Svindelsag vokser: 100.000 danskere kan få spærret deres kreditkort
En international misbrugssag, hvor kortoplysninger fra danske forbrugere er havnet i hænderne på svindlere, vokser sig nu større.
Nu går Nets ud og anbefaler bankerne at spærre yderligere 100.000 betalingskort, som er under mistanke for at kunne blive misbrugt. Det oplyser presserådgiver Ulrik Marschall til Finans.
»Kortene er endnu ikke blevet forsøgt misbrugt, men vi mistænker, at de kan blive det inden for den nærmeste fremtid. Derfor anbefaler vi nu, at kortene bliver spærret, både for at spare banker og butikker for et muligt kæmpetab og for at forhindre kortholdere i at få deres kort misbrugt,« siger Ulrik Marchall til udgivelsen.
Version2 kunne i slutningen af september fortælle, at 15.000 danske kreditkort var i fare for at blive misbrugt. Nets havde opdaget flere forsøg på misbrug, der kunne føres tilbage til et tyveri af kreditkortdata fra en udenlandsk internetforretning. Nets ville dog ikke oplyse hvilken forretning der var tale om.
Nu tyder alt på, at en større mængde kortoplysninger end hidtil oplyst er havnet i de forkerte hænder.
Det er kortselskaberne, som f.eks. Visa og MasterCard, der står for efterforskningen af den mistænkte internetforretning. Nets vil stadig ikke offentliggøre navnet, men siger, at det »åbenbart er en populær hjemmeside,« siden så mange betalingskort er involveret.
»Det er vigtigt at påpege, at kompromitteringsstedet kan være en normal webshop, der lever op til alle krav, men hvor hackere alligevel har haft succes med at få adgang til kortinformationer fra deres betalingsløsning,« skriver Nets på selskabets web.
Derudover er kompromitteringssted og misbrugssted ikke nødvendigvis det samme, tilføjer Nets.
»Misbrug af betalingskort finder ofte sted et stykke tid efter, at kortdata er blevet stjålet/phishet, dvs. at det sted, hvor kortdata bliver misbrugt, stort set aldrig er samme sted, som de bliver stjålet.«
Præventiv indsats
Udover de kort, der er blevet forsøgt misbrugt, udskiftes en del kort af præventive årsager.
»Ved præventiv udskiftning af kort, der er under mistanke for at blive misbrugt i nærmeste fremtid, sparer bankerne og butikkerne for et trecifret millionbeløb, som de kan få i tab, når der handles med stjålne kortoplysninger,« skriver Nets på selskabets hjemmeside.
Formålet er ifølge Nets altså at undgå, at flere kortholdere bliver udsat for misbrug.
Det er nu bankernes opgave at beslutte, om de vil følge Nets' råd og spærre de mange tusinde betalingskort. Herefter skal de have fat i de berørte kortejere, som desværre kan opleve, at deres kort pludseligt er spærret.
Nets benytter et fraud prevention system, som analyserer kortbrug og tendenser og vurderer på den baggrund om givne betalinger er reelle eller forsøg på misbrug.
- Europol arresterer 95 e-handelssvindlere for mere end 20.000 falske korttransaktioner
- Visa-kort kan knækkes gennem distribuerede forsøg i store webbutikker
- Webshop jagter kreditkort-svindlere med GPS: Espressomaskine blev sporet til Fyn
- Efter massespærring: Nets ved ikke, hvordan kompromittering af danske kort teknisk er foregået
- Banker nægter at spærre kort, selvom de risikerer at blive misbrugt
- Denne artikel
- 29 danske domæner på aktuel liste over hackede online-butikker
- 15.000 danske kreditkort spærres efter datatyveri fra internetbutik
- emailE-mail
- linkKopier link

...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
Fortsæt din læsning
- Sponseret indhold
V2 Briefing | GENERATIV AI: Sådan bruger du det professionelt
Kunstig Intelligens22. marts
- Sortér efter chevron_right
- Trådet debat
N3MID duer ikke! Net sikkerhed skal varertages af borgerne! Aktieselskaber kan ikke sikre bank sikkerhed! Det er borgerne selv der skal drive bankvirksomhed!
