Svindelsag vokser: 100.000 danskere kan få spærret deres kreditkort

26. oktober 2016 kl. 09:1565
Nets mistænker, at tusindvis af danskere kan få deres kreditkort misbrugt inden for den nærmeste fremtid. Derfor lyder anbefalingen, at kortene spærres, bl.a. for at undgå kæmpetab.
Artiklen er ældre end 30 dage
Manglende links i teksten kan sandsynligvis findes i bunden af artiklen.

En international misbrugssag, hvor kortoplysninger fra danske forbrugere er havnet i hænderne på svindlere, vokser sig nu større.

Nu går Nets ud og anbefaler bankerne at spærre yderligere 100.000 betalingskort, som er under mistanke for at kunne blive misbrugt. Det oplyser presserådgiver Ulrik Marschall til Finans.

»Kortene er endnu ikke blevet forsøgt misbrugt, men vi mistænker, at de kan blive det inden for den nærmeste fremtid. Derfor anbefaler vi nu, at kortene bliver spærret, både for at spare banker og butikker for et muligt kæmpetab og for at forhindre kortholdere i at få deres kort misbrugt,« siger Ulrik Marchall til udgivelsen.

Version2 kunne i slutningen af september fortælle, at 15.000 danske kreditkort var i fare for at blive misbrugt. Nets havde opdaget flere forsøg på misbrug, der kunne føres tilbage til et tyveri af kreditkortdata fra en udenlandsk internetforretning. Nets ville dog ikke oplyse hvilken forretning der var tale om.

Artiklen fortsætter efter annoncen

Nu tyder alt på, at en større mængde kortoplysninger end hidtil oplyst er havnet i de forkerte hænder.

Det er kortselskaberne, som f.eks. Visa og MasterCard, der står for efterforskningen af den mistænkte internetforretning. Nets vil stadig ikke offentliggøre navnet, men siger, at det »åbenbart er en populær hjemmeside,« siden så mange betalingskort er involveret.

»Det er vigtigt at påpege, at kompromitteringsstedet kan være en normal webshop, der lever op til alle krav, men hvor hackere alligevel har haft succes med at få adgang til kortinformationer fra deres betalingsløsning,« skriver Nets på selskabets web.

Derudover er kompromitteringssted og misbrugssted ikke nødvendigvis det samme, tilføjer Nets.

Artiklen fortsætter efter annoncen

»Misbrug af betalingskort finder ofte sted et stykke tid efter, at kortdata er blevet stjålet/phishet, dvs. at det sted, hvor kortdata bliver misbrugt, stort set aldrig er samme sted, som de bliver stjålet.«

Præventiv indsats

Udover de kort, der er blevet forsøgt misbrugt, udskiftes en del kort af præventive årsager.

»Ved præventiv udskiftning af kort, der er under mistanke for at blive misbrugt i nærmeste fremtid, sparer bankerne og butikkerne for et trecifret millionbeløb, som de kan få i tab, når der handles med stjålne kortoplysninger,« skriver Nets på selskabets hjemmeside.

Formålet er ifølge Nets altså at undgå, at flere kortholdere bliver udsat for misbrug.

Det er nu bankernes opgave at beslutte, om de vil følge Nets' råd og spærre de mange tusinde betalingskort. Herefter skal de have fat i de berørte kortejere, som desværre kan opleve, at deres kort pludseligt er spærret.

Nets benytter et fraud prevention system, som analyserer kortbrug og tendenser og vurderer på den baggrund om givne betalinger er reelle eller forsøg på misbrug.

65 kommentarer.  Hop til debatten
Denne artikel er gratis...

...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.

Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.

Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.

Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.

Debatten
Log ind eller opret en bruger for at deltage i debatten.
settingsDebatindstillinger
65
31. oktober 2016 kl. 17:37

N3MID duer ikke! Net sikkerhed skal varertages af borgerne! Aktieselskaber kan ikke sikre bank sikkerhed! Det er borgerne selv der skal drive bankvirksomhed!

