网上银行和支付,客户的个人电脑已经成为了阿基里斯的脚跟的金融行业cyber-crooks远程控制电脑使未经授权的资金转移,经常到很远的地方去。
这是发生在纽约波基普西镇今年早些时候的378000美元在四个未经授权进行资金转移从镇上的TD银行账户。1月首次发现,城镇能够最终得到完整的损失数量恢复到3月,根据公共记录,通过有时紧张与银行的交互。
尽管拒绝讨论此事,高成本这cyberheist,以及一系列其他事件在过去的一年中,有许多银行官员担心。他们担心客户桌面,尤其是在商业银行,金额高,越来越信任的薄弱的环节。
达到公众视线的其他cyberheists包括希拉里机械龙门,德克萨斯州,为801495美元;Patco建设以588000美元;独特的工业以120万美元;和Ferma corp .)以447000美元的价格。学校和教堂不免疫。去年年底一个联邦调查局的报告说,该机构每周得到几个新的受害者的投诉。
和企业应该比消费者更担心银行是否会恢复货币被cybercrooks利用破坏电脑使用僵尸网络控制恶意软件。Avivah Litan据Gartner分析师,而消费者账户接收特定的法律保护恢复未经授权的转移在所谓的“Reg E”联邦法规,企业不。
纠纷被劫持的电脑和欺诈性转移喷发到公众视线随着企业和他们的银行吵架了是谁的错当网络黑帮偷走了钱。恢复丢失的基金在个案基础上发生。
银行的困境归结为:他们能走多远,帮助保护客户桌面功能共享的网络的一部分,但并不是所有的银行吗?
银行面临的前景”客户的电脑在俄罗斯犯罪集团的手里,“杰夫•赛尔说高级副总裁汉考克银行主要经营墨西哥湾沿岸地区。
像许多其他银行一样,汉考克参与帮助客户发现自己越来越捍卫自己的机器。最近的一个一步汉考克免费专业防护软件利用100000年银行的电子银行客户。
由受托人,软件变得活跃,当客户的电脑与汉考克互动银行的网上银行服务。基本上一个浏览器插件,难眠的安全软件可以检测并拦截键盘记录器,停止第一用户,通知银行如果电脑的恶意软件感染。
如果检测到一个问题,银行会打电话给他们,告诉他们,”赛尔说,添加cybercrooks宁愿高成本目标自动清算所(ACH)转移和其他大量的支付转移从业务客户,但他们不会拒绝他们可以从消费者做什么网上电子银行。“没有银行免于面对这些ACH问题计算机恶意软件攻击,”赛尔说。
但这是一个艰难的问题银行能够或应该走多远,试图对他们客户的桌面安全需求。赛尔承认,在这一点上,该方法对现有网上银行客户主要使用Trusteer-developed软件“强烈推荐”。
受托人软件,为每个客户量身定制的银行,现在近40所提供的机构,包括SunTrust,汇丰(HSBC)、第五第三家银行,美国ING Direct,亨廷顿国家银行。Prevx和TrustDefender,受托人是为数不多的安全厂商提出防御这种类型的银行业,根据Gartner的法案。她的缺点更大安全软件提供商,包括McAfee,赛门铁克趋势科技,做这么少。
但这种类型的帮助客户银行软件不是一个方法里坦认为应该为金融机构必然是一个高优先级。
“我建议银行是他们不能指望它,这不是无处不在,”她说,添加“他们需要明确这不是总保护。”
一旦银行参与这帮助客户软件的方法,许多潜在的责任问题可能出现如果坏事发生时,她说。“更高的优先级应放在他们能控制的事情上,如欺诈检测和带外保护,”坦建议。
这种所谓的带外的安全电子银行和支付包括自动化的电话时,可以启动在线行为分析工具显示可疑的网络行为,以及系统涉及到的记录语音模式,可以匹配有人说他们的密码。
“景观变化的威胁,”克里斯托弗•贝尔说高级产品经理Fiserv公司电子银行服务集团,银行的在线支付和服务技术提供者。Fiserv公司最近开始使PhoneFactor手机带外认证系统提供给它的客户,其中包括24个最大的银行。
手机认证”并不带你远离网上银行渠道,”贝尔说。“但我知道电脑可能会妥协。所以你需要身份验证的通道,到电话。”This method will likely hold the most appeal in high-risk, large-dollar transactions, he notes.
