Duizenden Belgische bankrekeningen gehackt (update)

26/06/2012 - 07:13

Het federaal parket bevestigt dat er de voorbije dagen vier personen zijn opgepakt en aangehouden in een gerechtelijk onderzoek naar de hacking van bankenwebsites. Het gaat om twee Russen en twee Polen die legaal in België verbleven en hun bankrekening zouden ter beschikking gesteld hebben om er geld op te laten storten dat bij de hackings ontvreemd was. Volgens het federaal parket bedraagt de omvang van de ontvreemde bedragen meer dan 3 miljoen euro. Het onderzoek van het federaal parket, onder leiding van onderzoeksrechter Michel Claise, viseert een criminele organisatie die via malware toegang zocht tot de computers van bankklanten die aan pc-banking deden.

De gegevens die ze op die manier verzamelden, werden nadien gebruikt om zelf via internet toegang te krijgen tot de rekeningen van die klanten en er geld af te halen. Dat geld werd dan op andere rekeningen gestort van zogenaamde "muilezels", mensen die speciaal aangezocht waren en erin toestemden om hun rekening te laten gebruiken. Die "muilezels" moesten de overgemaakte sommen vervolgens afhalen en overmaken naar het buitenland. Zij streken voor hun medewerking 5 tot 10 procent van de ontvreemde sommen af.

De criminele organisatie voerde in de tweede helft van 2011 een testfase uit, waarbij verschillende pogingen werden ondernomen om toegang te krijgen tot bankrekeningen en waarbij enkele kleine geldsommen werden ontvreemd. Begin dit jaar schakelde de organisatie echter een versnelling hoger en begon ze op veel grotere schaal en aan een veel hoger ritme fraudeleuze overschrijvingen uit te voeren.

Meer dan 3 miljoen euro

Daarbij had ze het gemunt op vijf grote Belgische banken. Bij één van die banken werden tussen 1 januari en 4 juni maar liefst 7.500 klanten slachtoffer van de hackings en werd 1.836.130,52 euro ontvreemd. Bij een tweede bank ging het om 4.900 klanten en 1.496.012 euro. Het is onduidelijk over welke 2 banken het precies gaat. De drie andere banken hebben nog geen cijfers gecommuniceerd over het aantal getroffen klanten maar volgens het parket moeten de cijfers in dezelfde lijn liggen. Omdat de organisatie bovendien gebruik maakte van "muilezels" die een bankrekening hadden bij dezelfde bank als de slachtoffers, was het zowat onmogelijk om de frauduleuze overschrijvingen te blokkeren.

Muilezels
Gezien de omvang van het fenomeen besloot het federaal parket een onderzoek te starten onder leiding van onderzoeksrechter Claise. In dat onderzoek zijn nu vier "muilezels" opgepakt en aangehouden. "Hun aanhouding heeft zeker zijn belang", zegt Lieve Pellens, woordvoerster van het federaal parket. "Zonder dit soort mensen kan de criminele organisatie gewoon haar buit niet opstrijken. Wat zij doen is dus allesbehalve onschuldig."

De vier zijn in verdenking gesteld voor het uitvoeren van geldtransferts zonder over de hoedanigheid van financieel intermediair te beschikken, witwassen en medeplichtigheid aan hacking. Ze riskeren celstraffen tot 5 jaar.

Update: ook Nederland getroffen
Ook in Nederland hebben cybercriminelen geprobeerd om zeker 35,6 miljoen euro van zakelijke rekeningen door te sluizen. Dat meldt Nu.nl. Welk bedrag er precies is buitgemaakt, is nog niet geweten. De cybercriminelen gebruiken bestaande trojaanse paarden zoals SpyEye en Zeus, maar voegen daar servercomponenten en verregaande automatisering aan toe. Bovendien kunnen de criminelen fysieke chip- en pinauthenticatie omzeilen, volgens onderzoekers van beveiligingsbedrijven McAfee en Guardian Analytics. McAfee en Guardian Analytics noemen de aanvallen "het begin van een heel nieuwe techniek". De fraude wordt wereldwijd gepleegd bij vooral zakelijke banken. "Naar onze schatting hebben de criminelen tot nu toe geprobeerd ten minste 60 miljoen euro aan frauduleuze afschrijvingen uit te voeren", zo staat in het rapport.

Bron: Belga

Data News in je nieuwsoverzicht op Facebook

Meer over: , ,

 

Reacties

andre.devleeschouwer@gmail.com | 27 juni 2012

Ja, die logica zie ik ook wel. Inderdaad, de oplossing is om de Digipass vollediger te gebruiken via de M2-knop, en telkens een element van het bedrag en de bestemmeling mee in de berekening opnemen, onder verificatie van de gebruiker. Zo had ik het ook gezien. Neemt niet weg dat de huidige mechanismen hun grenzen bereiken. Hoog tijd om nieuwe beveiligingswegen op te gaan.

Ongepast?

BPWL2 | 26 juni 2012

@Andre, uw PIN of digipas is niet gekraakt. Het is niet moeilijk, X gaat naar banksite en logt in, U bezoekt website X die geeft U het login scherm bank, X krijgt challenge van bank, X geeft challence door aan U, U berekent en geeft antwoord, X geeft antwoord aan bank en is binnen, X geeft U het scherm "foute code", X maakt betaling, U probeert een 2e keer , X geeft challenge betaling, U berekent en antwoord , X geeft uw antwoord door en valideert betaling, X geeft U het ingelogde scherm door ... U bent binnen ... denkt U ... maar U heeft al een vreemde betaling goedgekeurd met die 2e poging... zelfde (M1) methode gebruiken voor inloggen en betalen is hier het zwakke punt. Maar X kan hetzelfde verhaal ook opzetten tussen 2 betalingen. Oplossing: certificaat bank verifieren en betalingen steeds met M2 (en uitleggen dat hier eigenlijk bedrag en rekeningnummer worden ingetikt)

Ongepast?

hmtk | 26 juni 2012

Als de tools die de banken ons vandaag aanbieden niet voldoen, lijkt het mij duidelijk wie de rekening mag betalen: de banken!

Ongepast?

Jan.B | 26 juni 2012

En ook nog: hebben banken wel zin EN geld om extra security voor alle klanten te voorzien? Het is precies de moment niet om ook nog zulke problemen er bij te hebben, het is al moeilijk genoeg om recht te blijven staan...

Ongepast?

Jan.B | 26 juni 2012

Wat mij vooral verontrust is dat dit de eerste keer bij mijn weten is dat de cardreader+pin beveiliging NIET meer voldoet. Zijn onze banken dan nog wel voldoende gewapend? Of is er alweer nieuwe security aan de orde?

Ongepast?

 

Reageer

Nieuwsbrief

Schrijf u in op Data News dagelijkse nieuwsbrief

Schrijf u in op Data News Start-ups maandelijkse nieuwsbrief

Schrijf u in op Data News Jobs wekelijkse nieuwsbrief

E-mail:
 

Whitepapers

 
 

Wij raden ook aan