64
28. oktober 2016 kl. 09:23

Trojaner spreder via styresystemer.

63
28. oktober 2016 kl. 08:49

Kortdataen opsnappes på shops via zero day exploits ? Hvordan kommer botnetværk ind i billedet?

62
28. oktober 2016 kl. 07:25

Det kan ikke være en lille butik der har haft adgang til 115.000 kunders oplysninger? Med mindre de er fisket hos Nets selv - hvilket jeg tror mest på.

Det kan være nogen som Klarna, en Svensk betalingsløsning. De aggregerer alle oplysninger "på tværs" af webbutikker så kunden ikke behøver at slide på fingrene henne på den næste webbutik.

Små webshops bruger ofte den slags betalingssystemer fordi de kommer indbagt i deres hosting (man kan leje en komplet webshop-løsning så man ikke behøver at skrive een linje kode, det er i øvrigt nok også det bedste).

61
28. oktober 2016 kl. 06:59

Læs nu hvad jeg har skrevet?

PayPal Amazon eller lignende er IKKE blevet hacket.

De her kort kommer i bund og grund fra zerodays exploits og bliver logget i enorme botnets

60
27. oktober 2016 kl. 23:42

for eksempel paypal uden dog at sige der er dem.

Tjae, jeg har vist endnu ikke fået spærret nogle af de kreditkort jeg har registeret der ... Dvs jeg har ikke fået spærret nogle kort endnu i denne omgang, men det er vel begrænset hvor mange online butikker der har 100.000 danske kunder ...

59
27. oktober 2016 kl. 20:38

Ser det ud til at være en international betalingskanal, for eksempel paypal uden dog at sige der er dem.

57
27. oktober 2016 kl. 11:33

Ja, det er surt! Heldigvis dækker banken tabet.

Fint og fornemt at bankerne "betaler" = VÅS, bankerne betaler IKKE, det er os kunder den udgift lægges over på, når indtægter og udgifter opgøres, det er alle kunder der betaler, og det er også tilfældet med udgifterne til alle de alternativt begavede individer der blindt køber ind på alverdens svindelsider, som lever af at voldsomt mange forestiller sig at dyre mærkevare kan skaffes til latterligt små beløb, og som så opdager at varen ikke engang dukker op, eller bestemt IKKE lever op til std, eller ser en "reklame" hvor de kan VINDE en Iphone, hvis de bare lige giver siden ALLE deres pers data/kort opl. hvorefter de bagefter, hvis de gider, kikker på deres bank-udskrift og opdager at de igennem mdr er blevet lænset for hundredevis af kr ! SORRY ! Efter min bedste overbevisning, er der hos individet alt for meget bekvemmelighed/dovenskab til, altså alt skal være mega-let, og vi skal ikke behøve at bruge HJERNEN ! Det er USA om igen, hvis jeg kan gøre noget galt, og gør det, så er det producentens skyld at jeg kommer i ulykke, og producenten smides så i retten ! Tilsyneladende er USA og dets "ideer" er hvad alle vil have, masser af overvågning splid ødelæggelse mord ulighed våben, og meget andet "vidunderligt"

56
27. oktober 2016 kl. 11:11

Pædofile har ikke helt samme tekniske viden. De arbejder "sammen" med andre mennesker. Der er flere faktorer der spiller ind, og flere efterforskningsmuligheder. Før var der mange af disse butikker, men nu er der kun 2 store spillere på markedet, som har været der siden 2005.

55
27. oktober 2016 kl. 11:08

Når man kan stoppe fx børnepornosider, må det kunne lade sig gøre at stoppe de sider, der sælger hælervarer og straffe dem der står bag. Et spørgsmål om prioritering?

54
27. oktober 2016 kl. 10:59

Det gør de også, men der skiftes domæne, og derudover er de samme butikker på tornetværket. De kan ikke stoppes.

