Jak okraść przez internet klienta PKO BP?
-
- Łukasz Cichy,
- 29.11.2013, godz. 12:38
Najpierw trzeba wejść w posiadanie danych logowania do konta poprzez stronę internetową banku. Nie jest to łatwe, ale wykonalne, Zwłaszcza, że użytkownicy rzadko zmieniają hasła i logują się w przeróżnych okolicznościach, nie zawsze dochowując odpowiednich zasad bezpieczeństwa (na przykład z kawiarni internetowych). Potem trzeba sobie poradzić z system potwierdzania transakcji unikalnymi hasłami jednorazowymi. To najtrudniejszy etap całego przedsięwzięcia... a może nie?
Okazało się, że właśnie nie. Zgoda, aby przelać sobie górę pieniędzy i tym samym okraś osobę, na której konto się włamaliśmy, absolutnie bezwzględnie należy podać właściwe hasło jednorazowe. Możemy je poznać, na przykład, kradnąc nieco wcześniej telefon właściciela konta. To jednak wzbudzi niepokój i z pewnością spowoduje zablokowanie numeru. Sprytny złodziej zadałby sobie jednak pytanie jak obejść zabezpieczenie hasłami jednorazowymi.
Odpowiedź brzmi - należy sprawić aby to właśicicel rachunku wykonał przelew na fałszywe konto, potwierdzając prawidłowym hasłem jednorazowym. Wystarczy w tym celu zmodyfikować dane zapisanego odbiorcy, na rzecz którego właściciel rachunku przelewa duże kwoty. Czynność ta nie wymagała potwierdzania hasłem, a chyba nikt normalny nie zna na pamięć numerów kont, więc szansa wykrycia oszustwa jest niewielka i wychodzi na jaw dopiero kiedy prawowity odbiorca upomni się o pieniądze.
Zobacz również:
- Usługa WhatsApp uruchamiana na urządzeniach iOS będzie bardziej bezpieczna
- Apple ostrzega użytkowników w 92 krajach. Uwaga na ataki szpiegowskie
Niestety, ofiarą takiego oszustwa został jeden z klientów PKO BP. Między sierpniem 2012 a czerwcem 2013, zanim sprawa wyszła na jaw, poszkodowany przelał na konto oszustów aż 86 tysięcy złotych.
Według Wojciecha Boczonia z Bankier.pl, wnikliwie opisującego całą sprawę, przedstawiciel banku stwierdził, że o żadnej reklamacji nie może być mowy, ponieważ poszkodowany każdorazowo akceptował fałszywe dane, potwierdzając transakcję kodem jednorazowym.
