DanID gav selv opskriften på NemID-hacking af Danske Bank
Da otte kunder i Danske Bank tidligere på måneden fik franarret i alt 700.000 kroner via hacking af deres NemID-login, skete det med den automatiserede spionsoftware Banktexeasy, der overvågede brugernes handlinger og selv reagerede på dem.
Det viser en ny analyse af den brugte malware, som it-sikkerhedsfirmaet CSIS har lavet.
Men fremgangsmåden burde ikke komme bag på Nets DanID, der står bag NemID-løsningen. For virksomheden har selv fremhævet, at automatiseret software, der ikke kræver hacker-bagmændendes indgriben, er vejen frem, hvis nogen skal have succes med at omgå NemID.
Udsagnet kom, efter at Version2 i november 2011 demonstrerede, hvor let NemID-brugere kunne narres med et såkaldt real time phishing-angreb. Nets DanID imødegik kritikken med, at Version2's scenarie med en levende it-kriminel som man-in-the-middle var 'rent teoretisk'.
»Det scenarie, Ingeniøren har konstrueret i videoen, er kendt som 'typosquatting', her kombineret med man-in-the-middle. Det er et teoretisk scenarie, der ikke er ført ud i livet i dag. Denne type angreb kan godt lade sig gøre, men spørgsmålet er, om det er noget, der vil få en reel udbredelse. Den typiske it-kriminelle går jo efter en model, hvor deres software laver arbejdet, og det, I viser her, kræver ægte menneskelig indsats på dansk, 7/24 overvågning, og dertil en stor portion held for at blive til penge,« skrev Nets DanID til Version2 dengang.
Angrebet på Danske Bank har nu vist, at Nets DanID har ret i antagelsen. Med automatiseret software er det lykkedes de it-kriminelle at omgå NemID-sikkerheden og franarre 700.000 kroner fra intetanende netbankkunder.
Lovede fokus på fraud detection – uden effekt
I Nets DanID's email fra november fremgår det, at de it-kriminelle hele tiden bliver dygtigere og dygtigere, og at man derfor anser overvågning og vurdering af trusselsbilledet for en vigtig opgave.
»Phishingsagen fra slutningen af september har skærpet fokus på fraud-detection yderligere, og vi har forskellige muligheder for at imødegå angreb,« skriver Nets DanID til Version2.
Selvom bankerne altså angiveligt har skærpet deres fokus på at opdage forsøg på netbank-angreb, så har effekten været begrænset. For det var nemlig ikke Danske Banks interne fraud detection-systemer, der slog alarm i starten af februar - det var en af de ramte kunder.
»Det var en kundehenvendelse, der gjorde, at vi i første omgang blev opmærksom på det,« har koncernsikkerhedschef i Danske Bank Poul Otto Schousboe i den forbindelse fortalt til Version2.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
