Banker advarer: Svindlere lokker NemID-koder ud af borgere med telefon-spoofing

Svindlere, som har udgivet sig for at være fra bankers support, har siden i går kontaktet danskere, i forsøg på at franarre dem betalingsoplysninger.

BEC, som er datacentral for en række danske banker, har igår udsendt en advarsel om et igangværende svindelnummer, der forsøger at lokke offeret til at afgive betalingsoplysninger og NemID-koder.

Flere banker har i løbet af igår udsendt advarsel til deres kunder.

Svindelnummeret anvender såkaldt telefon-spoofing til at ringe op til tilfældige danskere, og få opkaldet til at fremstå som om, at det kommer fra en bank.

Læs også: Spoofing af telefonnumre: Når 'Iben' ikke er fra kundeservice

Under opkaldet har svindlerne forsøgt at overbevise borgeren om, at opkaldet er fra en bank, og at de skal aflevere oplysninger, tage billede af deres nøglekort med videre.

"De har på engelsk forsøgt at franarre kunder diverse oplysninger," siger Jens Møller Nielsen, Kommunikationschef ved BEC.

Med divese internettjenester er det muligt, at få et telefonopkald til at se ud, som om det kommer fra et nummer, man har tillid til, i dette tilfælde fra en bank.

Svindlerne har ikke vidst, om deres offer rent faktisk har været kunde i den pågældende bank, så de har formodentligt ikke været i besiddelse af bankoplysninger eller lignende.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Følg forløbet
Kommentarer (15)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Simon Mikkelsen

Man kan på ingen måde sikre sig mod spoofing af "Vis nummer". Det er et stykke tekst og ofte er det telefonnummeret man skriver der. Men man kan også skrive "Hest" hvis man vil det.

Kort sagt: Det er normalt en rar feature når nogen ringer, men stol ALDRIG på den.

  • 6
  • 0
Ole Kaas

Hvordan sikrer man sine telefonnumre mod det?

Det kan man som udganspunkt ikke. Du må blot stole på den afgivne operatør (den teleudbyder hvor kaldet er initieret) har styr på det.

Er det teleudbyderen der skal gøre det?

Teleudbyderne har oftest godt styr på de numre som tilhører deres egne abonnenter. Det er lidt forskelligt fra udbyder til udbyder hvordan deres filtre fungerer, men som udganspunkt stoler de på at de kald de får levere fra andre udbydere og carriers er screenet.

Hvorfor sikres det ikke pr default?

Det er ikke indbygget i telesystemet, som er bygget længe før vi snakkede om en skov af mindre udbydere, Internet og hacking. Jeg er dog sikker på at sådanne "småting" er på dagsordnen når de store selskaber snakker sammen. Konsekvensen for udbydere der ikke har styr på deres systemer, kan være at det bliver meget dyrt at udveksle kald med dem og alle de kald de afleverer får "skjult nummer". Men jeg tror det skal være slemt før der sker noget.

I denne konkrete sag er det mest sandsynligt at det er et system der er blevet hacket. Det er så blevet udnyttet til spoofing fremfor den sædvanlige praksis med opkald til dyre destinationer.

  • 1
  • 0
Michael Cederberg

Det er ikke indbygget i telesystemet, som er bygget længe før vi snakkede om en skov af mindre udbydere, Internet og hacking.

Det burde være nemt at sikre sig at man kun modtager numre fra udbydere som udbyderen rent faktisk har som abonnenter for danske numre. I første gang måske ikke i realtid, men hvis det blev indberettet til myndighederne hver gang en udbyder kommer med noget skidt så kommer der hurtigt styr på problemet.

  • 1
  • 0
Rune Jensen

A: "Goddag, jeg kommer fra Gallup, må jeg stille dig nogle spørgsmål?"
B: "Jada"
A: "OK, din PIN kode, er det første tal større end 5?"
B: "Nej"
A: "Er det 2?"
B: "Nej"
A: "Er det 3?"
B: "Ja."
A: "OK, andet tal i din PIN kode, er det..."

  • 5
  • 0
Rune Jensen

en spam/scam simulator, hvor jeg implementerede de kendte tricks. Her er hvad man (bla.) skal kigge efter:

  1. Der er altid enten en præmie i udsigt, eller, der er en advarsel om for eksempel nedlukning (for eksempel af ens konto). Så altså heaven or hell awaits if you do/do not act.
  2. Hvis der er en præmie, skal man lige selv give et "lille" beløb først.
  3. Som regel præsenteres personen bag udfra en autoritet, som for eksempel en "afrikansk prins" eller "Microsoft Email Team".
  4. Der er en kort tidsfrist, sådan man er nødt til at svare hurtigt

Langt de fleste (særligt 419) scams bevæger sig af disse linjer. De udnytter bla. en logisk fejlslutning som appeal to authority, samt det faktum, at med en kort tidsfrist til at reagere, føler mange sig nødsaget til at reagere først og tænke bagefter.

