Her forsøker de å lure 500 000 kroner fra Teknisk Ukeblad

[Gjest Marius B. Jørgenrud]

CEO-svindel har rammet flere norske bedrifter. Se hvordan svindlerne prøver seg.

Her forsøker de å lure 500 000 kroner fra Teknisk Ukeblad

[quantum]

Ville vel også blitt skeptisk når avsender ikke ser ut til å forstå hvordan epost fungerer i 2017. Man trenger ikke være tilgjengelig for å motta epost. Et oppegående menneske ville ringt.

[LMH1]

Nå kan det være så enkelt personer i firma har svak passord som er veldig lett å gjette.

Burde være 2 veis pålogging\2-trinns bekreftelse som miste krav.

 

Er jo litt tungvint men da blir det svært vanskelig å hacke kontoen.

Med mindre det finnes tjenester som sender data over porter istedenfor over internett.

 

Uansett burde vel kontonummer sjekkes minst 2 ganger. Da man ungår svindel.

 

Finnes sikkert de som må bruke id kort for å bruke maskinen ellers får man ikke brukt den, kanskje også mobil\bankID.

Endret 20. januar 2017 av LMH1

[barfoo]

Nå kan det være så enkelt personer i firma har svak passord som er veldig lett å gjette.

Burde være 2 veis pålogging\2-trinns bekreftelse som miste krav.

Du har jo ikke forstått artikkelen. Det handler ikke om cracking av passord. Det handler om å få personer som har fullmakt til å godkjenne fakturaer til å godkjenne en falsk faktura. 2FA er fint, men det fungerer relativt dårlig til å hindre en person i å gjennomføre en handling.

 

Videre så sitter ikke folk i nettbanken og betaler regninger i store firmaer. Man får en faktura inn i fakturasystemet, godkjenner eller avviser den, også går det automatisk til banken, eventuelt etter sjekk hos andre personer i bedriften.

[LMH1]

 

Du har jo ikke forstått artikkelen. Det handler ikke om cracking av passord. Det handler om å få personer som har fullmakt til å godkjenne fakturaer til å godkjenne en falsk faktura. 2FA er fint, men det fungerer relativt dårlig til å hindre en person i å gjennomføre en handling.

 

Videre så sitter ikke folk i nettbanken og betaler regninger i store firmaer. Man får en faktura inn i fakturasystemet, godkjenner eller avviser den, også går det automatisk til banken, eventuelt etter sjekk hos andre personer i bedriften.

 

Da burde det være lett å se om en faktura er falsk eller ikke, da jeg tviler på svindeleren ikke har tilgang til bankid.

Så ser man noe rart som det ikke finnes faktura på vet man det er feil.

 

Det jeg mener er feil er man som selvskap ikke kan lage efaktura til kunder.

Da det er slik i dag kundene må inngå efaktura med bedrifter som blir dyrere for kunder i form av fakturagebyr.

Da er dette ikke noe sak heller.

 

Samtidig bør man styre unna faktura man får i posten, da det kan være falske.

Særlig fra telenor eller andre.

For det er mye lettere for banken å se hvis bedrifter lager falske faktura med den måten.

Da det blir logget med person som svindeler slik da ville svindeleren blitt tatt. Med mindre personen har falsk id men da blir en annen person som står ansvarlig.

Endret 20. januar 2017 av LMH1

[madammim]

Feilen er jo at rutinene i bedriftene er for dårlige. Bedrifter er jo blitt ganske flinke til å luke vekk falske regninger sendt per post, selv om noe sikkert fortsatt slipper igjennom.

 

Hvis problemet er at svindlerne gir seg ut for å være en ansatt gjennom falsk e-post, så burde det vel være lett for bedrifter å innføre rutiner om at alle utbetalinger med bakgrunn i e-post fra ansatte må bekreftes gjennom at ansatte sender sitt ansattenummer på SMS, eller noe slikt.