以色列国民银行,以及一些银行在澳大利亚,众所周知,率先在这种类型的带外认证,坦说,但总的来说很少有实际交付。
另一种方法涉及到加强后台的欺诈检测在今天使用监控信用卡和借记卡欺诈,还包括电子银行和支付。
双重认证,需要至少两人批准交易,还ups安全赌注,坦指出。她认为的另一种方法可能是有效的,称为“积极的薪酬”,包括提前设置指南到底谁是银行授权支付和阈值。Litan)承认,虽然听起来很简单,“积极支付“很难做,因为商业软件可能不是已经设置或企业需要比方法允许更大的灵活性。
一位调查记者布莱恩•克雷布斯把焦点放在cyberheist流行在网上列KrebsOnSecurity,评论,“我的咒语依然是任何商业银行技术,不首先的前提下客户的机器可能与恶意软件可能已经受损的机会击败不了今天的网络骗子。”
“罪犯似乎是有限的而不是执法或银行安全,但主要是钱骡子他们可以利用的数量在任何时候帮助他们把战利品的账户他们妥协,”克雷布斯说,他的调查一组是否实际上是“承包过程不同时会mule招聘和团伙”为了找到足够的钱骡。
联邦调查局的报告显示去年11月cyberheists和钱骡的角色,cybercrooks的欺诈ACH转移往往指向的银行账户愿意或不知情的人在美国。雷竞技比分
这些人往往通过“在家工作”招募广告或招聘人员联系到后把简历放在就业网站受欢迎的。这些骡子是针对开放个人或商业欺诈的转账银行账户来接收,在几天,甚至几个小时,钱是沉积和mule指向立即向前部分海外资金接受者,通常在东欧,通过通讯社转移如西联或速汇金。
戈登·m·雪,联邦调查局的网络部门助理主任说,联邦调查局正在调查一个复杂的诈骗方案涉及公司账户收购和欺诈ACH转移被劫持的账户,账户持有的骡子,套现偷来的钱和线目的地在东欧。联邦调查局不知道整个计划的范围;我们的知识是有限的,那些带给我们的注意力的实例。截至2010年6月,美国联邦调查局调查有超过300活跃,约30学校或政府的受害者。受害者在联邦调查局的情况下失去了超过5000万美元。联邦调查局已经确定了超过4000钱骡。
破坏计算机用于网上银行得到的关注金融服务信息共享和分析中心(FS-ISAC),一个集团的使命是提供一个论坛,它的成员,其中包括花旗集团(Citigroup)、美国银行、高盛和美林(Merrill Lynch)等,可分离地分享安全问题和保持与联邦官员直接接触。
FS-ISAC迄今为止已经发出通知,通知其会员只与企业客户通过电脑浏览器和电子邮件功能。这是一个尴尬的措辞建议后来澄清的意思是一个“PC致力于网上银行,”坦说。但她认为这是不够的。
其他最近的联邦政府部门的活动包括一个研讨会由美国联邦存款保险公司上月被劫持的电脑和网络犯罪的威胁。
“用户工作站是弱点,”说乔·斯图尔特恶意软件分析主任SecureWorks,进行了广泛的工作看复杂的botnet-based木马等宙斯和Clampi劫持受害者的计算机设计和执行未经授权的金融交易,窃取网上凭证和帐户信息。
网上银行的基本架构设计不知道用户会遇到这种类型的恶意木马,他说,并补充道,“在这个意义上,这种模式的银行坏了。”
自从知道银行木马恶意软件是基于windows的——“没有Mac银行木马,”斯图尔特说,他认为今天的形势是主要围绕一个基于windows的机器。“我不会推荐银行网络与Windows。”