50
27. oktober 2016 kl. 10:13

Ja, det er surt! Heldigvis dækker banken tabet. Banken sagde med det samme at det lignede noget de havde set før med transaktionen fra nikestore.com og en af mine venners venner har også fået stjålet ca. 10.000 kr for nylig.

49
27. oktober 2016 kl. 10:12
  • Nets har i de seneste uger konstateret et stigende misbrug af dansk udstedte betalingskort i både danske og udenlandske internetforretninger, og alt peger nu på, at kilden til dette er en udenlandsk internetforretning, og at en større mængde kortoplysninger er havnet i forkerte hænder.

De er lidt modsigende. Og taler mellem linierne. Jeg ved ikke hvorfor.

47
27. oktober 2016 kl. 09:39

Nets har meldt ud at en del af disse kort er misbrugt, og at flere er i fare for det samme. Hvis du googler forskellige sites nyheder. Journalister er bare ikke ret gode til at forstå denne form for kriminalitet, og skriver meget desperat og hurtigt.

46
27. oktober 2016 kl. 09:08

Frederik Jensen:

Surt!

Hvis dit kort er omfattet af den nuværende sag, så holder påstanden om, at der ikke er foregået misbrug af kortene, jo i hvert fald ikke vand.

45
27. oktober 2016 kl. 08:55

Jeg har netop fået misbrugt mit VISA-kort på hjemmesiden www.nikestore.com. 3 transaktioner på i alt ca. 9.500 kr - men jeg har aldrig handlet på denne hjemmeside, så det er ikke Nike, der er blevet hacket, men blot brugt til at suge penge ud af kortene. Jeg spærrede selv mit kort, da den første transaktion dukkede op sidste torsdag.

43
27. oktober 2016 kl. 08:30

Tak for uddybende svar, Uwouldnt Know (foruroligende navn, i øvrigt). Din forklaring giver rigtigt god mening ift. de temmeligt "murky" forklaringer, som NETS kommer med - hvor ens "mavefornemmelse" siger en, at der er noget helt galt.

Vil det sige, at man kan tjekke, om ens eget kort ligger på siden?

Er det det der med chargebacks, som er grunden til, at NETS så ikke for længst har grebet ind overfor denne side og de lækkede kort?

Og hvis det er så enkelt at finde disse kort - hvorfor i alverden er der så ikke nogen andre end NETS, der har fulgt op på sagen? Hvor i alverden er vore myndigheder, hvis din forklaring holder vand?

GRRRRRRRR!!!!!

42
27. oktober 2016 kl. 08:14

På disse sider kan nets se BIN+navn+efternavn+udløbsdato+land+postnr+by

Dvs de kan se bankens afdeling (BIN), navn på kunden osv.

Disse informationer er tilgængelige inden køb af kortet. Det ligner lidt sådanne her:

457103********* - 09/10 - Lars - Larsen - 2000 - Copenhagen

Derfor kan banken spærre kortene, da kortholderene er nemme at identificere.

Angående grunden til de ikke siger mere, kan evt være at undgå reklame som du siger. Udover det har jeg i en retssag gjort en NETS sikkerhedsekspert opmærksom på dette meget grundigt, men han svarede de havde undersøgt dette, og at de kort jeg snakkede om var "falske" og ikke virkede. De har en millionomsætning i chargebacks som sagt.

41
27. oktober 2016 kl. 08:02

Uwouldnt Know:

Interessant udlægning, der umiddelbart giver mening - men så er det, der er sluppet ud fra NETS, godt nok langt fra den virkeliges historie.

Hvis din udlægning er rigtigt - hvorfor holder NETS så hånden over butikken? For ikke at reklamere unødigt for dem, måske? Hvordan ved man i så fald, hvilke kort, der er omfattet? Nets har vel ikke adgang til disse kort?

