» »

Kako je južnoafriška banka zamenjala 12 milijonov kartic zaradi ukradenega ključa

Kako je južnoafriška banka zamenjala 12 milijonov kartic zaradi ukradenega ključa

Slo-Tech - V južnoafriški Postbank so morali zamenjati 12 milijonov kartic, ker je eden izmed zaposlenih ukradel 36-bitni glavni ključ (master key), razkriva The Sunday Times, ki je pridobil poročilo iz julija 2019. Incident se je zgodil že decembra 2018, posledice pa so bile občutne. Ni šlo le za zamenjavo milijonov kartic, temveč tudi za več tisoč lažnih transakcij in milijonske škode.

Neimenovani uslužbenec je decembra 2018 v starem podatkovnem centru v Pretoriji na list papirja natisnil 36-bitni ključ. Omenjeni ključ omogoča dostop do informacijskega sistema v banki, izvajanje transakcij in njihovo spreminjanje ter celo izdajanje plačilnih kartic. Med marcem in decembrom lani so zlikovci s tem ključem izvedli 25.000 lažnih transakcij in ukradli za 56 milijonov randov sredstev (2,9 milijona evrov). Prizadetih je 8-10 milijonov imetnikov kartic, še milijonu pa so ukradli osebne informacije. To se sliši veliko, a zaradi tega bo banka morala zamenjati vse kartice (plačilne in tudi posebne, denimo za prejemanje socialne podpore), ki so bile v tem obdobju izdane (ker so uporabljale omenjeni ključ), kar bo stalo milijardo randov (52 milijonov evrov). V tem času s kompromitiranimi karticami ni bilo možno izvajati off-line transakcij.

Napadalci, ki jih je preiskava identificirala kot zaposlene, so ukradli tako imenovani HMK (Host Master Key). Ta se uporablja za zaščito vseh ostalih ključev in celotne infrastrukture, torej bi lahko z njim spreminjali delovanje bankomate, e-bančništva, kreditnih kartic itd. Zaradi tega so HMK-ji običajno zelo dobro zavarovani, na posebnih strežnikih z namenskim informacijskim sistemom, kjer je fizični dostop strogo varovan. Prav tako ni običaj, da bi lahko ključ dobila ena sama oseba, temveč je dostop razdeljen med več uslužbencev. Redno se menjajo tako ključ kakor upravičenci do dostopa.

10 komentarjev

mtosev ::

Očitno je bila varnost pri tej banki na visokem nivoju, da se je lahko kaj takega zgodilo
i like:) [Dell Inspiron 13 7000 - i7 6500U, 8gb ddr3l, samsung 860evo, ips fhd]
moj oče darko 1960-2016
moj labradorec max 2002-2013

mahoni ::

Bodimo realni. Tisti, ki ste lastniki podjetij, koliko vas je pregledalo profil cistilke?

KJEŽ ::

mahoni je izjavil:

Bodimo realni. Tisti, ki ste lastniki podjetij, koliko vas je pregledalo profil cistilke?


Moraš firmo tako zastaviti, da ti zaposleni ne morajo nič ukrasti, potem je pa vseeno ali je čistilka ali CEO.

vres.ales ::

KJEŽ je izjavil:

mahoni je izjavil:

Bodimo realni. Tisti, ki ste lastniki podjetij, koliko vas je pregledalo profil cistilke?


Moraš firmo tako zastaviti, da ti zaposleni ne morajo nič ukrasti, potem je pa vseeno ali je čistilka ali CEO.


V to torej spada samo delo od doma, pa še tam ti bo kdo kaj ukradel. Nevem na kateri firmi ti delaš, da še ni nihče nič odnesel

KJEŽ ::

vres.ales je izjavil:

KJEŽ je izjavil:

mahoni je izjavil:

Bodimo realni. Tisti, ki ste lastniki podjetij, koliko vas je pregledalo profil cistilke?


Moraš firmo tako zastaviti, da ti zaposleni ne morajo nič ukrasti, potem je pa vseeno ali je čistilka ali CEO.


V to torej spada samo delo od doma, pa še tam ti bo kdo kaj ukradel. Nevem na kateri firmi ti delaš, da še ni nihče nič odnesel


Na svoji.

Unilseptij ::

Kaksne buce, hehe.... pa kaj, ce je zaposleni ukradel kljuc. Ce je do zlorab prislo od zunaj, potem je varnost njihovih sistemov tako ali tako porazna, pa naj napadalec ima kljuc ali pa ne. Ce je do teh zlorab prislo od znotraj, potem jim ne stimajo notranje kontrole, ki so za banke obicanje.

V vsakem primeru njihov problem ni to, da jim je zaposleni ukradel kljuc, ampak da nimajo pojma o varnosti ali pa lazejo in je zgodba samo odvracanje pozornosti.

Zgodovina sprememb…

mahoni ::

KJEŽ je izjavil:

mahoni je izjavil:

Bodimo realni. Tisti, ki ste lastniki podjetij, koliko vas je pregledalo profil cistilke?


Moraš firmo tako zastaviti, da ti zaposleni ne morajo nič ukrasti, potem je pa vseeno ali je čistilka ali CEO.

Torej najnovejse usb-key loggerje, katere je mozno remote upravljati, cistilka ne more namestiti? To zelis povedati? Pa cistilka je sigurno cistilka in ne Security Professional?

Spura ::

 Ta se uporablja za zaščito vseh ostalih ključev in celotne infrastrukture, torej bi lahko z njim spreminjali delovanje bankomate, e-bančništva, kreditnih kartic itd.
Carji. Vse je zasciteno z enim kljucem, ki ima samo 36 bitov lol. Komaj cakam naslednjo debato o tem kako je so ti sistemi tako napredni, da nujno rabis hude mainframe in pa cobol, ker le tako lahko dosezes neverjetno hi-tech usklajenost sistemov, ki se je absolutno ne da doseci drugace kot s 45 let starimi sistemi, jeziki in ocitno tudi security standardi.

darkolord ::

Vse je zasciteno z enim kljucem, ki ima samo 36 bitov lol.
V izvorni novici piše "36-digit key".

Ce je do teh zlorab prislo od znotraj, potem jim ne stimajo notranje kontrole, ki so za banke obicanje.
Problem je, who monitors the monitor?
spamtrap@hokej.si
spamtrap@gettymobile.si

WizzardOfOZ ::

 Ta se uporablja za zaščito vseh ostalih ključev in celotne infrastrukture, torej bi lahko z njim spreminjali delovanje bankomate, e-bančništva, kreditnih kartic itd.


Pravljice za zavajanje.


Vredno ogleda ...

TemaSporočilaOglediZadnje sporočilo
TemaSporočilaOglediZadnje sporočilo
»

Kako so hekerji lani mehiškim bankam ukradli 20 milijonov dolarjev

Oddelek: Novice / Varnost
72393 (1374) Matthai
»

Vdori v mehiške banke odnesli več sto milijonov pesov

Oddelek: Novice / Varnost
52982 (2191) Baja
»

Bitstamp zaradi suma vdora zaustavil trgovanje (strani: 1 2 3 )

Oddelek: Novice / Kriptovalute
10036436 (27767) hamez66
»

Kaj je Bitcoin - razlaga za vsakogar

Oddelek: Znanost in tehnologija
117698 (6102) bitcoin
»

Klik.nlb shekan? (strani: 1 2 )

Oddelek: Novice / Varnost
8811201 (7875) Cokolesnik

Več podobnih tem