-mi necesar doar actul de identitate, doua semnaturi si cateva cuvinte scrise pe un formular (numele in clar). Am ridicat suma de bani si in drum spre iesire am dat cu ochii peste un cos de gunoi aflat la un metru inainte de iesirea din banca, in imediata apropiere a unui stand de completare a formularelor tipizate. Banuiesc ca motivul pozitionarii cosului de gunoi in vecinatatea acelui stand este reprezentat de formularele gresite care sunt aruncate de catre clientii bancii, precum si de cei ca mine, care nu pastreaza toate documentele emise de banca.
Am facut un pas in lateral, am rupt documentul de retragere numerar, l-am aruncat in cosul de gunoi si am parasit banca. Imi ramasese in minte insa imaginea cosului plin cu documente bancare intregi, nici macar pliate: erau indesate pur si simplu in cos. Dupa trei pasi m-am intors in banca, mergand direct la ghiseul la care efectuasem operatiunea bancara si am intrebat-o direct si compact pe functionara: "Ce faceti cu documentele aflate in cosul de gunoi? Le distrugeti sau doar va descotorositi de gunoi?" Femeia m-a privit incurcata si mi-a raspuns la fel de direct: "Le aruncam pur si simplu".
Banuiesc ca femela de serviciu, la sfarsitul turei sau al programului duce cosul de gunoi al bancii la containerul de gunoi al supermarket-ului. Rudimentar si fara nici o masura de securitate. Stiu, banca va sustine ca documentele nu ii apartin iar vina este numai a clientilor sai. Cred insa ca o masura elementara de protectie sau macar de prevenire a unor situatii neplacute ar putea fi luata.
De aici in colo securitatea detaliilor bancare, nume, munere de cont, sume si alte detalii considerate secrete de banca sunt la dispozitia oricui va indrazni sa caute in containerul de gunoi.
Ce se poate face cu aceste detalii? Multe. Si in principal sa se goleasca conturile dumneavoastra. Oricine va cauta in tomberon, va gasi numele si suma extrasa de dv. din cont, numarul contului, va cunoaste numele perfect si moneda in care este deschis contul. Cunoscand numele, este doar o chestiune de timp pana se afla adresa. Iar de aici si pana la confectionarea unui act de identitate nu mai este decat un pas (de regula usor). Amanunte ca data nasterii, numele parintilor, etc. pot fi aflate relativ usor, direct de la... victima. Nu voi intra in detalii.
Pasul urmator: cu buletinul falsificat se va solicita un extras de cont. Se obtine relativ usor. Apoi, stiind suma aflata in cont...

Fraudele bancare prin intermediul furtului de identitate (ceea ce am descris mai sus) sunt celebre si uzitate de multa vreme in tarile dezvoltate. La noi insa se pare ca acest tip de frauda nu a inceput sa se manifeste violent iar bancile nu sunt alarmate.

Voi reveni cu postari in legatura cu nivelul alarmant de scazut al gradului de securitate al POS-urilor din Romania. Sunt familiar cu sistemul de banking din Marea Britanie si Irlanda si voi face comparatii cu sistemul romanesc. Concluziile vor fi jenante si alarmante (sper) pentru bancherii romani.

NOTA: informatiile si imaginile prezente in aceste postari sunt cu titlu exemplificativ si nu se reprezintă intr-un indemn la fraudarea sistemului bancar, fiind doar un semnal de alarma si o incercare de informare si constientizare a utlizatorilor serviciilor bancare romanesti. Din context au fost extrase intentionat informatii si imagini care ar putea sa conduca nemijlocit la savarsirea de fapte antisociale.
_________________
informatia inseamna putere

the shadow · Trimis: 28/08/2010 00:33 Titlul subiectului: Fraudarea POS-urilor

[url=http://www.99poze.ro/p/469e13093fe5224ea6af54ea5a10b66f.jpg] Banking security - Securitatea bancara, o himera. Banking security - Securitatea bancara, o himera.

[/url]

Voi incepe postarea printr-o scurta comparatie cu sistemul de banking britanic (cel irlandez este asemenator in proportie de 98%), in ceea ce priveste securitatea POS-urilor, securitate asigurata in comun atat de catre procesatorii de date cat si de banca.