Som sagt - der er noget besnærende over din udlægning - men jeg kan slet ikke gennemskue, om den holder vand. Glæder mig til andre bud på, om det er sådan, det hænger sammen.

40
27. oktober 2016 kl. 07:36

og

Hvorfor er det medierne selv tolker? NETS snakker om en butik som har sat disse kort til salg. En lyssky butik. Der er 2 spillere på markedet. Den ene har lige fået lukket sine 15k kort. Den anden har ca 97.5k. Måske nogle af de stupide journalister skulle starte med at stille de rigtige spørgsmål. Nets tjener penge på chargebacks. Millioner hver måned. Men det har taget overhånd nu.

Alle disse kort stammer fra forskellige sider. Hackere sælger sine databaser til denne 'internetside', hvorefter ejeren af butikken tager provision for at sælge kortet der. Der sælges ca. 6000kort om dagen på disse sider. Hvert kort koster 7-12$ hvoraf de danske er dyrest, fordi der er størst efterspørgsel på dem.

Stop nu lige jer selv .

39
27. oktober 2016 kl. 00:18

Jeg håber at der denne gang bliver sendt besked til de berørte så man ikke står i udlandet uden fungerende kreditkort.

Jeg vil faktisk sige at der er noget helt galt med systemet, hvis man spærrer det fysiske kort, når det kun er nethandel der er kompromitteret.

NETS bør blot spærre for internethandlen på kortet, og lade det fysiske kort køre videre med en normal udskiftning. Flere banker laver faktisk en løsning der ligner: https://www.version2.dk/artikel/banker-naegter-at-spaerre-kort-risikerer-at-blive-misbrugt-1007641

Kortene burde også tvinges over på Verified by Visa og 3D secure.

Hele kreditkort systemet mangler en mulighed for at spærre for nethandel, og en kode for det, så kunden kan få det at vide når kortet er spærret. Alt hvad vi som webshop kan se er stortset at kortet ikke er gyldigt, så vi kan kun henvise kunden til sin bank. Det ville være rart om vi kunne fortælle kunden at kortet er spærret.

Og så synes jeg også at ideen om virtuelle kreditkort er god. En ting er de dankort man får, det bør kun have en chip. Fluesmækkeren er jo afskaffet for længst. Og så kan man printe koden til det virtuelle kort fra netbanken - og ja man kan sagtens tage en kopi af dankortet til brug for internethandel.

38
27. oktober 2016 kl. 00:06

Efter handelen er afsluttet burde kortoplysninger som en regel kræves slettet. Det er vel ikke det store arbejde at skrive kortoplysninger, hver gang man handler på nettet? Det kan da ikke være lovligt at internetfirmaer opbygger databaser med sådanne følsomme oplysninger.

Vi bruger det til optankning af kundernes taletid. MEN vi har ikke oplysningerne, de ligger hos Epay eller måske længere inde i systemet. Alt hvad vi har et et handle, som giver ret til at hæve penge til os og kun os.

Så er der imidlertid visse udenlandske websites, som gemmer hele baduljen, den slags undgår jeg altid, med pay pal som en undtagelse.

37
26. oktober 2016 kl. 18:29

Udfra debatten synes det, at Nets måske ser syner. Jeg var selv for nogle uger siden ude for at min kort var lukket pga. nogle for Nets mistænkelige hævninger. Jeg blev ringet op af banken, som åbnede kortet igen, da jeg havde kortet på mig og kunne forklare transaktionerne, som var helt normale for mig, selv det ikke sker hver dag.

36
26. oktober 2016 kl. 18:04

Indtil videre er det vist mest Danmark (og nu Norge):http://www.bankingtech.com/623102/nets-warns-of-massive-credit-card-hack-in-denmark/Men VISA og Mastercard vil nu også "investigate" ifølge artiklen.