Trojaner spreder via styresystemer.
Kortdataen opsnappes på shops via zero day exploits ? Hvordan kommer botnetværk ind i billedet?
Det kan være nogen som Klarna, en Svensk betalingsløsning. De aggregerer alle oplysninger "på tværs" af webbutikker så kunden ikke behøver at slide på fingrene henne på den næste webbutik.Det kan ikke være en lille butik der har haft adgang til 115.000 kunders oplysninger? Med mindre de er fisket hos Nets selv - hvilket jeg tror mest på.
Små webshops bruger ofte den slags betalingssystemer fordi de kommer indbagt i deres hosting (man kan leje en komplet webshop-løsning så man ikke behøver at skrive een linje kode, det er i øvrigt nok også det bedste).
Læs nu hvad jeg har skrevet?
PayPal Amazon eller lignende er IKKE blevet hacket.
De her kort kommer i bund og grund fra zerodays exploits og bliver logget i enorme botnets
for eksempel paypal uden dog at sige der er dem.
Tjae, jeg har vist endnu ikke fået spærret nogle af de kreditkort jeg har registeret der ... Dvs jeg har ikke fået spærret nogle kort endnu i denne omgang, men det er vel begrænset hvor mange online butikker der har 100.000 danske kunder ...
Ser det ud til at være en international betalingskanal, for eksempel paypal uden dog at sige der er dem.
Nej, det er mange år siden den blev afskaffet.
<a href="http://borger.itst.dk/aktuelt/endeligt-farvel-til-fluesmekkeren">http:/…;
Den bruges stadig i udlandet, fx biludlejning
Ja, det er surt! Heldigvis dækker banken tabet.
Fint og fornemt at bankerne "betaler" = VÅS, bankerne betaler IKKE, det er os kunder den udgift lægges over på, når indtægter og udgifter opgøres, det er alle kunder der betaler, og det er også tilfældet med udgifterne til alle de alternativt begavede individer der blindt køber ind på alverdens svindelsider, som lever af at voldsomt mange forestiller sig at dyre mærkevare kan skaffes til latterligt små beløb, og som så opdager at varen ikke engang dukker op, eller bestemt IKKE lever op til std, eller ser en "reklame" hvor de kan VINDE en Iphone, hvis de bare lige giver siden ALLE deres pers data/kort opl. hvorefter de bagefter, hvis de gider, kikker på deres bank-udskrift og opdager at de igennem mdr er blevet lænset for hundredevis af kr ! SORRY ! Efter min bedste overbevisning, er der hos individet alt for meget bekvemmelighed/dovenskab til, altså alt skal være mega-let, og vi skal ikke behøve at bruge HJERNEN ! Det er USA om igen, hvis jeg kan gøre noget galt, og gør det, så er det producentens skyld at jeg kommer i ulykke, og producenten smides så i retten ! Tilsyneladende er USA og dets "ideer" er hvad alle vil have, masser af overvågning splid ødelæggelse mord ulighed våben, og meget andet "vidunderligt"
Pædofile har ikke helt samme tekniske viden. De arbejder "sammen" med andre mennesker. Der er flere faktorer der spiller ind, og flere efterforskningsmuligheder. Før var der mange af disse butikker, men nu er der kun 2 store spillere på markedet, som har været der siden 2005.
Når man kan stoppe fx børnepornosider, må det kunne lade sig gøre at stoppe de sider, der sælger hælervarer og straffe dem der står bag. Et spørgsmål om prioritering?
Det gør de også, men der skiftes domæne, og derudover er de samme butikker på tornetværket. De kan ikke stoppes.
Hvorfor bliver disse sider ikke blokeret af myndighederne? De handler jo med hælervarer.Der sælges ca. 6000kort om dagen på disse sider.
