NLBjeva svninjarija

Kranjčan Robert Škulj je storitev elektronskega poslovanja Klik vzel pod drobnogled pred dobrim letom dni. Po neštetih urah za računalnikom je našel njeno šibko točko. Odkril naj bi namreč možnost, da v sistem vdremo s pomočjo tako imenovanega trojanskega konja.

"Po najbolj črnem scenariju lahko nekdo z uporabo te pomanjkljivosti iz tujega računa prenese ves denar na svoj račun," meni Škulj in poudarja, da sam ni nikoli vdrl v bankin sistem. Na podlagi odkritega je izdelal zaščitni program ter z njim in z opisom delovanja virusa potrkal na vrata Nove ljubljanske banke.

"Dogovarjali smo se o prodaji dveh izdelkov za ceno 500.000 evrov. To v primerjavi s 13 do 14 milijardami, kolikor so jih za informacijsko tehnologijo v nekaj letih dali v banki za njih ne bi smel biti bistven strošek."

Pred dnevi pa naj bi banka po več mesecih dogovarjanj kupčijo dokončno odklonila, Škulja pa je, potem ko je zapuščal banko, aretirala policija in mu odvzela program. Škulj meni, da obstaja možnost, da je NLB na tak način prišla do programa, ki ga je sam razvijal leto in pol.

"Pred časom je stopil v kontakt z NLB gospod Škulj, ki nam je ponudil program Trojanskega konja v odkup. Ker smo ocenili, da bi ta program utegnil biti zlonameren, smo o tem obvestili organe pregona," je povedal vodja informacijske zaščite pri NLB Mladen Trčelj, ki je sicer zatrdil, da je njihova storitev KLIK varna.

Policijska preiskava naj bi bila končana v naslednjih dneh, medtem pa je Škulj proti NLB že napovedal tožbo v višini 80 milijonov tolarjev.


vir: 24ur.com

oz. jih je izsiljeval po domace povedano

"Dogovarjali smo se o prodaji dveh izdelkov za ceno 500.000 evrov. To v primerjavi s 13 do 14 milijardami, kolikor so jih za informacijsko tehnologijo v nekaj letih dali v banki za njih ne bi smel biti bistven strošek."

500k EU se mi zdi veliko denarja za nekega trojanskega konja. Se strinjam da je to varnostna luknja v njihovem sistemu ampak to mi vseeno deluje kakor izsiljevanje. Sicer pa ce so bili pametni so obvestili razvijalca in je popravil luknjo ter je trojanec neuporaben.

Postavil je nerazumno ceno.

Samo njihovo klicanje policije (če je res bilo neutemeljeno) je pa še hujša napaka.

Naj jih kar iztoži za tistih 80 milijonov.

E, viš, xbite, to je pa smisel današnjega sveta. Poštenje se ne izplača.

tole je blo seveda ironično napisano da ne bo pomote...

Pa sej zakaj bi pa NLB tozil. Oni so poklicali policijo, ki je pac ukrepala znotraj svojih pristojnosti. Ce je NLB dobila program je to potem napaka policije, ker je dala dokazno gradivo 3-osebi?

Kaj pa če je NLB mesece iskala dokaze proti tipu ?

Mogoče so zbrali logfile connectov z njegovega accounta ?
Mogoče so pa enostavno rabili čas, da odvetniki preštudirajo in povedo svoje...

Bomo videli, samo upam, da se bo o tem pojavil članek na višini, kjer bo avtor mogoče razlikoval trojanca od virusa...

ok kaj pa tkole ce prenesemo zadevo na stvari, ki so bolj jasne

Prides v banko in imas v eni roki pistolo v drugi pa varnostni jopic. Nakar reces, da naj ti odkupijo oboje. Pri cemer prav strasljivo mahas z pistolo. Kaj bo banka naredila? Poklicala bo ostrostrelce in te bodo pospravili.

Podobno se bo verjetno izkazalo v tem primeru. Z mojim laicnim znanjem se mi zdi, da ima slovenija zelo ohlapno zakonodajo na tem podrocju in lahko marsikaj spravis pod vdor v rac. sistem.

Sicer pa zakaj je sploh sel na NLB? Saj niso oni naredili programa. Oni so samo kupili zadevo. Gres na zaslon in njim poves da je problem v njihovem produktu in potem z njimi sodelujes. Saj imajo denar. Banka je samo odjemalec.

McHregec: zaslon zivi od takih sistemov. Kar poglej si njihovo stran: www.zaslon.si

Sicer pa zakaj je sploh sel na NLB? Saj niso oni naredili programa. Oni so samo kupili zadevo. Gres na zaslon in njim poves da je problem v njihovem produktu in potem z njimi sodelujes. Saj imajo denar. Banka je samo odjemalec.


