Verdachte dingen bij inloggen op mijn.ing.nl

[ACM]

GlowMouse schreef op donderdag 04 augustus 2011 @ 18:41:
Dan zou het er nu inmiddels wel mogen afgehaald.

Oh, ik zeg ook nergens dat dit de beste oplossing is Ze hadden het op zijn minst bij een betrouwbare nederlandse hoster kunnen zetten op een domein dat vrij duidelijk gelieerd is aan de ING en ook volgens whois direct terug te leiden is.

Maar daar hebben ze dan blijkbaar niet bij stil gestaan

[Henk007]

Ik ben op dit gebied een leek, maar je introduceert als bank toch een enorm veiligheidsrisico door in de code van een loginserver javascript code op te nemen die gehost is op een server die niet onder je directe controle staat ?
Eigenlijk wat hierboven al vaker is gezegd en voor mij niet acceptabel en wellicht reden over te stappen naar een andere bank.

[Wilbert de Vries]

Voor de 'volledigheid': zojuist is mijn nieuwsbericht hierover online gegaan > http://twk.rs/nizD

[Mektheb]

Henk007 schreef op donderdag 04 augustus 2011 @ 18:43:
Ik ben op dit gebied een leek, maar je introduceert als bank toch een enorm veiligheidsrisico door in de code van een loginserver javascript code op te nemen die gehost is op een server die niet onder je directe controle staat ?
Eigenlijk wat hierboven al vaker is gezegd en voor mij niet acceptabel en wellicht reden over te stappen naar een andere bank.

Dat was mijn 1e reactie dus ook.

[Thralas]

Verwijderd schreef op donderdag 04 augustus 2011 @ 18:41:
Zelfs als het legitiem is, lijkt mij het een stuk simpeler om een Linode VPSje te hacken en vanaf die VPS nare dingen te doen. Vanuit het oogpunt van veiligheid en privacy doe je dit gewoon niet. Zijn er geen regels (AFM/DNB) die dit soort pruts-IT praktijken verbieden ?

Sterker nog, het zijn meerdere VPS'en (of een enkele VPS met meerdere IPs).

Tenminste:

code:

www.primebyte.net
178.79.150.4
178.79.159.118
178.79.160.63

www.vsonicw.com
178.79.159.124
178.79.160.80
178.79.159.121

[stefklep]

Verwijderd schreef op donderdag 04 augustus 2011 @ 18:15:
[...]


En dat zei een pers voorlichter zelf ? Onbekende domeinnamen? Vage posts ?

Als dat zo is dan begaat ING en vele klanten wel eens een huge flater ...

Om dit soort dingen ben ik nou lid bij de rabobank. Daar kan je verwachten dat de security een stuk stuk stuk hoger ligt dan de ING.

Wat is dat nu voor een onzin dat het bij de rabobank hoger ligt ? Jij ziet alleen de buitenkant maar dat zegt niks over de aansturing er omheen. Ik denk echt niet dat beide banken voor elkaar onder doen, vind het ieder geval al zeer netjes dat de ING een verklaring geeft op dit gerucht... Kijk het is geen handige zet maar dat is een heel ander verhaal..

[GlowMouse]

http://www.co-operativeba...06375355,CFSweb/Page/Bank is ook "besmet".

[mindcrash]

Henk007 schreef op donderdag 04 augustus 2011 @ 18:43:
Ik ben op dit gebied een leek, maar je introduceert als bank toch een enorm veiligheidsrisico door in de code van een loginserver javascript code op te nemen die gehost is op een server die niet onder je directe controle staat ?
Eigenlijk wat hierboven al vaker is gezegd en voor mij niet acceptabel en wellicht reden over te stappen naar een andere bank.

ACM schreef op donderdag 04 augustus 2011 @ 18:43:
Maar daar hebben ze dan blijkbaar niet bij stil gestaan

Tja wat zal ik zeggen; creatief hergebruik van quotes?

[pierce]

de whois van het domein primebyte.net is ook uiterst vaag, maar dat was geloof ik al eerder aangegeven.

