Die Sicherheit des PhotoTAN-Verfahrens

In Audiogeräten wurde die "Vactrol"-Serie verbaut.

Also z. B. VTL5C3 mit Servo. Letzter Hersteller PerkinElmer.

Die Geräte haben Gummikragen um die 5 Sensoren herum (45°), um sie direkt auf den Bildschirm setzen zu können. Die Balken sind etwa 25mm lang und 11mm breit, aneinanderstoßend.

Bei FlickerTAN ("ChipTAN Comfort") wird der Kartenleser mehr oder weniger direkt an den Bildschirm gehalten. Die Abbildung hat Schaltflächen für größer, kleiner, schneller und langsamer, damit man die Größe der Abbildung an den Abstand der Leseeinheiten anpassen kann.

Bei ChipTAN QR hat der Kartenleser im Wesentlichen eine Digitalkamera und zeigt das aufgenommene Bild auch in seinem Display an. Bei gut gemachten Onlinebankingseiten reicht es, den Kartenleser irgendwie grob in Richtung des QR_Codes zu halten damit der Lesevorgang stattfindet, der Leser kann dabei auch gedreht gehalten werden. Meine Sparkasse steht allerdings neuerdings auf "Dark Mode" und zeigt die QR-Codes in einem weißen Quadrat auf einer sonst schwarzen Webseite an. Das stellt den Kartenleser vor eine größere Herausforderung, was die Belichtung angeht; hier muss man jetzt viel mehr darauf achten, den QR-Code möglichst bildfüllend im Rahmen einzufangen und ihn nicht verdreht aufzunehmen.

Grüße Marc

Exakt. Ein Kästchen mit 5 Photodioden. Wenn das Kästchen größer ist, als Dein Smartphone, bist Du allerdings gekniffen.

Volker

Das TAN-SMS-System hat man in Rente geschickt weil es zu einfach ist SMS abzufangen bzw umzuleiten.

Grüße Marc

Erklär! Insbesondere, wie das ohne Installation von Schadsoftware vonstatten geht, die gleichermaßen auch App-TAN-SecurePlus-Go-Premium-Extra-Apps kompromittieren kann.

Volker

Hmmm, seltsam TAN-SMS werkelt hier noch recht fleißig (Paypal, Ebay, Amex)...

Und den Enkeltrick kann man damit oder auch mit anderen technischen Maßnahmen natürlich sowieso nicht unterbinden. Das ist ein rein soziales Problem, welches einer ebensolchen Lösung bedarf. Kaum jemand aus der Gruppe der potentiellen Enkeltrick-Opfer wird durch immer absurdere "Sicherheits"-Maßnahmen beim Online-Banking geschützt werden können - wie auch? Die Leute bringen ihr Geld und/oder ihre Wertsachen direkt, in bar an den Mann/die Frau, ggfls. nach einem Besuch bei der realen Bankfiliale (weil der Automat nicht genug ausspuckt)

MfG Rupert

Ein gängiger Trick basiert zum Beispel darauf dass man sich eine zum Opfer passende Multi-SIM bestellt.

Grüße Marc

Ein anderer scheint zu sein, Auslandsroaming in irgendeinem Land zu faken, in dem es einfacher ist Mobilfunkprovider bzw. deren Mitarbeiter zu bestechen oder in deren Systeme zu gelangen.

/ralph

Wenn die TAN per SMS kommt, dann ist das abfangbar.

SS7 wurde unter der Annahme einer freundlichen Umgebung entwickelt, wo alle Akteure mit Systemzugang vertrauenswürdig sind. Nun ja, das ist lange her. Mittlerweile sind Angriffe auf und mittels SS7 üblich und dokumentiert.

Kenne ich nur von deutschen Banken. Von der UBS kenne ich nur auth mit challenge-response Generator als dedizierte Hardware (mittlerweile auch App, aber das vermeide ich).

Leser direkt an den Bildschirm halten, Flicker-Feld ggf. in der Grösse anpassen. Das erste Bild hier zeigt das ganz gut:

Ohne Mitwirkung des Opfers? Ohne Kenntnis von dessen Wohnsitz? Ohne Unterschrift? Keine E-Mail-Adresse bekannt? Wie unterscheidet sich das von Verbrechern, die ich in mein Haus lasse, während die Erbstücke auf der Kommode liegen?