Er den,? Bruges den ikke stadig som backup nogen steder, når det elektroniske system er nede? Det er heller ikke altid at chippen (eller maskinen) virker, og kortet køres gennem manuelt.Fluesmækkeren er jo afskaffet for længst.
Ja, det er surt! Heldigvis dækker banken tabet. Banken sagde med det samme at det lignede noget de havde set før med transaktionen fra nikestore.com og en af mine venners venner har også fået stjålet ca. 10.000 kr for nylig.
- Nets har i de seneste uger konstateret et stigende misbrug af dansk udstedte betalingskort i både danske og udenlandske internetforretninger, og alt peger nu på, at kilden til dette er en udenlandsk internetforretning, og at en større mængde kortoplysninger er havnet i forkerte hænder.
De er lidt modsigende. Og taler mellem linierne. Jeg ved ikke hvorfor.
Uwouldnt know:
contra *"»Kortene er endnu ikke blevet forsøgt misbrugt, men vi mistænker, at de kan blive det inden for den nærmeste fremtid. "Nets har meldt ud at en del af disse kort er misbrugt
Det sidste står som et direkte citat. Men det er måske V2's journalist, som har misforstået NETS?
Nets har meldt ud at en del af disse kort er misbrugt, og at flere er i fare for det samme. Hvis du googler forskellige sites nyheder. Journalister er bare ikke ret gode til at forstå denne form for kriminalitet, og skriver meget desperat og hurtigt.
Frederik Jensen:
Surt!
Hvis dit kort er omfattet af den nuværende sag, så holder påstanden om, at der ikke er foregået misbrug af kortene, jo i hvert fald ikke vand.
Jeg har netop fået misbrugt mit VISA-kort på hjemmesiden www.nikestore.com. 3 transaktioner på i alt ca. 9.500 kr - men jeg har aldrig handlet på denne hjemmeside, så det er ikke Nike, der er blevet hacket, men blot brugt til at suge penge ud af kortene. Jeg spærrede selv mit kort, da den første transaktion dukkede op sidste torsdag.
Kan findes her: https://gitlab.com/gwillem/public-snippets/snippets/28813
Tak for uddybende svar, Uwouldnt Know (foruroligende navn, i øvrigt). Din forklaring giver rigtigt god mening ift. de temmeligt "murky" forklaringer, som NETS kommer med - hvor ens "mavefornemmelse" siger en, at der er noget helt galt.
Vil det sige, at man kan tjekke, om ens eget kort ligger på siden?
Er det det der med chargebacks, som er grunden til, at NETS så ikke for længst har grebet ind overfor denne side og de lækkede kort?
Og hvis det er så enkelt at finde disse kort - hvorfor i alverden er der så ikke nogen andre end NETS, der har fulgt op på sagen? Hvor i alverden er vore myndigheder, hvis din forklaring holder vand?
GRRRRRRRR!!!!!
På disse sider kan nets se BIN+navn+efternavn+udløbsdato+land+postnr+by
Dvs de kan se bankens afdeling (BIN), navn på kunden osv.
Disse informationer er tilgængelige inden køb af kortet. Det ligner lidt sådanne her:
457103********* - 09/10 - Lars - Larsen - 2000 - Copenhagen
Derfor kan banken spærre kortene, da kortholderene er nemme at identificere.
Angående grunden til de ikke siger mere, kan evt være at undgå reklame som du siger. Udover det har jeg i en retssag gjort en NETS sikkerhedsekspert opmærksom på dette meget grundigt, men han svarede de havde undersøgt dette, og at de kort jeg snakkede om var "falske" og ikke virkede. De har en millionomsætning i chargebacks som sagt.
Uwouldnt Know:
Interessant udlægning, der umiddelbart giver mening - men så er det, der er sluppet ud fra NETS, godt nok langt fra den virkeliges historie.
Hvis din udlægning er rigtigt - hvorfor holder NETS så hånden over butikken? For ikke at reklamere unødigt for dem, måske? Hvordan ved man i så fald, hvilke kort, der er omfattet? Nets har vel ikke adgang til disse kort?