Scamming IRL deler nogle fremgangsmåder med crackere eller bots, som snyder IT-systemer. Man kan for eksempel ikke bare stole på en bruger, som påstår at være admin. Der skal lidt bevis på bordet (hvilket er grunden til, jeg binder mine cookies til bla IP og andre traits).
https://www.owasp.org/index.php/Session_Management_Cheat_Sheet#Session_I...

  • 1
  • 0
Rune Jensen

Hvordan sikrer man sig?
Hvordan sikrer man sine telefonnumre mod det?
Er det teleudbyderen der skal gøre det?

Nej, det er brugeren. Jeg vil da meget gerne have mig frabedt, at mit teleselskab leger censor imod hvem der kan ringe til mig, med mindre jeg explicit har givet dem lov.

Du sikrer dig ved at stille et spørgsmål, som kun din bank kan vide. For eksempel, det nøjagtige beløb på din konto eller dit kontonummer (som ikke er tiknyttet noget kort).

Det kan du såmænd gøre allerede, hvis du bliver ringet op af "din bank" af en person, som taler engelsk.

  • 1
  • 2
Kjeld Flarup Christensen

Det burde være nemt at sikre sig at man kun modtager numre fra udbydere som udbyderen rent faktisk har som abonnenter for danske numre. I første gang måske ikke i realtid, men hvis det blev indberettet til myndighederne hver gang en udbyder kommer med noget skidt så kommer der hurtigt styr på problemet.


Da jeg arbejdede hos Viptel, solgte vi udenlandske numre til kunderne. De kunne både modtage og lave kald med dette nummer. Når de ringede ud, så sendte vi kaldet ud i verden via TDC, som så sendte kaldet til en stor international transit operatør.

Et andet eksempel var, at vi havde en tysk kunde som sendte kald ud i verden via Danmark.
Services som Skypeout, Viberout o.s.v. gør det samme. Så det er meget udbredt.

Endnu et konkret eksempel er når vi tager på ferie, og roamer. Så sender vi kald til Danmark fra et danske nummer fra udlandet.

Det ville være let for transit operatøren at lukke af og sige at man ikke sender +45 kald til Danmark, men det ville ødelægge legitime setups.

Man kan også lave tricket indenlandsk, ved at hacke et omstillings anlæg. Disse har oftest en ClipSA feature slået til hos telefonselskabet, som giver mulighed for at viderestille et kald, med det originale A nummer.
Man kan man også blot købe en ClipSA hos et selskab som ser stort på det. Det er så næppe i Danmark dette er gjort.

Der er så også muligheden for at snyde Skype eller Viper.

Den eneste løsning jeg lige umiddelbart ser, er at TDC, Telenor og Telia som er de selskaber der tager udlandskaldene ind, blokerer for bankers A numre fra udlandet. Det kræver så, at bankerne indberetter deres numre.
Spørgsmålet er så, om det er umagen værd at bruge tid og kræfter på at implementere dette. Når man lukker et hul, så finder de bare et nyt.

Det er ikke indbygget i telesystemet, som er bygget længe før vi snakkede om en skov af mindre udbydere, Internet og hacking. Jeg er dog sikker på at sådanne "småting" er på dagsordnen når de store selskaber snakker sammen.


Det var nu ikke mit indtryk når vi talte med TDC at der ville blive gjort ret meget. Det oldgamle telefonsystem er blot en cash cow. Man kan jo ikke tjene penge på tale mere, markedet går mod, at der tjenes penge på data. Talen kører på Skype og Viper, der jo reelt har en bedre sikring af afsenderen, selvom der sikkert også kan snydes.

Der sker nok først noget, når alle teleselskaber er skiftet over til SIP, og dermed kan lægge de samme protokoller på til at sikre afsender som email tilbyder, men som langt fra er standard. Og så skal vi lige af de sidste tilbagestående lande med, som bruger telefoncentraler fra 1900 tallet.

For at gør en lang historie kort. Udlever aldrig dine Nem Id koder eller andre koder for den sags skyld!

  • 3
  • 0
Log ind eller Opret konto for at kommentere
IT Company Rank
maximize minimize