Banki csalás?

Az ügyintéző bízott a rendszerben és nem hitt nekem. Én kértem, hogy nézzen rá egy magasabb jogosultságú személy és nézzék meg egy korábbi utalásunk adatait. Ott látható volt, hogy csak 1 ember írta alá, amit meg nem lehetett volna.

melyik bank?

Némelyik banknál egyszerűbben, másiknál bonyolultabban lehet belépni. Pl OTP-nél a számlaszám, jelszó és egy másik azonosító kell, míg a másik banknál egy 8 jegyű számsor a felhasználó neved.

Magán?

A vállalati számlánál gyakran lehetnek többes aláírók, amelyek közül valaki aktiválta magát és lenyúlta a pénzt.

Egyedüli számlatulajdonos? és Egyedül jogosult a számlaműveleteket végrehajtani, vagy más is?

Ha az asszonnyal közös a számla és válnak, akkor fölrakhatta az asszony a mobilappot és lehúzhatta a pénzt.

Végrehajtás érvényben van-e ellene?

Nem tudom, de a végrehajtó is leemelhette, nem tudom, hogyan férnek hozzá a számlához.

Thx!

Az ügyfél biztosan hibázott valahol az user/pass körül minimum, mert azt tudni kellett minden máshoz. Az, hogy kamu oldalra ment banki belépni vagy olyan egyszerű volt a belépése, ami kitalálható, ennyiből nem derül ki.

A másik viszont, ami a bank oldala, hogy miért ilyen egyszerű a banki appot feltenni? 2025-ben egyetlen SMS a "védelem"? Mikor csere SIM-hez jutni némi kamuval a más nevére sajna nem lehetetlen.

A CIB-nél az appot aktiválni csak személyesen a fiókban vagy telebankon, telebank PIN kód ismeretében és alapos azonosítás után lehet.
Aztán meg szintén CIB esetében akár weben, akár mobilon belépni csak 2FA után lehet (weben token kell, amit a mobilapp generál ujjlenyomat után, a mobilapp meg csak ujjlenyomattal vagy egy megint másik PIN kóddal enged be). Aztán minden tranzakciónál is kell a token/ujjlenyomat akárhonnan indítom. Ezzel azért elég nehéz már visszaélni.

Erste-nél szintén plusz egy garnitúra azonosítót, titkos kódot kell ismerni a mobilapp aktiváláshoz pluszban, és utána ugyan úgy minden tranzakciót jóvá kell hagyni az appban, ujjlenyomattal/PINkóddal.

Lehet azért a plusz védelemért is jó a mobilapp minden banknál (ha nem is akar valaki mobilról bankolni), hogy onnantól abban megy a jóváhagyás, nem SMS-ben, és az már sokkal nehezebb a bűnözőknek. Pl. CIB mobilapp alapból csak egy készüléken lehet aktív, ha valaki az enyémet lenyúlja, azonnal megtudnám, mert onnantól a telómon nem működik (de a "régi" telón jóvá kell hagyni a költözést, vagy ha ez nem lehetséges, akkor személyesen a bankban kell folytatni... szóval lenyúlni nem egyszerű).

Nekem az a fura, hogy az MBH előzmény bankjai is problémásak voltak sok téren, miért voltak ott annyian (nekem is bolt BB számlám, még bőven az egyesülés ötlete előtt megszűntettem, mert csak a baj volt vele), és a problémák hallatán miért nem váltanak? Előbb-utóbb csak rendbe tennék, ha sok ügyfél elmenne emiatt. Vagy az emberek ennyire nem foglalkoznak ezzel, hogy akkor hallanak az egyes banki problémákról először, mikor beüt náluk a baj? Pedig a hírekbe jó sok banki csalásos-visszaéléses eset bekerült már, azok miatt lehetne mindenki kicsit egészségesen paranoiásabb mára.
Vagy megfordítom, az Erste, CIB (ezeket használom, többit nem ismerem) miért fejlesztette/fejleszti a biztonságot folyamatosan, az MBH meg miért nem? Miért van még bármely banknál a mai napig SMS-es bármi? Az öreg néni okosteló nélkül inkább menjen kötelezően a fiókba személyesen, minthogy az SMS-es gyenge biztosnág miatt lenyúlják a pénzét. Mindenki másnak meg van okostelója internettel, ujjlenyomattal, hát használja azt kötelezően azonosításra.

Hála égnek én nem vagyok közvetlenül érintve az ügyben. Itt a bank szerintem annyiban felelős, hogy mobil alkalmazás telepítése és a biometrikus azonosító bekapcsolása után bármit tud csinálni a felhasználó minden fajta megerősítés nélkül. Én a CIB-nél vagyok de ott bármilyen modosításnál vagy utalásnál meg kell erősítenem a müveletet egy kóddal.

Ez pont nem egy általános érvényességű ítélet - amiről lehetne mondani, hogy precedensértékű - hanem egy adott üggyel kapcsolatos, elég speciális eset. Hivatkozási alapnak igazából szerintem nem jó.

Es a NER-es mivoltjukbol kovetkezoen senki (MNB, GVH, rendorseg/ugyeszseg/birosag, ...) meg nem bunteti oket, igy hat nem is sietnek a problemak megoldasaval.

Attól, hogy lezáratlan jogvitád van a bankkal szemben, még ex cathedra nem jelentheted ki, hogy jogsértően jártak, járnak el, illetve nem állíthatsz olyat róluk, amit nem tudsz tételesen bizonyítani. És a fentiek közül a harmadik bekezdés az, ami ebbe a körbe bele tud férni.

Ha itt olyan fizikai tokenről van szó, ami TOTP alapú (6 darab számjegyet jelenít meg), és ha sikeresen játszanak man in the middle-t, akkor ezt is ugyanúgy ki lehet játszani, mint mondjuk az SMS-ben küldött kódot. Ha úgy indul a támadás, hogy Google hirdetésben egy hasonló, de csaló domainnel első helyre kerülnek, ami az eredetivel egyező netbank weblapot jelenít meg, bekéri a nevet+jelszót+második faktort, akkor ezeket beírja a user, a csaló weblap a háttérben ezekkel az infókkal belép a valós netbankba, és már indulhat is a csalás.

Tudom, ld. 2. sor

A certificate pinning jó - volt. De ugye a certek maximális lejárata most még 2 éve, de ez elég gyorsan össze fog menni néhány hónapra... Úgyhogy már csak ezért sem jó móka az eszközbe drótozott szerver cert - maximum a CA certjét lehetne bedrótozni... De ez is shared secret, amit az eszközön kívülről módosíthatóan kell tárolni...