Säkerhet internetbank

Det löser man enklast med ett webbläsartillägg. Att webbläsartillägg kan manipulera en hemsida som man går in på är okontroversiellt, det är precis så t.ex. en adblocker eller Better Sweclockers fungerar. Man behöver inte bygga en exakt kopia på GUI:t, det räcker att manipulera de relevanta delarna på sidan, vilket inte är särskilt svårt. Det tog mig cirka 5 minuter att skriva ett litet script som manipulerar mitt banksaldo som det visas till mig till ett värde jag bestämmer, och göra det varje gång jag går till saldosidan. (Det gör så klart inte att jag har mer pengar på mitt konto, men det får det att se ut så för mig. )

Jag har några fler spontana idéer om exakt hur en sådan trojan skulle kunna droppas på en dator, och hur man kan kringgå antimalware, men jag ser inte hur någon sådan information skulle kunna hjälpa någon att skydda sig mot detta, så jag tror det är bäst att jag inte postar det just här.

Liknande attacker har redan skett, räcker googla på "banking trojan" och läsa lite.

Varför skulle det inte gå att automatisera? Att det går att följa pengarna efteråt är alltid svagheten, ja. Och det är klart att om allt man gör är att manipulera att pengarna går till sitt eget bankkonto så kommer man väldigt snabbt att vinna "smartaste dumma brottsligheten i år"-utmärkelsen. Man skulle behöva kombinera detta med ett sätt att tvätta pengarna i fråga. Åter igen så kommer jag på några sätt man skulle kunna göra på, men jag vet inte hur lämpligt det är om jag skriver om detta. Dessutom är det inte relevant i det här sammanhanget.

Oavsett så är inte syftet med hela det här att ge någon någon slags ritning eller karta till hur man stjäl folks pengar, utan mer att visa på att PC-plattformen är mer känslig till den här sortens attacker än mobilplattformen, eftersom den är mindre nedlåst. Allt på PC-plattformen går ut på "enumerating badness" till skillnad från mer nedlåsta plattformar där man istället behöver vitlistas innan man blir insläppt. Det betyder i sin tur inte att jag tycker att PC-plattformen är sämre generellt, svagheten i säkerhet är en styrka i form av valfrihet, utan bara att den är sämre på det här specifika sättet.

Användaren är ju ofta den svaga delen i kedjan, det brukar gå rätt bra att lura folk installera tillägg de egentligen inte ska installera. Men det går ju för malware att installera ett tillägg också.

Det finns gott om attacker som kringgått Bank-ID. Det allra vanligaste är bedragare som ringer upp och ber en godkänna saker via mobilt Bank-ID. Folk läser ju uppenbarligen inte. Anledningen till att vi inte sett de mer sofistikerade attackerna är att mindre sofistikerade attacker fungerar. Varför göra det svårare för sig än det behöver vara, som brottsling?

Ja, precis, det skrev jag också i mitt första inlägg, att förhoppningsvis så flaggar anti-bedrägeri-systemet överföringarna innan något händer också. Men det stoppar ju inte bedrägerierna helt, det tar bara ner hur ofta de lyckas. Uppenbart lyckas de tillräckligt ofta för att det ska vara värt besväret.

Säkerhet är som en stapel schweitzerost-skivor. Varje skiva har hål, och så länge som inte alla skivorna har hål på samma stället så kommer inget igenom. Det är ju fortfarande bra att se till att man har så många skivor som praktiskt möjligt, och så få hål som möjligt.

Hela brottet som går ut på att få ut pengar från ett offer och sedan säkra dessa pengar, och komma undan med det, är långt och komplicerat, och kedjan varken börjar och slutar nödvändigtvis inte i slutanvändarens dator. Men den här tråden handlar ju specifikt om den här specifika delen, nämligen användarens egna terminal in till bankväsendet.

Det fundamentala problemet med datorsäkerhet, är att malware kan installeras på din dator som tar över hela datorn. Du kan inte, bara genom att titta på en dator, veta exakt vad det är du ser och var det kommer från. Enda chansen är att hindra malware att installeras från början, eller ha säkerhetssystem som upptäcker och tar bort malware. Så kommer vara fallet så länge man är fri att installera vad som helst på sin PC, och så länge dessa program har behörigheter att göra vad som helst. På mobilplattformar finns mer eller mindre robusta skydd, som appbehörigheter och appbutiker som ska godkänna program, som både tar bort frihet och även ökar säkerheten.

Jag är inte övertygad att bankappar på en dator skulle vara säkrare. Vad hindrar malware från att hijacka dessa appar? Det enda är att det kräver lite mer kunskap om hur man skriver lite javascript i ett webbläsartillägg, men detta kommer brottslingar att göra, om det är det bästa sättet att göra ett bedrägeri på (d.v.s. att man stänger ner de enklare och mer effektiva sätten.)

Det allra säkraste vore för banker att inte tillåta banking från mobilen eller datorn alls, utan istället tillhandahålla en specifik apparat för det syftet, hanterad från början till slut av banken. En slags "special purpose"-surfplatta eller telefon, alltså. Men det är ingen som gör det för att det är för krångligt och för dyrt, i alla fall för gemene man. Vad vet jag, såna lösningar kanske finns för folk med extremt stora mängder pengar.