Odata ce un POS este deconectat de la sistem sau este debransat intentionat sau din eroare de la reteaua de alimentare cu potență electrica, reconectarea acestuia in retea nu mai este posibila fara stirea si acordul bancii sau al procesatorului de date.
Astfel, in momentul reconectarii POS-ului, la banca (si nu in sediul comerciantului) va suna alarma. In maxim cinci minute cineva din staff-ul bancii va apela telefonic comerciantul, pe care il va chestiona asupra naturii problemei intampinate (poate fi vorba de o nefericita pana de curent), ii va solicita cateva date personale (pentru identificare) si in urma confirmarii identitatii va furniza comerciantului un cod PIN (de fiecare data altul), cod pe care comerciantul va trebui sa il tasteze pe tastatura POS-ului pentru ca acesta sa fie acceptat in retea si sa devina functional. Fara tastarea acelui cod, POS-ul nu poate fi utilizat.
In ultimii trei ani nivelul de securitate a crescut, astfel incat in acest ocazie in UK si Irlanda sunt utilizate POS-uri de ultima generatie care au ca element de identificare electronica ceva asemenator unei adrese mac, ceea ce face imposibila schimbarea unui POS fara acordul bancii.

Revenind la situatia din Romania: un POS poate fi oricand si de ori cate ori deconectat de la retea sau debransat de la priza. Nu va suna nici o alarma in momentul reconectarii si nu va interesa pe nimeni daca la retea a fost conectat acelasi POS sau unul cu ajutorul caruia se vor efectua fraude bancare, modificat in prealabil pentru capturarea datelor si a PIN-ului dumneavoastra.
Ca o paranteza: nu vi s-a intamplat niciodata ca in timpul in care ati intentionat sa efectuati plata cu cardul, "fata de la casa" sa nu stie sa opereze POS-ul, scanand totusi cardul si ridicand nestiutoare din umeri, spunandu-va ca "nu stiu ce are, nu aveti numerar?" In acel moment nu v-ati intrebat ce s-a intamplat cu detaliile dvs. bancare, care au fost totusi scanate de acel POS? Ati avut certitudinea ca acel POS era unul veritabil si nu unul plantat in scopul skimming-ului ?

Trebuie sa stiti ca informatiile stocate pe banda magnetica a card-ului dvs. nu sunt criptate, asa cum multa lume crede (din pricina neintelegerilor dintre marii producatori in legatura cu algoritmul de criptare). Citirea acestora este posibila cu un simplu cap magnetic (chiar si unul de reportofon analogic) si un traductor. Daca la ecuatie se mai adauga si PIN-ul card-ului, puteti sa va luati adio de la banii din cont. In postarile urmatoare voi prezenta matoda de obtinere a acestor informatii confidentiale.

Sa ne intoarcem in Albion. Multi comercianti folosesc de ceva ani POS-uri sau Pin-Pad-uri (dispozitivele pe care se tasteaza codul PIN pentru autorizarea tranzactiei) care protejeaza introducerea PIN-ului de priviri indiscrete (vezi foto jos) cu susținerea marginilor suprainaltate. Ati vazut pe la noi asa ceva?

[url=http://www.99poze.ro/p/bd714014605cb97f9915465b295abb3e.jpg] Banking security - Securitatea bancara, o himera. Banking security - Securitatea bancara, o himera.

[/url]

In fotografia de mai jos este redat schematic sistemul video utilizat in identificarea precisa si sincronizata a momentului utilizarii unui anumit card, cu persoana care a exploatat efectiv card-ul in cauza. Extrem de putini comercianti romani dispun de un astfel de sistem. Nici macar bancile comerciale nu sunt interesate.
Stiati ca bancile comerciale romane (si Politia Romana pe langa ele) au mari dificultati in identificarea exacta si corelarea persoanei cu card-ul care a fost folosit de acea persoana la un ATM sau POS, mai ales cand operatiunea a fost efectuata in conditiile existentei unei cozi la ATM sau POS? Practic, imaginile video surprinse de camerele de securitate nu au o mare valoare probatorie, acestea nu pot spune cu certitudine ca cetateanul X a întrebuințat in acel momnent o clona a unui card sau un card valid. Daca mai amintim si valoarea precara a imaginilor, aveti un tablou perfect al atu-urilor de care se vor agata avocatii apararii.

[url=http://www.99poze.ro/p/d44746aac64f090d6d82499be25abd46.jpg] Banking security - Securitatea bancara, o himera. Banking security - Securitatea bancara, o himera.

[/url]

NOTA: informatiile si imaginile prezente in aceste postari sunt cu titlu exemplificativ si nu se constituie intr-un indemn la fraudarea sistemului bancar, fiind doar un semnal de alarma si o incercare de informare si constientizare a utlizatorilor serviciilor bancare romanesti. Din context au fost extrase intentionat informatii si imagini care ar putea sa conduca nemijlocit la savarsirea de fapte antisociale.
_________________
informatia inseamna putere

the shadow

Preliminarii:

Fraudarea unui POS vizeaza introducerea in interiorul POS-ului a unui dispozitiv care va citi si captura atat detaliile bancare ale card-ului dvs. (stocate pe banda magnetica a card-ului) cat si PIN-ul tastat de dvs. pentru autentificarea cardului si efectuarea tranzactiei.
Demontarea unui POS va duce automat la stergerea memoriei interne volatile, care va fi antrenata de activarea unor simple contacte electrice (anti tampering switch - vezi foto jos) si va conduce la imposibilitatea utilizarii ulterioare a POS-ului. Toate acestea se vor intampla daca se va recurge la demontarea clasica, prin scoaterea suruburilor si despartirea celor doua sau trei parti ingrediente ale carcasei POS-ului.