Som sagt - der er noget besnærende over din udlægning - men jeg kan slet ikke gennemskue, om den holder vand. Glæder mig til andre bud på, om det er sådan, det hænger sammen.
Hvorfor er det medierne selv tolker? NETS snakker om en butik som har sat disse kort til salg. En lyssky butik. Der er 2 spillere på markedet. Den ene har lige fået lukket sine 15k kort. Den anden har ca 97.5k. Måske nogle af de stupide journalister skulle starte med at stille de rigtige spørgsmål. Nets tjener penge på chargebacks. Millioner hver måned. Men det har taget overhånd nu.og
Alle disse kort stammer fra forskellige sider. Hackere sælger sine databaser til denne 'internetside', hvorefter ejeren af butikken tager provision for at sælge kortet der. Der sælges ca. 6000kort om dagen på disse sider. Hvert kort koster 7-12$ hvoraf de danske er dyrest, fordi der er størst efterspørgsel på dem.
Stop nu lige jer selv .
Jeg håber at der denne gang bliver sendt besked til de berørte så man ikke står i udlandet uden fungerende kreditkort.
Jeg vil faktisk sige at der er noget helt galt med systemet, hvis man spærrer det fysiske kort, når det kun er nethandel der er kompromitteret.
NETS bør blot spærre for internethandlen på kortet, og lade det fysiske kort køre videre med en normal udskiftning. Flere banker laver faktisk en løsning der ligner: https://www.version2.dk/artikel/banker-naegter-at-spaerre-kort-risikerer-at-blive-misbrugt-1007641
Kortene burde også tvinges over på Verified by Visa og 3D secure.
Hele kreditkort systemet mangler en mulighed for at spærre for nethandel, og en kode for det, så kunden kan få det at vide når kortet er spærret. Alt hvad vi som webshop kan se er stortset at kortet ikke er gyldigt, så vi kan kun henvise kunden til sin bank. Det ville være rart om vi kunne fortælle kunden at kortet er spærret.
Og så synes jeg også at ideen om virtuelle kreditkort er god. En ting er de dankort man får, det bør kun have en chip. Fluesmækkeren er jo afskaffet for længst. Og så kan man printe koden til det virtuelle kort fra netbanken - og ja man kan sagtens tage en kopi af dankortet til brug for internethandel.
Vi bruger det til optankning af kundernes taletid. MEN vi har ikke oplysningerne, de ligger hos Epay eller måske længere inde i systemet. Alt hvad vi har et et handle, som giver ret til at hæve penge til os og kun os.Efter handelen er afsluttet burde kortoplysninger som en regel kræves slettet. Det er vel ikke det store arbejde at skrive kortoplysninger, hver gang man handler på nettet? Det kan da ikke være lovligt at internetfirmaer opbygger databaser med sådanne følsomme oplysninger.
Så er der imidlertid visse udenlandske websites, som gemmer hele baduljen, den slags undgår jeg altid, med pay pal som en undtagelse.
Udfra debatten synes det, at Nets måske ser syner. Jeg var selv for nogle uger siden ude for at min kort var lukket pga. nogle for Nets mistænkelige hævninger. Jeg blev ringet op af banken, som åbnede kortet igen, da jeg havde kortet på mig og kunne forklare transaktionerne, som var helt normale for mig, selv det ikke sker hver dag.
Indtil videre er det vist mest Danmark (og nu Norge):http://www.bankingtech.com/623102/nets-warns-of-massive-credit-card-hack-in-denmark/Men VISA og Mastercard vil nu også "investigate" ifølge artiklen.
Men er der nogen ekstern, uafhængig kontrol med NETS, når de går ud med sådanne meddelelser? Eller kan de (et helt tænkt tilfælde) slippe godt fra at påstå, at der er tale om en udenlandsk netbutik, hvis det i virkeligheden er et hack i Nets?
Burde det ikke være obligatorisk, at der kommer eksterne, offentlige øjne på den slags sager? Jeg kan ikke forstå, at det kan være en intern NETS-sag at forholde sig til det.