[G]

Det er et ganske enkelt grep for dette: Pengeforespørsler og epost hører ikke sammen.

[Magnetmannen]

Helt klart kinesiske pengehackere, de bruker mobiltelefoner for å finne målene.

[barfoo]

Da burde det være lett å se om en faktura er falsk eller ikke, da jeg tviler på svindeleren ikke har tilgang til bankid.

Så ser man noe rart som det ikke finnes faktura på vet man det er feil.

Hva har Bank-ID med det å gjøre?

Det jeg mener er feil er man som selvskap ikke kan lage efaktura til kunder.

Da det er slik i dag kundene må inngå efaktura med bedrifter som blir dyrere for kunder i form av fakturagebyr.

Da er dette ikke noe sak heller.

Nøyaktig hva er det du faktisk mener her? Setningene over gir ingen mening, det er ordsalat.

Samtidig bør man styre unna faktura man får i posten, da det kan være falske.

Særlig fra telenor eller andre.

For det er mye lettere for banken å se hvis bedrifter lager falske faktura med den måten.

Da det blir logget med person som svindeler slik da ville svindeleren blitt tatt. Med mindre personen har falsk id men da blir en annen person som står ansvarlig.

???

[n.v.t.]

Hvorfor nevnes ikke PGP / GPG signering som teknisk tiltak mot slike angrep?

[Hopperesque]

Ville vel også blitt skeptisk når avsender ikke ser ut til å forstå hvordan epost fungerer i 2017. Man trenger ikke være tilgjengelig for å motta epost. Et oppegående menneske ville ringt.

Den store majoriteten er dessverre lite kompetente på dette området.

[Hopperesque]

Det er et ganske enkelt grep for dette: Pengeforespørsler og epost hører ikke sammen.

Det høres jo effektivt ut. Hva er alternativene? SMS, internpost, telefon?

 

Feilen er jo at rutinene i bedriftene er for dårlige. Bedrifter er jo blitt ganske flinke til å luke vekk falske regninger sendt per post, selv om noe sikkert fortsatt slipper igjennom.

 

Hvis problemet er at svindlerne gir seg ut for å være en ansatt gjennom falsk e-post, så burde det vel være lett for bedrifter å innføre rutiner om at alle utbetalinger med bakgrunn i e-post fra ansatte må bekreftes gjennom at ansatte sender sitt ansattenummer på SMS, eller noe slikt.

Svindelmail er ganske enkelt å luke ut per i dag, men det er dessverre noen som lar seg lure. Problemet er hvis slike befinner seg et stykke opp i organisasjonen, noe jeg har eks. på at de gjør. Løsningen er ikke verre enn å få bekreftelse på e-post fra flere ledere, ev. at man tar en telefon hvis man virkelig er usikker.

[endrebjo]

 

Det er et ganske enkelt grep for dette: Pengeforespørsler og epost hører ikke sammen.

Det høres jo effektivt ut. Hva er alternativene? SMS, internpost, telefon?

 

F.eks. en intern web-tjeneste. Faktura, beskrivelse og annen info legges inn i et web-interface. Deretter må forespørselen signeres av den som legger det inn (f.eks passord, 2FA, nøkkel, sertifikat, etc.), og neste ledd i kjeden må også signere (og eventuelle andre ledd). Etter fullstendig signering går all nødvendig betalingsinfo automatisk til betalingssystemet i økonomiavdelingen.

Organisasjonen jeg jobber i bruker et slikt system, men det er sannsynligvis utviklet internt. Så jeg kjenner ikke til noen tilgjengelige implementasjoner som kan tas i bruk.

 

Det er uansett et veldig godt prinsipp å flytte så mye som mulig vekk fra epost. Det finnes et vell av spesialiserte verktøy som gjør typiske epost-ting fryktelig mye bedre, sikrere og mer sporbart enn epost.