[url=http://www.99poze.ro/p/9f0b97619279c53f752c671e943cce35.jpg] Banking security - Securitatea bancara, o himera. Banking security - Securitatea bancara, o himera.

[/url] [url=http://www.99poze.ro/p/018886790165eb9602be9803e0dd39ea.jpg] Banking security - Securitatea bancara, o himera. Banking security - Securitatea bancara, o himera.

[/url]

Pentru a preintampina aceasta situatie va trebui ca in prealabil sa fie identificata pozitionarea tuturor contactelor anti tampering ( de regula sunt 3-5 contacte, pozitionate diferit pe placa de baza). Cum se procedeaza? Foarte simplu: va fi nevoie nu de unul, ci de doua POS-uri (vor fi asamblate in viitor intr-unul singur). Unul pentru a fi demontat in maniera clasica (va fi utilizata doar carcasa lui, in viitor) si pentru a putea fi studiate cu amanuntime numarul si pozitionarea contactelor anti tamper, iar de la al doilea se va utiliza doar bucată interna (placa de baza si celelalte componente). Carcasa nu va putea fi utilizata pentru ca aceasta va necesită gaurita in dreptul microcontactelor anti tamper, contacte care vor fi lipite cu un adeziv epoxidic in pozitia in care se gasesc pe placa de baza. In acest fel placa de baza si celelalte componente vor putea fi utilizate fara probleme in viitorul POS clonat, fiind introduse in carcasa necompromisa al primului POS dezasamblat.
Introducerea dispozitivului care va citi si stoca detaliile bancare ale card-ului prcum si PIN-ul aferent nu este o chestiune dificila. Sa incepem insa cu primul pas: procurarea unui POS.

Aliatul de baza este Ebay. Pentru achizitionatrea unui POS nimeni nu va solicita documentele companiei in numele caruia doriti sa cumparati si sa utilizati POS-ul. Va fi suficient un nume oarecare si bineinteles plata. Pretul unui POS pe Ebay este ridicol, fiind suficiente cateva sute de euro. [url=http://shop.ebay.co.uk/i.html?_nkw=ingenico+pos&_sacat=0&_dmpt=UK_BOI_Retail_Shop_Fitting_POS_Equipment_ET&_odkw=ingenico&_osacat=0&_trksid=p3286.c0.m270.l1313]Iata cateva exemple.[/url]
La preturi si mai rezonabile pot fi achizitionate neocupat POS-uri refurbished (reconditionate). [url=http://www.posdirectsales.com/Verifone_Omni_3750_Dual_Comm.html]Iata un exemplu.[/url]

In postul urmator vom trece la exemple practice, incepand cu imobilizarea microcontactelor anti tamper.

NOTA: informatiile si imaginile prezente in aceste postari sunt cu titlu exemplificativ si nu se reprezintă intr-un indemn la fraudarea sistemului bancar, fiind doar un semnal de alarma si o incercare de informare si constientizare a utlizatorilor serviciilor bancare romanesti. Din context au fost extrase intentionat informatii si imagini care ar putea sa conduca nemijlocit la savarsirea de fapte antisociale.
_________________
informatia inseamna putere

the shadow · Trimis: 28/12/2010 22:20 Titlul subiectului: Romania - BRD

[url=http://www.99poze.ro/p/f4d89d2ca8797ed4556e7cf8683b33af.jpg] Banking security - Securitatea bancara, o himera. Banking security - Securitatea bancara, o himera.

[/url]

Intererup sirul postarilor tot cu o informatie (veche dealtfel) din domeniul bancar, informatie care se subscrie tendintei generale "ca la noi la nimenea".

Zilele trecute am fost anuntat de agentia BRD la care am deschis contul bancar, sa ma prezint pentru a-mi ridica noul card. M-am conformat. Ajuns in fata ghiseului unde mi-a fost inmanat un solitar plic in care se putea simti noul card. Pana aici, aproximativ nimic in neregula. Am intrebat de documentul secretizat care contine PIN-ul card-ului. De aici a inceput povestea si scuzele simpaticei domnisoare de la ghiseu.

Am aflat cu uimire (si acum sunt siderat) ca PIN-ul a ramas acelasi, desi card-ul este unul nou. Ba mai mult, am aflat ca in Romania, compania care emite card-ul bancar emite si PIN-ul. Sigur, pentru cineva familiarizat doar cu sistemul bancar romanesc, aceasta nu constiruie nici o amenintare de securitate, fiind o banalitate peste care se trece cu usurinta.
Simpatica domnisoara de la ghiseu a recunoscut si ea ca nu este ok ca aceeasi companie sa emita atat card-ul, cat si PIN-ul, dar... asta este.