Registrar: FastDomain Inc.
Provider Name....: Netfirms, Inc.
Provider Whois...: whois.fastdomain.com
Provider Homepage: http://www.netfirms.com/

Domain Name: PRIMEBYTE.NET

Created on..............: 2011-04-21 11:49:28 GMT
Expires on..............: 2012-04-21 11:49:28 GMT
Last modified on........: 2011-04-21 14:54:07 GMT

Registrant Info: (FAST-12849468)
Fastdomain.com
Fastdomain Inc
1958 South 950 East
Provo, Utah 84606
United States
Phone: [phone]
Fax..: [phone]
Email: [e-mail]
Last modified: 2010-12-06 18:58:24 GMT

Administrative Info: (FAST-12849468)
Fastdomain.com
Fastdomain Inc
1958 South 950 East
Provo, Utah 84606
United States
Phone: [phone]
Fax..: [phone]
Email: [e-mail]
Last modified: 2010-12-06 18:58:24 GMT

Technical Info: (FAST-12849468)
Fastdomain.com
Fastdomain Inc
1958 South 950 East
Provo, Utah 84606
United States
Phone: [phone]
Fax..: [phone]
Email: [e-mail]
Last modified: 2010-12-06 18:58:24 GMT

Status: Active

Domain servers in listed order:

NS1.P30.DYNECT.NET
NS2.P30.DYNECT.NET

[frickY]

Ik probeer soep te koken van die HTML die bij vsonicw.com vandaan komt, maar het slaat echt nergens op.
Het lijken allen kleine snippes vanaf bank-gerelateerde sites.

Hersenspinsel;
ING is in zee gegaan met een 'beveiligingsbedrijf' dat een dekmantel is voor scamming

[Sponge]

Snap trouwens niet waarom er dan een compleet HTML block met login pagina e.d. in de return body zit. Dat is toch wel heel erg bijzonder dubieus toch? Zelfs voor het doel waarvoor dit stuk script blijkbaar 'gebruikt' wordt...

[batsma]

Wilbert de Vries schreef op donderdag 04 augustus 2011 @ 18:44:
Voor de 'volledigheid': zojuist is mijn nieuwsbericht hierover online gegaan > http://twk.rs/nizD

Wacht je nu totdat ze jouw weer bellen?

zit wel een foutje in je text btw; Meer informatie, zoals waarom de bank hiervoor schimmige domeinnamen en zijn productieomgeving gebruikt, wil de zegsman hij uit veiligheidsoverwegingen niet geven.

[Tom]

Geen handige actie van de ING. Zeker aangezien ze zelf iedereen waarschuwen om op de domeinnaam te letten tijdens het inloggen.

[CodeCaster]

quote: https://twitter.com/#!/IN.../status/99160072030142464

@nielsiejjj92 We testen op dit moment een softwareprogramma, het testen is een tijdelijke situatie. ^Hakim

[Flard]

Lama, te laat

[ Voor 96% gewijzigd door Flard op 04-08-2011 18:52 ]

[Wilbert de Vries]

batsma schreef op donderdag 04 augustus 2011 @ 18:50:
[...]


Wacht je nu totdat ze jouw weer bellen?

zit wel een foutje in je text btw; Meer informatie, zoals waarom de bank hiervoor schimmige domeinnamen en zijn productieomgeving gebruikt, wil de zegsman hij uit veiligheidsoverwegingen niet geven.

Ik denk dat ik er nu wel klaar mee ben Snel naar huis en eten in de hoop dat ik de kids nog even zie

Foutje gefixed, dank

Flard schreef op donderdag 04 augustus 2011 @ 18:51:
[...]


Schrijven jullie nog wel een follow-up met meer (technische) informatie?
Ik vind het eigenlijk geen geruststellend antwoord, en volgens mij zijn er meer met mij.

Weinig kans. De bank wilde absoluut niet meer details geven. Ik denk dat ze er al de buik vol van hebben dat er over wordt geschreven.

[ Voor 29% gewijzigd door Wilbert de Vries op 04-08-2011 18:52 ]

[mindcrash]

CodeCaster schreef op donderdag 04 augustus 2011 @ 18:51:
[...]

Wtf? Daar bestaat toch zoiets als een OTAP omgeving voor?

Of hebben ze zo moeten bezuinigen bij ING dat ze daar dan maar alles gewoon klakkeloos op de productieomgeving uitrollen?