Res je. On the more OT note, a je kdo že spravil celo zadevo, da deluje na Linuxu (makar pod WIneom) ?

husler take "varnostne preglede" izvaja tudi Agenda.

tisti skulj je brat od enega mojega bivsega sosolca.

Po moje si banka, kot je NLB, sploh ne bi smela priviščiti bugastega sistema, posebej ne za spletno bančništvo.
Maslo na glavi pa imajo oboji, vprašanje pa je samo, kdo ga ima manj (ali več).
Da bo pa kratko potegnil Škulj, se pa po moje tudi ve. NLB je še vedno bolj ali manj državna banka.

Men ni jasno, zakaj je naslov "NLBjeva svinjarija".

Dokler se zadeva bolj ne razčisti (morda pred sodiščem), bi lahko bil naslov tudi "Škuljeva svinjarija"

ali pa, kar bi bilo bolj primerno, nekaj nevtralnega, kot npr. "bug v Kliku?"

Meni se pa zdi naslov čisto pravi. Bugi v internetnem bančništvu so in bodo vedno, v ZDA letno hekerji izsilijo od bank približno 400 miljonov $$$ (za toliko lahko potrdijo), tako da so mogli uvesti poseben zakon, ki "bolj" ščiti banke pri odkrivanju hekerjev, saj javno banke nočejo razpravljati o tem da nebi izgubile promet.

Napaka Škulja je bila bolj v previsoki ceni saj 500.000€ ni tako malo in se mi zdi, da je bilo NLB-ju neumno plačati zaradi napake drugih in so se počutili izsiljevane zato so ga tudi kazensko ovadili.

Zakaj so toliko čakali? Se vi nebi prepričali o resnici?
Če pa že zahtevaš tako visoko ceno je pa pametno imeti s sabo odvetnika, saj s tem ščitiš sebe in svoj proizvod in se pogajaš z uporabnikom ( NLB ) in proizvajalcem IT ( zaslon ), tako lahko iztržiš veliko več .

Kaj pa se lahko naučiš? Pri nas na lep način ne moreš uspeti, pa čeprav si iznašel "revolucijo", no lahko če znaš prave $ pogreti $.

In ko je ravno vir 24ur.com je zanimiv bil tudi naslednji članek, da slovenija nima prepoznavnega produkta ala NOKIA in KAKO biti razpoznaven? Da lahko uspemo (v teh razmerah) v farmaciji, kemiji in med drugim seveda v informatiki je jasno samo kaj ko zaradi požrešnosti in nevoščljivosti si mečemo sami polena pod noge in možnosti ne odpremo vrata. Ravno to je storila NLB in že zaradi tega bi bilo jo potrebno tožiti. Drugje po svetu so hekerje, pa čeprav so bili "preveč prepričljivi" zaposlili kaj šele, če so hoteli samo dobro.

Kdor se slucajno ni opazil - napaka ni v Kliku, ampak v nezascitenih uporabnikih klika (trojanci), nad cimer pa nihce razen uporabnikov nima nadzora. Tako da napaka je samo pri uporabnikih, ki ne zascitijo svojih racunalnikov z antivirusnimi programi in zadnjimi patchi za programje.

Neki glede tistga, da je mogu sprobat svoj program (trojanc - karkoli že):
Učer je bla v 24 ur njegova izjava, da je bla premeščena na slabše delovno mesto njegova prijateljica, zaposlena v NLB.
Povezava z njim: za testiranje programa je nakazoval denar s svojega na njen račun.
In jaz mu verjamem njegovo poštenje . Skor lih tolk kokr NLB-ju .

ja glede njegove prjatlce...baje da je bla odpuscena ;)
vsaj tko sm jzt slisu od drugje ;)

aha brane dej mi mal razloz to kako nej bi tm zgledal...ker malce poznam zadeve pa me zanima kako misls da pin ne gre prek racunalnika..



lp

Ales

http://www.piara.net

AlienGT, od kje pa tebi ta podatek?

brane: mislim da ti pin koda bolj mal pomaga, ce nimas certifikata tiste osebe. Oboje pa ze precej tezko dobis.

Pa a ni zanimiv da zdej on tozi NLB, posebi zdej ko je priznal da je denar nakazoval iz svojega al prijaljicinega racuna - nekako dvomim da je to legalno

Zdej sem pa mal zmeden. A ti govoris o ActivCardu al o navadnem certifikatu?
Ce se ne motim je pri ActivCardu certifikat shranjen na kartici (do tega posledicno ne mores priti), pri navadnem je pa shranjen nekje v Winsih, ampak je verjetno tudi dosti zasciten (khmm... sem pozabil da govorim o Microsoftu )

Je pa res, da ce dobis pin da si ze na pol poti.

No tuki vam bom pa zdej jzt mal predavu o Activcardu!