Ingrijorarea mea este alimentata de faptul ca in tot lantul tehnologic al emiterii card-ului si pin-ului, factorul cel mai vulnerabi este cel uman. Iar atunci cand in ecuatie intervine o entitate privata, temerile cresc vertiginos.

Sa vedem cum e la altii.
In afara de conturile din Romania, mai am deschise inca alte doua conturi in tari straine, membre EU. Desi deschiderea unui cont se poate efectua online la orice ora, bancile insista asupra corespondentei, ca aceasta sa fie primita la resedinta declarata. Trebuiesc motive extrem de serioase pentru a convinge banca sa accepte ridicarea corespondentei de la sediul ei. Este o masura de securitate binevenita, in acest fel banca verificand conformitatea adresei declarate la deschiderea contului.
Intotdeauna, card-ul bancar si PIN-ul sosesc in plicuri diferite, in zile variate (de regula o zi diferenta) si emise de companii DIFERITE. Asta tocmai pentru a fi evitat riscul reprezentat de factorul uman.
Stiu aceste reglementari au fost introduse in urma unor fraude bancare de proportii, in care factorul determinant a fost cel uman.
Noi... de ce am invata de la cei patiti?
Nelamurirea mea sporeste in cazul bancilor care au sucursale si in tarile in care se respecta aceste reglementari.
Stiu ca in cele din urma pierderile sunt suportate de companiile de asigurare. Nu inteleg insa nici pozitia acestora fata de lejeritatea masurilor de securitate bancara.
Pana in acest moment riscurile de securitate bancara locale sunt calculate copilareste, luandu-se in considerare doar atacurile directe asupra unitatilor bancare, sub forma hold-up-urilor.

In Romania, posibilitatea de a dschide un cont bancar pe un nume fictiv sau in numele unei persoane reale, fara ca aceasta se aiba cunostinta de acest lucru este intretinuta chiar de catre banci.
Pentru cei care locuiesc la bloc, va rog sa va aduceti in memorie imaginea cutiilor postale personale. Va inspira un sentiment de securitate? Probabil ca nu. Probabil ca fiecare va intra in bloc, vaputea cu usurinta sa cotrobaie prin cutia dumneavoastra postala si sa faca nevazute niste facturi. Va da fuga la banca, unde cu susținerea unei carti de identitate false (si un copil o poate falsifica usor, cu ajutorul unui scaner si a unei imprimante) si a facturilor dumneavoastra, va deschide un cont nou, fara ca dumneavoastra sa aveti habar. Ajutorul bancii in acest tip de frauda este consistent:
- rareori documentul de identitate este verificat de functionarul bancii la lampa UV. Iar daca este verificat, inserarea unor elemente de securitate este floare la ureche. Desigur, aceasta presupune ca functionarul care verifica documentul sa si cunoasca elementele de securitate ale unei carti de identitate. Situatia este "salvata" de multe ori de o simpla fila denumita Adeverinta provizorie de identitate. Nu cunosc nici un caz in care functionarul bancii sa fi apelat organul care a emis adeverinta provizorie, pentru confirmarea autenticitatii in cazul deschiderii unui cont bancar. Din nefericire, societatea noastra functioneaza eronat: exista o incredere mai mare intr-o stampila aplicata pe un act (care poate fi oricand si iute contrafacuta la un colt de strada) decat intr-un apel telefonic de confirmare. Ca o paranteza: pe NICI un document emis de bancile straine la care am deschis conturile, nu se afla vreo stampila a bancii. Si, culmea uimirii pentru functionarii romani: sistemul functioneaza fara cusur! Nu te suspecteaza nimeni de frauda atunci cand prezinti un act fara stampila. Consider ca este o apucatura functionareasca desueta, adanc insa inradacinata in constiinta romanilor. Cei care au trait macar cateva luni in alta tara europeana, stiu despre ce vorbesc.
Revenind la verificarea documetelor: de regula functionarul bancar se limiteaza la copierea documentului de identitate. Asta seamana mai mult cu "eu nu sunt vinovat, mi-am facut treaba, am facut o copie asa cum se cere in procedura", decat o verificare logica a documentelor.

- fiind parca de fracțiune infractorilor, banca romaneasca va invita prin sms infractorul sa ridice card-ul aferent contului deschis fraudulos.

Despre riscurile de securitate iminente si incredibile ale sistemului bancar romanesc, vom mai vorbi. Voi continua seria postarilor cu privire la lipsa totala de securitate a POS-urilor si la fraudele la care astea parca invita.
_________________
informatia inseamna putere