Polis Jerman: Pengesahan Dua Faktor Gagal

Pengesahan dua faktor Sistem yang digunakan secara meluas di Jerman gagal menghentikan penykriminasi siber daripada penyaliran akaun bank, kata pegawai penguatkuasa undang-undang Jerman pada hari Selasa.

Pada tahun lalu, kira-kira 95 peratus pelanggan perbankan dalam talian Jerman menggunakan kod "iTan" yang diminta oleh pelanggan bank semasa urus niaga dalam talian, kata Mirko Manske, ketua pengetua ketua untuk Pejabat Polis Jenayah Federal Jerman.

Kod iTan digunakan sebagai ukuran pengesahan tambahan selain informasi masuk pelanggan. Kod iTan hanya boleh digunakan sekali dan bertujuan untuk menggagalkan serangan perbankan dalam talian di mana penyerang mempunyai semua maklumat pelanggan lain.

[Bacaan lanjut: Bagaimana untuk membuang malware dari PC Windows anda]

Tetapi "ia tidak kerja, "kata Manske semasa persembahan di Kongres E-kejahatan di London. "Kami masih kehilangan wang."

Masalahnya ialah penggodam telah mencuba cara untuk melaksanakan transaksi dalam masa nyata, menggunakan kod iTan dan membuat kawalan keselamatan pada dasarnya tidak berguna.

Gaya serangan dipanggil lelaki dalam tengah, di mana seorang penyerang dapat memodifikasi data yang ditukar antara PC yang digodam dan pelayan bank. Versi lain dipanggil lelaki dalam pelayar, di mana program kuda Trojan mengubah urus niaga.

Manske, yang persembahannya telah disensor sebahagiannya kerana mengandungi maklumat sensitif, menunjukkan dua senario di mana kod iTan digunakan semasa pemindahan wang

Dalam salah satu senario, mangsa mendapat pengesahan bahawa mereka menghantar € 500 (US $ 677). Malah, seorang penggodam telah mengubahsuai maklumat itu dan memindahkan € 5,000 ke akaun lain, kata Manske.

Insiden lain menunjukkan betapa pengaturcara malware teknikal yang telah maju. Satu bank besar di Jerman menghabiskan sejumlah besar wang yang melaksanakan sistem di mana gambar surat bercampur-campur, yang dipanggil CAPTCHA (Ujian Awam Tomatik Sepenuhnya Automatik untuk Beritahu Komputer dan Manusia Selain), akan dipaparkan dengan butiran transaksi, kata Manske

CAPTCHAs sering digunakan untuk mencuba dan menghentikan bot automatik dari mendaftar, sebagai contoh, terlalu banyak akaun e-mel, kerana komputer tidak baik pada manusia di descrambling jumbles of characters. Dalam kes bank, CAPTCHA digunakan untuk menyediakan satu lagi tahap pengesahan urus niaga.

Dalam satu lagi contoh inovasi jenayah siber yang mengejutkan, Manske berkata, penyerang mengembangkan komponen khas yang boleh memberikan salinan CAPTCHA yang sempurna untuk digunakan serangan lelaki-dalam-tengah. Salinan itu akan dipaparkan bersama dengan butiran urus niaga yang betul semasa serangan.

"Terdapat beberapa pengaturcara yang sangat berbakat di luar sana," kata Manske.