Poliția germană: autentificarea în doi factori

sistemul utilizat pe scară largă în Germania nu reușește să oprească criminalii cibernetici de la descărcarea conturilor bancare, a declarat marți un oficial german de aplicare a legii

Începând cu anul trecut, aproximativ 95% dintre patronii germani de servicii bancare online foloseau codurile "iTan" care sunt solicitate de un client bancar în timpul unei tranzacții online, a declarat Mirko Manske, șef de superintendent al detectivului Federal Federal Police Office din Germania.

Codul iTan este folosit ca o măsură suplimentară de autentificare în afara informațiilor de conectare ale clientului. Codul iTan poate fi folosit o singură dată și este destinat să înlăture atacurile bancare online în care un atacator are toate celelalte informații despre client.

[Citirea suplimentară: Cum să eliminați programele malware de pe PC-ul Windows]

Dar " munca ", a spus Manske în timpul unei prezentări la Congresul E-crime din Londra. "Încă mai pierdem bani".

Problema este că hackerii au dat seama că sunt capabili să execute tranzacțiile în timp real, folosind codul iTan și făcând controlul de securitate esențial inutil. mijlocul în care un atacator poate modifica datele schimbate între PC-ul hacked și un server bancar. O altă versiune este numită om în browser, unde un program de cal troian modifică tranzacția.

Manske, a cărui prezentare a fost parțial cenzurată, deoarece conținea informații sensibile, a arătat două scenarii în care codurile iTan sunt utilizate în timpul transferurilor de bani. În unul dintre scenarii, victima obține o confirmare că trimit 500 EUR (677 USD). De altfel, un hacker a modificat informațiile și a transferat 5 000 de euro în alt cont, a declarat Manske.

Un alt incident a arătat cât de mult au devenit programele de programare malware avansate din punct de vedere tehnic. O bancă germană majoră a cheltuit o sumă semnificativă de bani pentru a pune în aplicare un sistem în care o fotografie cu litere jumperate, numită CAPTCHA (testul public Turing public complet, CAPTCHA-urile sunt adesea folosite pentru a încerca să împiedice boturile automate să înregistreze, de exemplu, prea multe conturi de poștă electronică, deoarece computerele nu sunt la fel de bune la oameni la descrambling jumbles de caractere. În cazul băncii, CAPTCHA a fost folosit pentru a oferi un alt nivel de verificare a tranzacțiilor.

Într-un alt exemplu surprinzător de inovare în domeniul criminalității informatice, Manske a declarat că atacatorii au dezvoltat o componentă specială care ar putea face o copie perfectă a CAPTCHA un atac om-în-mijloc. Aceasta copie ar fi afisata impreuna cu detaliile corecte ale tranzactiilor in timpul unui atac.

"Sunt unii programatori foarte talentati acolo", a spus Manske