* mindcrash net ook maar beslist: naast klant worden ook nooit opdrachten doen of werknemer worden van ING

[ Voor 21% gewijzigd door mindcrash op 04-08-2011 18:55 ]

[Kees]

Sommige tests kun je nu eenmaal gewoon het beste in een productieomgeving doen. Wat wel jammerlijk is zijn de schimmige domeinen en javascript.

[Releases]

Is dit niet een afweer functie voor die redirect die Zeus en Spyeye deden in de afgelopen weken? Iets met een betaal formulier. Zag daar een artikel op security.nl over.

[dada]

Dus ze waren waarschijnlijk een phishing detector aan het testen met behulp van een standaard "nep" hack. Allemaal leuk en aardig, maar waarom op de live omgeving? En als dat dan echt moest, waarom niet om 4 uur 's nachts? Blijft een beetje een vreemde situatie. Hopelijk komt er later nog een rectificatie direct van ING zelf.

[ Voor 9% gewijzigd door dada op 04-08-2011 18:55 ]

[mindcrash]

msikma schreef op donderdag 04 augustus 2011 @ 18:55:
Dus ze waren waarschijnlijk een phishing detector aan het testen met behulp van een standaard "nep" hack. Allemaal leuk en aardig, maar waarom op de live omgeving? Blijft een beetje een vreemde situatie. Hopelijk komt er later nog een rectificatie direct van ING zelf.

Denk het niet, want de meeste klanten merken het geeneens of boeit het (vanwege kennisgebrek) niet echt

[Thralas]

Zojuist een reply van Linode abuse:

Thanks for contacting us. The websites you have specified appear to be legitimate. If you are still in doubt, I would recommend contacting the bank. If they confirm they have been compromised, let us know and we'll investigate the issue further.

Hele rare manier van testen dit, als het inderdaad legit is.

[stftweaker]

Misschien een domme vraag. Maar als je noscript draai hou je dan ook het gevaar tegen of is er al "gevaar"als je inlog.

[TeGek]

net toch voor alle zekerheid een test scan gedaan met Metasploit, 12 exploits possible on 178.79.150.4.

lekker veilige VPS dus, outdated software waar 1 van de exploits zelfs een remote file inclusion is ,scriptje is dus mogelijk door een beetje slimme jongen zo te vervangen voor iets dat ECHTE schade kan aanrichten...

Ach,als ze zeggen dat het tijdelijk is dan is er toch weinig gevaar dat de VPSen gehackt worden.

[ Voor 13% gewijzigd door TeGek op 04-08-2011 19:02 ]

[Glewellyn]

Ik heb zojuist de hele thread doorgelezen, en het lijkt er wat mij betreft op dat de ING de body van hun loginpagina naar een externe partij stuurt zodat ze die kunnen controleren tegen hetgene dat het zou moeten zijn. Zitten er verschillen in de gePOSTe html en de controle html moet die code client-side gewijzigd zijn. Dat zou kunnen wijzen op phishing.

[GlowMouse]

TeGek schreef op donderdag 04 augustus 2011 @ 19:01:
net toch voor alle zekerheid een test scan gedaan met Metasploit, 12 exploits possible on 178.79.150.4.

lekker veilige VPS dus, outdated software waar 1 van de exploits zelfs een remote file inclusion is ,scriptje is dus mogelijk door een beetje slimme jongen zo te vervangen voor iets dat ECHTE schade kan aanrichten...

Ach,als ze zeggen dat het tijdelijk is dan is er toch weinig gevaar dat de VPSen gehackt worden.

Ik heb de ING net gesproken, en die zeiden dat die remote file inclusion een honeypot is

[Puch-Maxi]