[quantum]

 

Ville vel også blitt skeptisk når avsender ikke ser ut til å forstå hvordan epost fungerer i 2017. Man trenger ikke være tilgjengelig for å motta epost. Et oppegående menneske ville ringt.

Den store majoriteten er dessverre lite kompetente på dette området.

 

Dessuten er det lett å være "smart" når man får slike eksempler presentert ... hadde sikkert gått på limpinnen jeg og.

[Hopperesque]

 

 

Det er et ganske enkelt grep for dette: Pengeforespørsler og epost hører ikke sammen.

Det høres jo effektivt ut. Hva er alternativene? SMS, internpost, telefon?

F.eks. en intern web-tjeneste. Faktura, beskrivelse og annen info legges inn i et web-interface. Deretter må forespørselen signeres av den som legger det inn (f.eks passord, 2FA, nøkkel, sertifikat, etc.), og neste ledd i kjeden må også signere (og eventuelle andre ledd). Etter fullstendig signering går all nødvendig betalingsinfo automatisk til betalingssystemet i økonomiavdelingen.Organisasjonen jeg jobber i bruker et slikt system, men det er sannsynligvis utviklet internt. Så jeg kjenner ikke til noen tilgjengelige implementasjoner som kan tas i bruk.Det er uansett et veldig godt prinsipp å flytte så mye som mulig vekk fra epost. Det finnes et vell av spesialiserte verktøy som gjør typiske epost-ting fryktelig mye bedre, sikrere og mer sporbart enn epost.

De fleste selskaper av en viss størrelse har allerede et eget system for behandling av leverandørfakturaer (brukere med fullmaktsgrenser, krav om to godkjennere, etc.). I selskapet jeg jobber for går nok 99 % volumet via at slikt system. Problemet er det som går utenom, og det vil det alltid være noe av.

[G]

 

Det er et ganske enkelt grep for dette: Pengeforespørsler og epost hører ikke sammen.

Det høres jo effektivt ut. Hva er alternativene? SMS, internpost, telefon?

 

 

Om det går an å sende med falsk SMS skulle ikke forundre meg, men da må de kriminelle få innsikt i hvem som er dine nærmeste som kan komme til å spørre etter penger fra deg en eller annen gang. Det krever nok ganske mye forabeide eller noe flaks.

 

En telefonsamtale er vanskelig å forfalske stemmen til de du kjenner for, men ser man til Terminatorfilmene så kommer kanskje dette også en gang i framtiden. Nå må vel helst personen som skal forfalskes sitte kidnappet og bli tvunget til å be om pengene, slik man også har sett mange scenario av på filmlerretet.

 

Hva mener du med internpost, og/eller er det effektivt når noen er på reisefot?

Endret 22. januar 2017 av G

[endrebjo]

 

F.eks. en intern web-tjeneste. Faktura, beskrivelse og annen info legges inn i et web-interface. Deretter må forespørselen signeres av den som legger det inn (f.eks passord, 2FA, nøkkel, sertifikat, etc.), og neste ledd i kjeden må også signere (og eventuelle andre ledd). Etter fullstendig signering går all nødvendig betalingsinfo automatisk til betalingssystemet i økonomiavdelingen.Organisasjonen jeg jobber i bruker et slikt system, men det er sannsynligvis utviklet internt. Så jeg kjenner ikke til noen tilgjengelige implementasjoner som kan tas i bruk.Det er uansett et veldig godt prinsipp å flytte så mye som mulig vekk fra epost. Det finnes et vell av spesialiserte verktøy som gjør typiske epost-ting fryktelig mye bedre, sikrere og mer sporbart enn epost.

De fleste selskaper av en viss størrelse har allerede et eget system for behandling av leverandørfakturaer (brukere med fullmaktsgrenser, krav om to godkjennere, etc.). I selskapet jeg jobber for går nok 99 % volumet via at slikt system. Problemet er det som går utenom, og det vil det alltid være noe av.

 

Hvilke ting er det som behøver å gå utenom?