Volker

Da kenne ich weder die Telefonnummer des Opfers, dessen Wohnsitz, Mobilfunkprovider, Zugangsdaten zu dessen Webplatform? Und der Provider macht das dann einfach? Da haben wir dann evtl. doch ernstere Probleme als eine abgefangene SMS.

Volker

Und das Banking-Paßwort nebst Benutzername wird ja auch per SMS verschickt.

Bekannt. Gibt es nachgewiesene Fälle, wo das der Angriffsvektor für Kontoplünderung war? Einen?

Volker

Am 26.04.24 um 20:08 schrieb Volker Bartheld:

Bei einigen Mobilfunkprovidern soll das in der Vergangenheit tatsächlich allein mit Kenntnis der Telefonnummer und anderer öffentlicher Daten per Hotline möglich gewesen sein. Das ging damals durch die Presse. Der Brief mit der neuen SIM lässt sich in der Anonymität eines Wohnsilos leicht abfangen oder der Täter schafft es mit einem zweiten Anruf sogar, eine Adressänderung vorzunehmen.

Heute gibt es so viele SIM-Anbieter und es ist so üblich geworden, Hotlines in ausländische Callcenter zu verlagern, das sich garantiert immer wieder neue ähnliche Hintertüren auftun.

Du bekommst nicht mal mit, das eine zweite SIM mit deinen Daten existiert.

Am 25.04.2024 um 09:18 schrieb Volker Bartheld:

Angriffsmöglichkeiten bieten? :D Angeblich soll man den aber auch ohne Wifi-Funktionalität benutzen können, dann ist aber ein Großteil des Chips witzlos.

Bernd

Nein, in der Realität gibts derlei "gängige Tricks" schlicht und einfach nicht - oder nur in sehr wenigen Einzelfällen. Online-Banking ist seit Jahrzehnten ein recht hoffnungsloses Feld für Möchtegern-Betrüger. Das hindert natürlich niemanden daran, sich angebliche Szenarien zurechtzulegen, wie am laufenden Band die Konten irgendwelcher Leute leergeräumt werden. Die Sache ist eigentlich ganz einfach. Nachdem ja nicht der Kunde, der Kontoinhaber, geschädigt würde, wenn eine Überweisung oder eine sonstige Zahlungsmethode von bösen Buben missbräuchlich verwendet würde, sondern die Bank, welche ja für den Schaden haftet, wenn sie Zahlungen zu Lasten eines Kontos verbuchen möchte, ohne vom Kontoinhaber einen entsprechenden Zahlungsauftrag zu haben, liegt es allein im Interesse der Bank, hinreichend sichere Wege zur Erteilung von Zahlungsaufträgen zur Verfügung zu stellen. Und das tun sie natürlich. Selbst wenn tatsächlich mal ein Betrugsfall vorkommt, so wäre es wirtschaftlich sinnlos, mehr Aufwand zur Sicherung des Weges für den Auftrag vom Kunden zur Bank zu treiben, solange der entstehende Schaden unter den Kosten noch aufwändigerer Sicherungsverfahren liegt.

Der gewiefte Betrüger verwendet papierene Überweisungsaufträge, welche durchaus erfolgreich sein werden, wenn der Gauner eine Vorlage zum Fälschen der Unterschrift des Kontoinhaber ergattern kann, was ja nicht weiter schwer fällt, jedenfalls deutlich leichter als das fälschen elektronischer Aufträge...

MfG Rupert

Banküberfälle sind auch "sehr wenige Einzelfälle".

Der gewiefte Betrüger macht wohl oft "CEO-Fraud" und ähnliches, also social Engineering, das darauf abzielt den Berechtigten dazu zu bringen was zu überweisen.

Ja, er hat das noch mal gegengecheckt, aber die Versuche waren sehr überzeugend, und offenbar hat jemand Zugang auf den vollen Mailverkehr auf Seiten der türkischen Firma gehabt, um die Kommunikation so glaubwürdig nachzuempfinden.

Dass sowas bei privaten seltener vorkommt liegt vermutlich daran, dass das relativ hohen Personalaufwand auf Seiten der Kriminellen braucht (auch kluge, sprachkundige Leute) und der Aufwand für die geringen Beträge von Privatpersonen oft nicht dafürsteht.

/ralph