Er andre end Danmark & Norge (begge NETS) ramt? synes ikke lige jeg har kunnet finde noget.....
Vi er ikke alene.......Vi har lidelsesfælder i andre lande:https://www.nrk.no/norge/4000-nordmenn-kan-fa-bankkortet-sperret-i-stor-svindelsak-1.13196818
Det sker når man tager sikkerhedsstandarder ad-verbum og ikke fortolker den til den virkelighed, som systemerne befinder sig i. At være blindt konform med sikkerhedsstandarder har ingen som helst påvirkning på, om man er sikker.
Det er vel også nok. Hvis du bruger dit fysiske kort i Væmmelse Nørremark Brugsforening, og en halv time efter i Yurts'r'us i Ulan Bator, så er det mistænkelig adfærd.Jeg troede kun at de oplysninger om beløb og butik.
Jeg tror snart tiden er moden til virtuelle debit og credit kort.
Et virtuelt debit kort oprettet til hver abbonnementstjeneste og med en autmatisk overførsel svarende til forventet forbrug og der er ikke meget at misbruge hvis det blev kompromitteret.
Dernæst en håndfuld virtuelle debit/credit kort der bare kan kasseres efterhånden som de mistænkes for at blive kompromitteret.
De fysiske credit/debit kort kan så gemmes til transaktioner i den virkelige verden da de jo ikke så nemt lader sig virtualisere - men det ville nu ikke være svært at konstuere en løsning hvor kort nummeret kunne præsenteres i form af en QR kode på en skærm (læs telefon) . Så ville man også lynhurtigt kunne få et nyt betalingsmiddel.
Jeg er ved at kigge lidt på Neteller og deres Prepaid MasterCard men har endnu ikke de store erfaringer ...
Ikke direkte men inddirekte findes alligevel en "Nøgle", som de banditter[Nets] sælger.. Problemet med Nets er det velkendte.. et firma, der helt normalt skal tjene penge på monopolet, og de "opfinde" derfor konstant helt nye ydelser, som de kan sælge..Vil det sige at Nets har adgang til mine kasseboner så de kan se hvad jeg har købt?
Nets købes for 17 mia. i 2014, samt Nets bliver nu igen i 2016 afhændet til en endnu større sum (30-40 mia.) via børsnotering[1], så der skal sør'm mange penge i kassen hver eneste dag, til at forrente beløbet samt give et afkast til ejerne.
Meny m.fl. har "fordelskort" og Brugsen har også koblet noget lignende op i deres butikker her i år samt Statoil m.fl. har haft det i mange år. Moralen ved brug af dit plastickort er: "we spy on you" ;)
--
»Nej, det eneste, Nets får at vide, er det, vi hele tiden har fået at vide, når kunden betaler med sit kort. Nemlig det beløb, der står på bundlinjen på bonen, og som skal trækkes på kontoen«, siger Majken Thanning, der er product manager i Nets, og fortsætter: men alligevel, sniger Nets sig ind via en bagdør ;)
»Nets får de sædvanlige oplysninger, men d e s u d e n registreres en krypteret nøgle, som peger på [Butikken/Firmaet] fordelsprogram, og her hentes kundens køb og rabatvalg frem, så rabatten kan trækkes fra. Men de oplysninger sendes ikke til Nets.«
[1] http://finanswatch.dk/Finansnyt/kapitalforvaltning/article8966075.ece
Man gemmer i forvejen ikke CVV verifikationskoden på bagsiden.
Det er en evig kamp for butikkerne at få omsætning, det skal være ekstremt nemt at købe, mod god sikkerhed.
Jeg købte idag en vare på Amazon.co.uk hvor jeg ikke engang tastede den 3-cifrede .... De vil gerne sælge og har vurderet de får nok kunder på den måde, til at opveje svindel.
Det man som forretning, og kommune m.fl., bør overveje er - hvad opsamler og gemmer jeg, kunne det være at jeg kunne nøjes med færre data
Ps der er også browsere som Chrome og Safari der gerne gemmer kortinformationer ... Det er heller ikke noget jeg vil anbefale.