frickY schreef op donderdag 04 augustus 2011 @ 17:09:
De [url="view-source:https://www.vsonicw.com/v4.0/33271/s0?em=https%3A//mijn.ing.nl&1=&2=0&A=ebc_ebc1961/ebc1961.asp/logonnpbs.co.ukybonline.co.ukonline.bankofamerica.com/cgi-bin/ias/accounts-overview..de/portal/portal/Home.do.hsbc.co.uk/1/2/personal/.halifax-online.co.uk/DisplayMyAccounts:viewMyAccountsnwolb.com/Statementsbanquepopulaire.fr/inversis.comwachovia.comibank.barclays.co.uk/loginTFA.domeine.deutsche-bank.de/trxm/db/itan.authorizationmijn.ing.nl/co-operativebank.co.uk/corp/BANKAWAYgbw.it.chase.com/MyAccountsbcp.ptmy.ebay.co.uk/ws/eBayISAPI.dll?MyEbayManageTAN&R=norisbank.de/.banking.firstdirect.com/1/2/banking.anz.commyspace.com/paypal.secure/arcot.royalbank.com/CapitalOne_Consumer//cmserver/verify.cfmmail.live.com/mailcapitalone.comEBC_EBC1961/EBC1961.ASP/logonbepp/sanpt/usuarios.nwolb.ogin.aspx?rbbva.esbbva.mobi.citizensbankonline.com.indexsampopank./.citibank.com/US/JPS/portal/Home.doasnbank.nl/sas-docs/js/verifyImage.js"]HTML [/url]die vanuit vsonicw.com terug komt bevat de title "at a glance banking".
Dit kan verwijzen naar SaveGarde, maar ook dat ziet er onbetrouwbaar uit.

@JorritJ
In Webdeveloper (Firefox) of Developer Tools (Chrome) kun je het volledige request en response zien.

De POST lijkt echter pas te gebeuren nadat de pagina opnieuw is geladen, niet zodra je de loginknop indrukt.

Dat maakt de verklaring van ING wat aannemelijker. nieuws: Beveiligingstest ING liet bezoekers denken dat site was geïnfecteerd toch is het raar.

[CodeCaster]

Glewellyn schreef op donderdag 04 augustus 2011 @ 19:01:
Ik heb zojuist de hele thread doorgelezen, en het lijkt er wat mij betreft op dat de ING de body van hun loginpagina naar een externe partij stuurt zodat ze die kunnen controleren tegen hetgene dat het zou moeten zijn. Zitten er verschillen in de gePOSTe html en de controle html moet die code client-side gewijzigd zijn. Dat zou kunnen wijzen op phishing.

Dan heb je niet het hele topic gelezen, want dat is exact wat ik zei.

[Tharulerz]

Glewellyn schreef op donderdag 04 augustus 2011 @ 19:01:
Ik heb zojuist de hele thread doorgelezen, en het lijkt er wat mij betreft op dat de ING de body van hun loginpagina naar een externe partij stuurt zodat ze die kunnen controleren tegen hetgene dat het zou moeten zijn. Zitten er verschillen in de gePOSTe html en de controle html moet die code client-side gewijzigd zijn. Dat zou kunnen wijzen op phishing.

De body van ING wordt niet doorgestuurd, de body van de iframe wordt doorgestuurd.

Het is een brak script, wat het enkel maar loucher maakt

[Glewellyn]

CodeCaster schreef op donderdag 04 augustus 2011 @ 19:07:
[...]

Dan heb je niet het hele topic gelezen, want dat is exact wat ik zei.

Jij zei het inderdaad eerst, en ik ben het met je eens

[frickY]

frickY schreef op donderdag 04 augustus 2011 @ 18:49:
Ik probeer soep te koken van die HTML die bij vsonicw.com vandaan komt, maar het slaat echt nergens op.
Het lijken allen kleine snippes vanaf bank-gerelateerde sites.

Tekst uit de HTML; To combat the threat of internet fraud and
Komt van www.hillside.org.nz
Dit lijkt een phishing site te zijn voor HSBC Internet Banking. Waarschijnlijk stond die tekst daar vroeger op.

Andere tekst: Where do I enter my Passcode?
Komt van Bank of America

Andere tekst; This table shows the current balance of all your accounts
Die werd ook gebruikt in SpyEye (de recente banking malware). Die tekst zal dus in één of ander groot online banking pakket gebruikt worden, kan alleen niet vinden welke.

Dit lijkt mijn vermoeden te bevestigen dat de HTML allerlei snippets van diverse banking-sites bevat. De javascript zal mogelijk testen of deze snippets ook daadwerkelijk aanwezig zijn, en daar wel/geen signaal van geven?

Glewellyn schreef op donderdag 04 augustus 2011 @ 19:01:
Ik heb zojuist de hele thread doorgelezen, en het lijkt er wat mij betreft op dat de ING de body van hun loginpagina naar een externe partij stuurt zodat ze die kunnen controleren tegen hetgene dat het zou moeten zijn. Zitten er verschillen in de gePOSTe html en de controle html moet die code client-side gewijzigd zijn. Dat zou kunnen wijzen op phishing.