Men er der nogen ekstern, uafhængig kontrol med NETS, når de går ud med sådanne meddelelser? Eller kan de (et helt tænkt tilfælde) slippe godt fra at påstå, at der er tale om en udenlandsk netbutik, hvis det i virkeligheden er et hack i Nets?

Burde det ikke være obligatorisk, at der kommer eksterne, offentlige øjne på den slags sager? Jeg kan ikke forstå, at det kan være en intern NETS-sag at forholde sig til det.

35
26. oktober 2016 kl. 17:48

Er andre end Danmark & Norge (begge NETS) ramt? synes ikke lige jeg har kunnet finde noget.....

33
26. oktober 2016 kl. 15:17

Det sker når man tager sikkerhedsstandarder ad-verbum og ikke fortolker den til den virkelighed, som systemerne befinder sig i. At være blindt konform med sikkerhedsstandarder har ingen som helst påvirkning på, om man er sikker.

31
26. oktober 2016 kl. 15:08

Jeg tror snart tiden er moden til virtuelle debit og credit kort.

Et virtuelt debit kort oprettet til hver abbonnementstjeneste og med en autmatisk overførsel svarende til forventet forbrug og der er ikke meget at misbruge hvis det blev kompromitteret.

Dernæst en håndfuld virtuelle debit/credit kort der bare kan kasseres efterhånden som de mistænkes for at blive kompromitteret.

De fysiske credit/debit kort kan så gemmes til transaktioner i den virkelige verden da de jo ikke så nemt lader sig virtualisere - men det ville nu ikke være svært at konstuere en løsning hvor kort nummeret kunne præsenteres i form af en QR kode på en skærm (læs telefon) . Så ville man også lynhurtigt kunne få et nyt betalingsmiddel.

Jeg er ved at kigge lidt på Neteller og deres Prepaid MasterCard men har endnu ikke de store erfaringer ...

30
26. oktober 2016 kl. 14:41

Vil det sige at Nets har adgang til mine kasseboner så de kan se hvad jeg har købt?

Ikke direkte men inddirekte findes alligevel en "Nøgle", som de banditter[Nets] sælger.. Problemet med Nets er det velkendte.. et firma, der helt normalt skal tjene penge på monopolet, og de "opfinde" derfor konstant helt nye ydelser, som de kan sælge..

Nets købes for 17 mia. i 2014, samt Nets bliver nu igen i 2016 afhændet til en endnu større sum (30-40 mia.) via børsnotering[1], så der skal sør'm mange penge i kassen hver eneste dag, til at forrente beløbet samt give et afkast til ejerne.

Meny m.fl. har "fordelskort" og Brugsen har også koblet noget lignende op i deres butikker her i år samt Statoil m.fl. har haft det i mange år. Moralen ved brug af dit plastickort er: "we spy on you" ;)

--

»Nej, det eneste, Nets får at vide, er det, vi hele tiden har fået at vide, når kunden betaler med sit kort. Nemlig det beløb, der står på bundlinjen på bonen, og som skal trækkes på kontoen«, siger Majken Thanning, der er product manager i Nets, og fortsætter: men alligevel, sniger Nets sig ind via en bagdør ;)

»Nets får de sædvanlige oplysninger, men d e s u d e n registreres en krypteret nøgle, som peger på [Butikken/Firmaet] fordelsprogram, og her hentes kundens køb og rabatvalg frem, så rabatten kan trækkes fra. Men de oplysninger sendes ikke til Nets.«

[1] http://finanswatch.dk/Finansnyt/kapitalforvaltning/article8966075.ece

29
26. oktober 2016 kl. 14:37

Man gemmer i forvejen ikke CVV verifikationskoden på bagsiden.

Det er en evig kamp for butikkerne at få omsætning, det skal være ekstremt nemt at købe, mod god sikkerhed.

Jeg købte idag en vare på Amazon.co.uk hvor jeg ikke engang tastede den 3-cifrede .... De vil gerne sælge og har vurderet de får nok kunder på den måde, til at opveje svindel.