Der sendes nemlig ikke personlige oplysninger ifm selve betalingen. Det kan være private oplysninger skal gives af andre grunde men selve betalingen kræver det ikke. Prøv f.eks. en donation til Wikileaks med bitcoin på https://shop.wikileaks.org/donate
Ja, det undrede også mig - og er det ikke netop misbrug af kortet, man her er på udkig efter, og åbenbart har fundet?Det kan også være indkøb af ting, der ikke passer på kortbrugerens normale adfærd.<br />
Der er noget, der ikke stemmer i den søforklaring fra NETS.
Det kan også være indkøb af ting, der ikke passer på kortbrugerens normale adfærd.
Vil det sige at Nets har adgang til mine kasseboner så de kan se hvad jeg har købt?
Jeg troede kun at de oplysninger om beløb og butik.
......hvordan historien hænger sammen?
NETS forklarer, at:"- Vi overvåger alle de transaktioner, der går fra danskudstedte kort, i realtid, for at se om der er mønstre, der tyder på misbrug. Så griber vi ind og stopper misbruget, mens det sker, siger han. I overvågningen leder Nets efter en pludselig ændring i adfærd fra betalingskortet. Det kan både være mange transaktioner kort efter hinanden. Det kan også være indkøb af ting, der ikke passer på kortbrugerens normale adfærd. Herefter sammenholder Nets de forskellige kort med mistænkelig adfærd for at undersøge, om kortene kan spores tilbage til en bestemt internetforretning."https://www.information.dk/telegram/2016/10/mistaenkeligt-forbrug-foerer-massespaerring-kort
Samtidig siger bankerne:"»Vi er allerede i gang med at tage kontakt til de kunder, som er berørt af sagen. Vi har ingen indikationer af, at der skulle være foretaget misbrug. Derfor spærrer vi ikke kortene, men udskifter dem for at forhindre fremadrettet misbrug,« siger pressechef Kenni Leth."http://jyllands-posten.dk/#ia9103104;finans
Og NETS selv siger:"...»Kortene er endnu ikke blevet forsøgt misbrugt, "(artiklen ovenfor)
Kan nogen forklare mig, hvorledes disse oplysninger kan forenes? Er de ikke i direkte modstrid med hinanden, når man på den ene side hævder via dybtgående analyser at have konstateret, at der er "mistænkelige mønstre", på den anden side samtidig siger, at "kortene er endnu ikke forsøgt misbrugt"?
Kan nogen hjælpe mig med at forstå det på anden måde, end at "nogen" ikke taler sandt? Hvor er det, jeg går galt i byen?
På udtalelserne fra NETS lyder det jo nærmest som om, det kun er NETS, der efterforsker denne sag, og at der kun er tale om danske kort. Det er jo mærkeligt, hvis der er tale om en udenlandsk netbutik - som vel må have masser af kunder i alle mulige andre lande?
Det kan ikke være en lille butik der har haft adgang til 115.000 kunders oplysninger? Med mindre de er fisket hos Nets selv - hvilket jeg tror mest på.
Ja, men behøver man her de tre cifre efter første levering af abonnents køb? Hvis cifre slettes i databasen er det sværere at misbruge kortoplysningerne, hvis de bliver hacket. Database behøver heller ikke at være tilgængelig online. Her er man iøvrigt mere sikker på en købers identitet og kortets gyldighed.
Og hvorfor iøvrigt bruge dette argument, når det overvejende er ikke-abonnents køb, som dominerer og hvor kortoplysninger kan misbruges?
Hvis kortholder og kortselskab/bank kunne kræve erstatning af internetfirmaet for ikke at opbevare kortoplysningerne sikkert nok, ville problemerne blive løst øjeblikkeligt. Vi behøver en EU lovgivning som ved flyforsinkelser, hvor der er klare og dyre kompensationer, så det ikke kan betale sig at sløse med sikkerheden.
Han mener tydeligvis ikke "alle krav". For eksempel lever butikkerne sjældent op til mine krav om ikke at sladre til tredjepart om alting.