Nogmaals, het is niet de body van ING die gesubmit wordt, maar de HTML die eerder vanaf vsonicw werd geladen.
Athans, in Chrome. In andere browsers reageert het javascript wellicht anders.

@Accesteam
Dat slaat inderdaad nergens op. Dan zou je een honeypot op de ing.nl server zelf verwachten. Niet ergens op een anoniem VPS-je.

[ Voor 41% gewijzigd door frickY op 04-08-2011 19:25 ]

[Accesteam]

Een honeypot klinkt niet eens zo gek gezien de omstandigheden... Maarja, waarom zou je als hacker in een externe VPS willen komen. Denk dat er op dit moment alleen Tweakers zijn die dat willen

offtopic:
Misschien wordt de eerste die in de VPS komt wel gerecruit als IT Security Analyst bij ING!

[Biersteker]

Webcare word gek bij de ING https://twitter.com/#!/INGnl_webcare.

offtopic:
t.net VPS competitie anyone

[Thralas]

Overigens een tip voor Firefoxgebruikers: gebruik RequestPolicy of NoScript. Al houdt dat niet alles tegen als men een site zou kunnen wijzigen.

[Compizfox]

Haha, ik probeerde net via Bit.ly een link te openen die verwijst naar een pagina op ing.nl en door Bitly wordt dat blijkbaar al tegengehouden omdat de site gerapporteerd is als phising

[frickY]

Als je de site zou submitten in Google Chrome zou hij zowel in de Google zoekresultaten, als in Chrome en overige browsers die gebruik maken van stopbadware.org, geflagged worden als malware.

Hele rare test.

[Brons]

Dit kan eigenlijk niet positief uitvallen voor ING. Als ze zijn gehackt zijn ze slecht bezig, als ze dit met opzet gedaan hebben lijkt het erop dat ze geen verstand van zaken hebben.

[JorritJ]

Fijn detail: vandaag ingelogd, morgen op vakantie.
Als mijn rekening leeg is, geblokkeerd is of mijn pas niet meer werkt stap ik direct over!

Ik ga nu niet echt rustig op vakantie!

[luukske21]

Brons schreef op donderdag 04 augustus 2011 @ 19:29:
Dit kan eigenlijk niet positief uitvallen voor ING. Als ze zijn gehackt zijn ze slecht bezig, als ze dit met opzet gedaan hebben lijkt het erop dat ze geen verstand van zaken hebben.

idd
precies wat ik zij in andere woorden <=]

[frickY]

Gezien de houding van ING zou ik lekker ontspannen, en er van uitgaan dat er niets aan de hand is.
ING kan zich nu niets anders permiteren.

Als er wel accountgegevens zijn gelekt blijft webcare Hakim niet verkondigen dat het allemaal klopt.

[ Voor 55% gewijzigd door frickY op 04-08-2011 19:33 ]

[Arietje]

Ik heb de bron er ook is even bij gepakt en ben naar primebyte.net/33271/papie.js gegaan. Daar zie je een regel JS code met eval() eromheen dus die wordt uitgevoerd. Die even in een leeg .html bestand en firebug er bij en je ziet hetzelfde als bij firebug @ ING, de POST naar vsonicw.

Als je dan in het eval scriptje de display:none; weghaalt zie je een iframe naar vsonicw met een idioot lange url met woorden als paypal ebay deutsche bank citibank etc.

Pak je daar de bron weer van en dan zie je die random bron en het POST scriptje.

code:

  var h = getHTTPObject();
  h.open("POST", "./s1", true);

Maar met de reactie van ING & dat er niets van jezelf verzonden lijkt te worden lijkt me er niets aan de hand. Heb net ingelogd en firebug erbij open gehad. Niets te zien verder.

Wel aparte actie natuurlijk..

[ Voor 7% gewijzigd door Arietje op 04-08-2011 20:15 . Reden: snap firebug ding al, bij tabje net ]

[Verwijderd]

Vreemde is als je een beetje rondzoekt je die papi scripts op een hele hoop door Linode gehoste sites tegenkomt; o.a.

https://www.polycache.com/18557/papi.js
https://www.primebyte.net/33272/papi.js
https://www.vsonicw.com/33272/papi.js

https://www.advanced-web-analytics.com/18557/splash.js -> verwijst naar een papi

Allemaal gebruikt op sites van verschillende banken, in Engeland, de VS en NL...