Det man som forretning, og kommune m.fl., bør overveje er - hvad opsamler og gemmer jeg, kunne det være at jeg kunne nøjes med færre data

Ps der er også browsere som Chrome og Safari der gerne gemmer kortinformationer ... Det er heller ikke noget jeg vil anbefale.

28
26. oktober 2016 kl. 14:25

Der sendes nemlig ikke personlige oplysninger ifm selve betalingen. Det kan være private oplysninger skal gives af andre grunde men selve betalingen kræver det ikke. Prøv f.eks. en donation til Wikileaks med bitcoin på https://shop.wikileaks.org/donate

25
26. oktober 2016 kl. 13:40

......hvordan historien hænger sammen?

NETS forklarer, at:"- Vi overvåger alle de transaktioner, der går fra danskudstedte kort, i realtid, for at se om der er mønstre, der tyder på misbrug. Så griber vi ind og stopper misbruget, mens det sker, siger han. I overvågningen leder Nets efter en pludselig ændring i adfærd fra betalingskortet. Det kan både være mange transaktioner kort efter hinanden. Det kan også være indkøb af ting, der ikke passer på kortbrugerens normale adfærd. Herefter sammenholder Nets de forskellige kort med mistænkelig adfærd for at undersøge, om kortene kan spores tilbage til en bestemt internetforretning."https://www.information.dk/telegram/2016/10/mistaenkeligt-forbrug-foerer-massespaerring-kort

Samtidig siger bankerne:"»Vi er allerede i gang med at tage kontakt til de kunder, som er berørt af sagen. Vi har ingen indikationer af, at der skulle være foretaget misbrug. Derfor spærrer vi ikke kortene, men udskifter dem for at forhindre fremadrettet misbrug,« siger pressechef Kenni Leth."http://jyllands-posten.dk/#ia9103104;finans

Og NETS selv siger:"...»Kortene er endnu ikke blevet forsøgt misbrugt, "(artiklen ovenfor)

Kan nogen forklare mig, hvorledes disse oplysninger kan forenes? Er de ikke i direkte modstrid med hinanden, når man på den ene side hævder via dybtgående analyser at have konstateret, at der er "mistænkelige mønstre", på den anden side samtidig siger, at "kortene er endnu ikke forsøgt misbrugt"?

Kan nogen hjælpe mig med at forstå det på anden måde, end at "nogen" ikke taler sandt? Hvor er det, jeg går galt i byen?

24
26. oktober 2016 kl. 12:47

På udtalelserne fra NETS lyder det jo nærmest som om, det kun er NETS, der efterforsker denne sag, og at der kun er tale om danske kort. Det er jo mærkeligt, hvis der er tale om en udenlandsk netbutik - som vel må have masser af kunder i alle mulige andre lande?

23
26. oktober 2016 kl. 12:36

Det kan ikke være en lille butik der har haft adgang til 115.000 kunders oplysninger? Med mindre de er fisket hos Nets selv - hvilket jeg tror mest på.

22
26. oktober 2016 kl. 12:30

Ja, men behøver man her de tre cifre efter første levering af abonnents køb? Hvis cifre slettes i databasen er det sværere at misbruge kortoplysningerne, hvis de bliver hacket. Database behøver heller ikke at være tilgængelig online. Her er man iøvrigt mere sikker på en købers identitet og kortets gyldighed.

Og hvorfor iøvrigt bruge dette argument, når det overvejende er ikke-abonnents køb, som dominerer og hvor kortoplysninger kan misbruges?

Hvis kortholder og kortselskab/bank kunne kræve erstatning af internetfirmaet for ikke at opbevare kortoplysningerne sikkert nok, ville problemerne blive løst øjeblikkeligt. Vi behøver en EU lovgivning som ved flyforsinkelser, hvor der er klare og dyre kompensationer, så det ikke kan betale sig at sløse med sikkerheden.