Så han mener nok PCI-krav. De kan nu være svære nok at overholde:
Are anti-virus programs capable of detecting, removing,
and protecting against all known types of malicious
software (for example, viruses, Trojans, worms,
spyware, adware, and rootkits)?
kort sagt, jo
typisk eksempel, abbonnementstjenester
Efter handelen er afsluttet burde kortoplysninger som en regel kræves slettet. Det er vel ikke det store arbejde at skrive kortoplysninger, hver gang man handler på nettet? Det kan da ikke være lovligt at internetfirmaer opbygger databaser med sådanne følsomme oplysninger.
... ifølge vicedirektøren fra Nets på TV" News: Nets er efter en dybere granskning nået frem til, at svindlen/lækket har stået på i et par år.....
Det er godt nok lang tid, uden at nogen har opdaget det....For mig at se uforeneligt med, at den pågældende (NETS?)-butik har tilstrækkelige sikkerhedsrutiner.
Mht. listen så fremgår det i dag fra NETS, at der er tale om en enkelt butik:"...og alt peger nu på, at kilden til dette er en udenlandsk internetforretning, og at en større mængde kortoplysninger er havnet i forkerte hænder."
At dømme efter interviewet med vicedirektøren fra Nets på TV2 News, så er der vist i hvert fald noget, der er gået galt på det punkt. For i følge NETS er der tale om, at lækket går længere tilbage end først antaget.En log på alt, vil vise tegn på misbrug. Og vil kunne fange de 3.
Det kræver at man læser dem, og forstår dem. Og at en betroet insider ikke kan slette dem, samt at logen bliver gemt i langt tid.
Det, må vi da håbe, er forklaringen - og ikke, at denne (NETS?)-butik stadig er hullet som en si.
Det er rigtigt lang tid siden, at problemet blev konstateret. Alligevel er det først nu, at Nets sender aben videre til pengeinstitutterne, som så selv skal reagere efter egen vurdering.
Rettidig omhu, hmmm...
Ideelt set patcher netbutikkerne til tiden, så eventuelle huller ikke kan misbruges. Er forretningsgangen ikke i orden, opdager den revisor det, som årligt skal afgive en særlig erklæring om sikkerheden. Og mangler erklæringen fra revisor, reagerer Nets herpå.
Der er ikke noget fremme i medierne om, hvor i denne "kæde" der er sket svigt. Det kunne være relevant at få belyst, om der er en "systemisk" fejl.
Her er i øvrigt en (ikke opdateret) oversigt over netstederne:https://www.version2.dk/artikel/29-danske-domaener-paa-aktuel-liste-hackede-online-butikker-990626
Kravene er PCI - som er standarden iværksat af VISA og Master card for nogle år siden, netop fordi det skete for tit.
Min holdning til PCI er at den indeholder rigtig mange gode krav, som hvis man tager et skridt tilbage og tænker over hvorfor NETOP det krav er med, kan give en fordele i sikkerheden.
Det er eksempelvis at der ikke må være direkte forbindelser fra der hvor man opbevarer kortdata og ud til internet. Læs mere på https://www.pcisecuritystandards.org/
Til gengæld er det som mange andre ting, hvis man KUN går efter at lave checkmark sikkerhed "AV installeret, ja" og installerer ClamAV mail scanner på en webserver, så er det ikke meget værd.
Sådan overordnet set har der, formentlig grundet PCI, været flere sager i de sidste par år hvor det har været retail led, fysiske shops med dårlig sikkerhed.
full-disclosure, jeg har lavet PCI audits tidligere, og hjælper indimellem kunder med at gøre klar til PCI audit. Plus jeg arbejder meget tæt sammen med FortConsult, som blandt andet lever af at lave PCI audit.
jo, eller både og. En log på alt, vil vise tegn på misbrug. Og vil kunne fange de 3.Man kan ikke beskytte sig mod at en betroet insider lænser data.
Man kan ikke beskytte sig mod målrettet malware (men kan måske lave noget andet).