Lijkt op OF een hack OF een soort gecoordineerde actie tussen de banken, maar waarvoor precies is een raadsel.

[ Voor 17% gewijzigd door Verwijderd op 04-08-2011 20:36 ]

[Royz]

Waarom zou het een aparte actie zijn? Ik snap dat je normaal test op een test-omgeving, maar sommige processen zijn eenmaal alleen (goed) ingericht op een productieomgeving. Als de TS het niet had opgemerkt dan had er geen haan naar gekraaid. Had wel netjes geweest natuurlijk als er een berichtje bij had gestaan, maar ja volgens mij is er geen "News" mogelijkheid

ah, die staat er onder

[ Voor 4% gewijzigd door Royz op 04-08-2011 20:29 ]

[DaitoX]

Opera zegt nu ook dat er fraude is:
"Fraud Warning

This site has been reported as fraudulent. Exchanging sensitive or confidential information with this site could put you at risk for identity theft and/or financial fraud.

Opera Software strongly discourages visiting this page."

Wat een stel idioten bij ING. Iemand daar had toch moeten snappen dat dit imago schade gaat veroorzaken?

[ Voor 10% gewijzigd door DaitoX op 04-08-2011 20:28 ]

[DigiK-oz]

Hmmm, en als je met deze wetenschap nou een post naar vsonicw zou doen met net iets gewijzigde data? Denken ze dan gelijk dat ze wél echt gehacked zijn?

[Cloud]

Royz schreef op donderdag 04 augustus 2011 @ 20:27:
Waarom zou het een aparte actie zijn? Ik snap dat je normaal test op een test-omgeving, maar sommige processen zijn eenmaal alleen (goed) ingericht op een productieomgeving. Als de TS het niet had opgemerkt dan had er geen haan naar gekraaid. Had wel netjes geweest natuurlijk als er een berichtje bij had gestaan, maar ja volgens mij is er geen "News" mogelijkheid

Het lullige is dus dat verschillende safety scanners (bij gebrek aan een beter woord) zoals McAfee's Siteadvisor een waarschuwing gaven dat er iets mis was. En dat bij gebruikers die er de ballen verstand van hebben. Dat soort dingen wek je geen vertrouwen mee op als bank zijnde.

[mhindrik]

Ja verdomd ik zie nu ook dit stukje staan:

code:

<script type="text/javascript">(function() {var snippetID = '33271',host = 'www.primebyte.net',sn = document.createElement('script');sn.setAttribute('async', true);sn.setAttribute('type', 'text/javascript');sn.setAttribute('src', (document.location.protocol == 'https:' ? 'https:' : 'http:') + '//' + host + '/' + snippetID + '/' + 'papi.js');var s = document.getElementsByTagName('script')[0];s.parentNode.insertBefore(sn, s);})();</script>

Niet betalen met ING is het advies? Inloggen kan nochtans geen kwaad?

[Brons]

Royz schreef op donderdag 04 augustus 2011 @ 20:27:
Waarom zou het een aparte actie zijn? Ik snap dat je normaal test op een test-omgeving, maar sommige processen zijn eenmaal alleen (goed) ingericht op een productieomgeving. Als de TS het niet had opgemerkt dan had er geen haan naar gekraaid. Had wel netjes geweest natuurlijk als er een berichtje bij had gestaan, maar ja volgens mij is er geen "News" mogelijkheid

Wat dacht je van het feit dat je niet exclusief met de ING contact hebt tijdens het internetbankieren? Zijn niet alle anti-phishing, etc, campagnes gebaseerd op het controleren of je wel op de goede site zit en of er niemand je aan het afluisteren is? Dat is nu dus niet meer van toepassing omdat het blijkbaar normaal is dat je verbinding maakt met een willekeurig domein tijdens het internetbankieren.

[Arietje]

Cloud schreef op donderdag 04 augustus 2011 @ 20:30:
[...]

Het lullige is dus dat verschillende safety scanners (bij gebrek aan een beter woord) zoals McAfee's Siteadvisor een waarschuwing gaven dat er iets mis was. En dat bij gebruikers die er de ballen verstand van hebben. Dat soort dingen wek je geen vertrouwen mee op als bank zijnde.