21
26. oktober 2016 kl. 12:17

Han mener tydeligvis ikke "alle krav". For eksempel lever butikkerne sjældent op til mine krav om ikke at sladre til tredjepart om alting.

Så han mener nok PCI-krav. De kan nu være svære nok at overholde:

Are anti-virus programs capable of detecting, removing,
and protecting against all known types of malicious
software (for example, viruses, Trojans, worms,
spyware, adware, and rootkits)?

20
26. oktober 2016 kl. 11:54

kort sagt, jo

typisk eksempel, abbonnementstjenester

19
26. oktober 2016 kl. 11:51

Efter handelen er afsluttet burde kortoplysninger som en regel kræves slettet. Det er vel ikke det store arbejde at skrive kortoplysninger, hver gang man handler på nettet? Det kan da ikke være lovligt at internetfirmaer opbygger databaser med sådanne følsomme oplysninger.

18
26. oktober 2016 kl. 11:35

... ifølge vicedirektøren fra Nets på TV" News: Nets er efter en dybere granskning nået frem til, at svindlen/lækket har stået på i et par år.....

Det er godt nok lang tid, uden at nogen har opdaget det....For mig at se uforeneligt med, at den pågældende (NETS?)-butik har tilstrækkelige sikkerhedsrutiner.

17
26. oktober 2016 kl. 11:31

Mht. listen så fremgår det i dag fra NETS, at der er tale om en enkelt butik:"...og alt peger nu på, at kilden til dette er en udenlandsk internetforretning, og at en større mængde kortoplysninger er havnet i forkerte hænder."

16
26. oktober 2016 kl. 11:26

En log på alt, vil vise tegn på misbrug. Og vil kunne fange de 3.
Det kræver at man læser dem, og forstår dem. Og at en betroet insider ikke kan slette dem, samt at logen bliver gemt i langt tid.

At dømme efter interviewet med vicedirektøren fra Nets på TV2 News, så er der vist i hvert fald noget, der er gået galt på det punkt. For i følge NETS er der tale om, at lækket går længere tilbage end først antaget.

Det, må vi da håbe, er forklaringen - og ikke, at denne (NETS?)-butik stadig er hullet som en si.

15
26. oktober 2016 kl. 11:21

Det er rigtigt lang tid siden, at problemet blev konstateret. Alligevel er det først nu, at Nets sender aben videre til pengeinstitutterne, som så selv skal reagere efter egen vurdering.

Rettidig omhu, hmmm...

Ideelt set patcher netbutikkerne til tiden, så eventuelle huller ikke kan misbruges. Er forretningsgangen ikke i orden, opdager den revisor det, som årligt skal afgive en særlig erklæring om sikkerheden. Og mangler erklæringen fra revisor, reagerer Nets herpå.

Der er ikke noget fremme i medierne om, hvor i denne "kæde" der er sket svigt. Det kunne være relevant at få belyst, om der er en "systemisk" fejl.

Her er i øvrigt en (ikke opdateret) oversigt over netstederne:https://www.version2.dk/artikel/29-danske-domaener-paa-aktuel-liste-hackede-online-butikker-990626

14
26. oktober 2016 kl. 11:21

Kravene er PCI - som er standarden iværksat af VISA og Master card for nogle år siden, netop fordi det skete for tit.

Min holdning til PCI er at den indeholder rigtig mange gode krav, som hvis man tager et skridt tilbage og tænker over hvorfor NETOP det krav er med, kan give en fordele i sikkerheden.

Det er eksempelvis at der ikke må være direkte forbindelser fra der hvor man opbevarer kortdata og ud til internet. Læs mere på https://www.pcisecuritystandards.org/

Til gengæld er det som mange andre ting, hvis man KUN går efter at lave checkmark sikkerhed "AV installeret, ja" og installerer ClamAV mail scanner på en webserver, så er det ikke meget værd.