Der er ingen garantier mod kodefejl
Det kræver at man læser dem, og forstår dem. Og at en betroet insider ikke kan slette dem, samt at logen bliver gemt i langt tid.
"Det er også et krav for at få kørekort at du ikke kører din bil ind i andre biler. Men det sker alligevel, også af folk som har kørekort."
Ja men du kan bliver stillet til regnskab, hvis du har lavet fatale fejl. Som at køre overfor rødt, beruset, eller bare ikke har set dig for.
Kunne en "samkørsel" ikke finde synderen, hvis der er 20-30 bruger som har fået lukket kortet. En samkørsel af dem, burde give synderen.
Så kan man jo offentliggøre dette som svaret, også må Net korrigere hvis det ikke er dem.
Der ud over, kan man måske sige at net beskytter et firma, som måske er skyldig i så meget slendrian, at det kan være ansvar pådragende, i forhold til en erstatning til kortholder og kortudbyder ?
Net påstår jo at man skal have en form for antivirus samt opdateret sin pc med sidste nye sikkerheds patch, da de ellers mener at man selv kan være ansvarligt for misbrug af net. Det må vel også glæde i den aftale, der er indgået med erhverv som bruger. Er de så samtidigt sikker på at der er styr på sikkerheden nu. Ved at beskytte, den ikke forurettet, men måske den skyldige. Så kan de jo være skyld i at de skyldige ikke bliver fanget, og alle huller ikke bliver lukket. Men må formode at net HAR politianmeldt sagen, hvis ikke, så er der jo ingen skyldige, eller er det som man kan formode, Net selv som er hacket, igen. ?
Mange spørgsmål ingen svar, det er måske også et svar. Lidt ligesom Danske Folkepartis sag. Så længe alt ikke kommer offentligt frem, så bliver det meget svært at genoprette en tillid. -> Man må formode at der skjules noget tæt på, eller i toppen, hvis man ikke tør lægge fakta frem.
Man kan sagtens leve op til alle krav og blive kompromiteret. PCI regler er regler for reglernes skyld. Man kan ikke beskytte sig mod at en betroet insider lænser data. Man kan ikke beskytte sig mod målrettet malware (men kan måske lave noget andet). Der er ingen garantier mod kodefejl ...
Der er mange grunde til at man kan være PCI auditeret i går og kompromiteret inden de er ude af døren.
Kan man ikke f.eks. have kompromitteret javascript via CDN på sin webshop og stadig leve op til alle krav?
Hvis f.eks kravene er af typen "kører antivirus dagligt" ?
Hvordan kan en webhop leve op til alle krav, og så alligevel blive kompromitteret?
Det er også et krav for at få kørekort at du ikke kører din bil ind i andre biler. Men det sker alligevel, også af folk som har kørekort.
Du kan ikke styre virkeligheden 100% lige meget hvor mange regler du laver for den.
Kan man ikke f.eks. have kompromitteret javascript via CDN på sin webshop og stadig leve op til alle krav?
Og dertil kan tilføjes, at vicedirektøren for NETS selv kom til at sige noget i retning af, at man ikke vil hænge butikken ud, fordi "butikken ikke har gjort noget forkert, bortset fra måske ikke at have opdaget hullet noget før". Det har åbenbart stået på i længere tid end først antaget (hvordan kan man fejlvurdere det?).
Hmm......Tyder det ikke på manglende sikkerhedsprocedurer, at man i lang tid ikke opdager den slags? Kunne det ikke begrunde, at man hænger firmaet ud?
Hvordan kan en webhop leve op til alle krav, og så alligevel blive kompromitteret? Er et af kravene ikke, at betalingsoplysninger ikke må kunne blive kompromitteret? Ellers skulle de da få det indført.»Det er vigtigt at påpege, at kompromitteringsstedet kan være en normal webshop, der lever op til alle krav, men hvor hackere alligevel har haft succes med at få adgang til kortinformationer fra deres betalingsløsning,« skriver Nets på selskabets web.