Inderdaad, daarom is dit een aparte actie. Je gaat toch geen (schijnbaar) malware/spyware op een bank login zetten om maar wat in het rond te testen..

[Radiant]

DaitoX schreef op donderdag 04 augustus 2011 @ 20:27:
Opera zegt nu ook dat er fraude is:
"Fraud Warning

This site has been reported as fraudulent. Exchanging sensitive or confidential information with this site could put you at risk for identity theft and/or financial fraud.

Opera Software strongly discourages visiting this page."

Wat een stel idioten bij ING. Iemand daar had toch moeten snappen dat dit imago schade gaat veroorzaken?

Bij Opera bedoel je.. Zonder enige controle zomaar dingen als "fraudulent" markeren

[Accesteam]

Het advies is gewoon door te gaan met betaling d.m.v. Mijn ING (gegeven door ING zelf via Twitter en Tweakers). Lijkt er op dat dit een soort test is waar meerdere banken aan meedoen. Misschien om phishing bendes op te rollen o.i.d.

Ik vetrouw ING in ieder geval volledig met dit soort zaken, en het lijkt me niet dat we hier in een Tsjernobyl achtige situatie zitten.

[ Voor 25% gewijzigd door Accesteam op 04-08-2011 20:35 ]

[JFK104]

Even je wachtwoord wijzigen lukt ook niet....... vreemd

Just in case.

Straks nog maar even proberen....

[Royz]

[quote]Cloud schreef op donderdag 04 augustus 2011 @ 20:30:
[...]
NVM

[ Voor 82% gewijzigd door Royz op 05-08-2011 09:20 ]

[drdelta]

Ik vind het opvallend dat er in papi.js niet alleen bank specifieke code lijkt te zitten, deobfusted papi.js, maar ook 'vermeldingen' naar allerlei andere banken.

ASN Bank, eBay, Paypal, Citizens Bank, Deutsche Bank, Halifax, Royal Bank, etc.

[Voutloos]

Cloud schreef op donderdag 04 augustus 2011 @ 20:30:
[...]

Het lullige is dus dat verschillende safety scanners (bij gebrek aan een beter woord) zoals McAfee's Siteadvisor een waarschuwing gaven dat er iets mis was.

Dat is niet lullig, maar volkomen terecht en 100% het gedrag dat je van scanners verwacht en hoopt.


Overigens heb ik nog een belachelijk eenvoudige tip voor de ING voor betere veiligheid:
Maak wachtwoorden case sensitive. Je weet wel, zoals de rest vd wereld het doet.

[ Voor 18% gewijzigd door Voutloos op 04-08-2011 21:26 ]

[GlowMouse]

Voutloos schreef op donderdag 04 augustus 2011 @ 21:21:
[...]
Overigens heb ik nog een belachelijk eenvoudige tip voor de ING voor betere veiligheid:
Maak wachtwoorden case sensitive. Je weet wel, zoals de rest vd wereld het doet.

Dat wist ik helemaal niet, zit ik voor niks hoofdletters te typen elke keer

[Cave_Boy]

GlowMouse schreef op donderdag 04 augustus 2011 @ 21:45:
[...]

Dat wist ik helemaal niet, zit ik voor niks hoofdletters te typen elke keer

Ehm ik kom er anders niet in met mijn wachtwoord in kleine letters. Doe ik hem met de bijbehorende hoofdletters dan kom ik er wel in.

[GlowMouse]

Cave_Boy schreef op donderdag 04 augustus 2011 @ 21:48:
[...]


Ehm ik kom er anders niet in met mijn wachtwoord in kleine letters.

Ik vroeger volgens mij ook niet, maar nu maakt het niet meer uit welke letters ik klein en welke ik groot typ.

[gerbiepiep]

Ik ben geen 'code-checker', maar is de ING website nou veilig te gebruiken of niet?
Ik snap er zelf nou geen snars meer van namelijks.

[W1LL3M]

Mijn wachtwoord is ook niet case-sensitive blijkbaar, kan dus met meerdere combinaties inloggen.

Heb wel het script geblokkeerd met adblock plus, better safe than sorry!