Sådan overordnet set har der, formentlig grundet PCI, været flere sager i de sidste par år hvor det har været retail led, fysiske shops med dårlig sikkerhed.

full-disclosure, jeg har lavet PCI audits tidligere, og hjælper indimellem kunder med at gøre klar til PCI audit. Plus jeg arbejder meget tæt sammen med FortConsult, som blandt andet lever af at lave PCI audit.

12
26. oktober 2016 kl. 11:14

"Det er også et krav for at få kørekort at du ikke kører din bil ind i andre biler. Men det sker alligevel, også af folk som har kørekort."

Ja men du kan bliver stillet til regnskab, hvis du har lavet fatale fejl. Som at køre overfor rødt, beruset, eller bare ikke har set dig for.


Kunne en "samkørsel" ikke finde synderen, hvis der er 20-30 bruger som har fået lukket kortet. En samkørsel af dem, burde give synderen.
Så kan man jo offentliggøre dette som svaret, også må Net korrigere hvis det ikke er dem.

Der ud over, kan man måske sige at net beskytter et firma, som måske er skyldig i så meget slendrian, at det kan være ansvar pådragende, i forhold til en erstatning til kortholder og kortudbyder ?

Net påstår jo at man skal have en form for antivirus samt opdateret sin pc med sidste nye sikkerheds patch, da de ellers mener at man selv kan være ansvarligt for misbrug af net. Det må vel også glæde i den aftale, der er indgået med erhverv som bruger. Er de så samtidigt sikker på at der er styr på sikkerheden nu. Ved at beskytte, den ikke forurettet, men måske den skyldige. Så kan de jo være skyld i at de skyldige ikke bliver fanget, og alle huller ikke bliver lukket. Men må formode at net HAR politianmeldt sagen, hvis ikke, så er der jo ingen skyldige, eller er det som man kan formode, Net selv som er hacket, igen. ?

Mange spørgsmål ingen svar, det er måske også et svar. Lidt ligesom Danske Folkepartis sag. Så længe alt ikke kommer offentligt frem, så bliver det meget svært at genoprette en tillid. -> Man må formode at der skjules noget tæt på, eller i toppen, hvis man ikke tør lægge fakta frem.

11
26. oktober 2016 kl. 11:13

Man kan sagtens leve op til alle krav og blive kompromiteret. PCI regler er regler for reglernes skyld. Man kan ikke beskytte sig mod at en betroet insider lænser data. Man kan ikke beskytte sig mod målrettet malware (men kan måske lave noget andet). Der er ingen garantier mod kodefejl ...

Der er mange grunde til at man kan være PCI auditeret i går og kompromiteret inden de er ude af døren.

8
26. oktober 2016 kl. 10:49

Kan man ikke f.eks. have kompromitteret javascript via CDN på sin webshop og stadig leve op til alle krav?

7
26. oktober 2016 kl. 10:41

Og dertil kan tilføjes, at vicedirektøren for NETS selv kom til at sige noget i retning af, at man ikke vil hænge butikken ud, fordi "butikken ikke har gjort noget forkert, bortset fra måske ikke at have opdaget hullet noget før". Det har åbenbart stået på i længere tid end først antaget (hvordan kan man fejlvurdere det?).

Hmm......Tyder det ikke på manglende sikkerhedsprocedurer, at man i lang tid ikke opdager den slags? Kunne det ikke begrunde, at man hænger firmaet ud?

6
26. oktober 2016 kl. 10:29

»Det er vigtigt at påpege, at kompromitteringsstedet kan være en normal webshop, der lever op til alle krav, men hvor hackere alligevel har haft succes med at få adgang til kortinformationer fra deres betalingsløsning,« skriver Nets på selskabets web.

Hvordan kan en webhop leve op til alle krav, og så alligevel blive kompromitteret? Er et af kravene ikke, at betalingsoplysninger ikke må kunne blive kompromitteret? Ellers skulle de da få det indført.