Tkole je zadeva Activcard (pa naj bo kljucek, citalc, itd) ima zmoznost branja kartice. Ker je microsoft naredi IE je seveda vse dobr razmislu in tako se da pot certifikata in njega en del prenest iz kartice v register windowsov. Kaj se zgodi? Ko ti zelis prevert npr stanje najprej pogleda IE a ma zapis o certifikatu ki naj bi ga stran zahtevala (pac varnostna vsebina zahteva neke vrste certifikat; pk12,...), vidi da je zapis v registru da neka kartica u nasem primeru od banke vsebuje zapis o doloceni osebi in ta kartica se nahaja na nekem citalcu (podatki citalca spet v registru) in takoj klice citalec ta zacne utripat ker bere kartico da preveri ce si to ti te vprasa se za geslo...potem ob delovanju venomer preverja kartico. Ker je vsa stvar nalozena u winsih IE dela lepo in hitro pri vseh bancnih sistemih. Jaz osebno najraje nalozim folku Netscape, ki je neodvisen od registra winsov ker bere direktno s kartice. Je pa res ce si smotan in ce prckas po netscapu si lohk zbrises s kartice certifikat pa pol mors novo narocit ;)
Je pa malce pocasnejsi kar resis s servicepackom od Activcarda.
ok mal sm zasel s poti te teme...
Je pa tip smotan k se je zapletu z banko...ce jih bo stozu je car sam kukrkol dubu jih je in jih se bo po buc zard tega zihr..

Ales
___________________
http://www.piara.net

Ne morem verjet kaksni debili so tele nlb-jevci. Sej ce bi vsak posteno delal po svoje in vzel sam tist k je njegovo in uposteval navodila pol sploh nebi rabl usernamov pa passwordov.
Problem je v tem, da so oni dolzni zascititi svoj sistem da noben ne more vdret not.
In pol si upajo se pametvat da se da izsledit kam dnar gre, my ess se da . Nekje bi se odprl racun v tujini pol bi pa tip sam dnar dol pobral in zginu. Me prov zanima kako bi ga nasi eksperti najdl.

Glede tega kranjcana k je naredu zascito. Ne vem kaj ga tok kritizirate. Clovek je posten, komot bi pobral ves dnar iz vseh racunov in izginu - haloo. Res je da je kaznivo (prenakazovanje iz racuna na racun) ampak sej ni nic slabga naredu. Hotu je sprobat ali zascita deluje ali ne.
NLB so ful kreteni - tuki se vid balkan. Namseto da bi ga zaposlil, ga grejo aretirat in mu vzet program.

Prvic ne vem ce se sploh zavedajo kaksno slabo reklamo so si nardil (ocitno se da v njihov sistem vdret) - me prav zanima kok jih bo mel zdej pomisleke v klik. Mogl bi mu placat, ga zaposlit, pa se neki dat za zraven da bo tih.
Poleg tega so naredl hudo napako ko so mu vzel program. To je krsenje pravic, ze na podlagi tega jih lahko stozi, saj so oni na tak nacin zastonj prisli do intelektualne lastnine.

Predlagam, da si preberete _VEČ_ člankov v časopisju.

Samo mene nekaj zanima. Tale njegov 'popravek' naj bi, kolikor sem razumel, namestila banka na svoj strežnik in ne uporabnik na svoj računalnik. Torej, če je problem pri uporabniku in se uporabnikov računalnik obnaša popolnoma tako, kot se normalno, ko uporabnik sam npr. nakazuje denar, kako lahko to 'luknjo' rešiš tako, da na strežniku banke nekaj zakrpaš? Po moje to ni mogoče.
Namestiš kaj na računalnik uporabnika? Kdo ti garantira, da niso nekje skrita kaka vrata, skozi katera bi Škulj in njegov sodelavec še na lažji način 'vlekla' denar?

Po moje so pri NLBju naredili eno samo napako - to, da ga niso že na začetku prijavili.

- SiroTka - :
In kam gre denar, se da izsledit. Pa nakaži na nek račun v tujini - povej mi en razlog, zakaj ne bi policija iz države, v kateri je banka, sodelovala s tabo? Saj gre konec koncev za kriminalno dejanje.
In veš, izgineš težje, kot si misliš. Jaz ti svetujem, da pogledaš kako oddajo na Discoveryju kak četrtek, boš presenečen, koliko malo sledi je potrebnih, da zločinca odkrijejo in ujamejo.

Sirotka: Glede tega kranjcana k je naredu zascito. Ne vem kaj ga tok kritizirate. Clovek je posten, komot bi pobral ves dnar iz vseh racunov in izginu - haloo.

Če bi malo bolj sledil zadevi, bi videl, da ta program potrebuje najprej certifikat, potem geslo in šele takrat lahko prenese denar z enga računa na drugega - seveda so ukazi zapisani v programu, ki ga je napisal Škulj.
V LB so morali samo malo spremeniti zaporedje ukazov in je ta program neuporaben.

Kot je povedal Ziggga v odmevih, potrebno je večkrat menjati gume....