[Voutloos]

Cave_Boy schreef op donderdag 04 augustus 2011 @ 21:48:
[...]
Ehm ik kom er anders niet in met mijn wachtwoord in kleine letters. Doe ik hem met de bijbehorende hoofdletters dan kom ik er wel in.

Voor dat leesteken dat je gebruikt moet je wel nog steeds shift indrukken he?

Zou wel wat vreemd zijn als het niet voor iedereen geldt. Zou het sinds kort case sensitive worden als je je pass wijzigt? Iemand die de site nog wel vertrouwt zou dat moeten testen.

[VantageR]

W1LL3M schreef op donderdag 04 augustus 2011 @ 21:56:
...
Heb wel het script geblokkeerd met adblock plus, better safe than sorry!

Moet je dan gewoon "www.primebyte.net" als filter toevoegen?

[ Voor 16% gewijzigd door VantageR op 04-08-2011 22:10 ]

[Soldaatje]

gerbiepiep schreef op donderdag 04 augustus 2011 @ 21:53:
Ik ben geen 'code-checker', maar is de ING website nou veilig te gebruiken of niet?
Ik snap er zelf nou geen snars meer van namelijks.

Ik zou er een nachtje over slapen...

[F.West98]

zit er bij mij niet meer in, dat script, zag bron, zag geen script en logde maar in...
Dus ik had geluk
nu weer terug namelijk, lette tijdens inloggen wel goed op, geen doorsturen oid...

[W1LL3M]

VantageR schreef op donderdag 04 augustus 2011 @ 22:09:
[...]

Moet je dan gewoon "www.primebyte.net" als filter toevoegen?

Ik heb *//www.primebyte.net/* toegevoegd, als je dan op de inlogpagina bij de blockable items kijkt zie je dat het script geblokkeerd wordt.

[VantageR]

Ok, het werkt. Thnx! Een extra filtertje kan nooit kwaad.

[frickY]

Voutloos schreef op donderdag 04 augustus 2011 @ 22:01:
[...]
Voor dat leesteken dat je gebruikt moet je wel nog steeds shift indrukken he?

Zou wel wat vreemd zijn als het niet voor iedereen geldt. Zou het sinds kort case sensitive worden als je je pass wijzigt? Iemand die de site nog wel vertrouwt zou dat moeten testen.

Nog leuker; Laatste keer dat ik mijn wachtwoord moest wijzigen heb ik van één van de letters een hoofdletter gemaakt. Die hoef ik bij het inloggen echter niet in hoofdletter te typen, dus uitendelijk is er niets veranderd bij het inloggen

Ik ben erg benieuwd of er nog een andere reactie vanuit ING komt, of dat het hierbij blijft. Vind het een wat karige uitleg namelijk.

[ Voor 9% gewijzigd door frickY op 04-08-2011 22:39 ]

[Osiris]

F.West98 schreef op donderdag 04 augustus 2011 @ 22:19:
zit er bij mij niet meer in, dat script, zag bron, zag geen script en logde maar in...
Dus ik had geluk
nu weer terug namelijk, lette tijdens inloggen wel goed op, geen doorsturen oid...

Knap, want hier zit het er nog gewoon in..

Ik snap werkelijk niet waarom zo'n bank nou zoiets zou flikken.. Lekker voor 't vertrouwen

[Mikayu]

frickY schreef op donderdag 04 augustus 2011 @ 22:39:
[...]

Nog leuker; Laatste keer dat ik mijn wachtwoord moest wijzigen heb ik van één van de letters een hoofdletter gemaakt. Die hoef ik bij het inloggen echter niet in hoofdletter te typen, dus uitendelijk is er niets veranderd bij het inloggen

Ik ben erg benieuwd of er nog een andere reactie vanuit ING komt, of dat het hierbij blijft. Vind het een wat karige uitleg namelijk.

Hee dat is wel een mooie tip man, ik werd al niet goed van die 'beveilging' dat je om de zoveel tijd je pass moet veranderen

[xxxneoxxx]

Raar verhaal, eveneens de verklaring vanuit ING.

Wel lullig als dit een wereldwijde actie tussen banken zou blijken om scammers mee te pakken, die vervolgens zo amateuristisch blijkt.

[Spacespider]

Mikayu schreef op donderdag 04 augustus 2011 @ 22:58:
[...]


Hee dat is wel een mooie tip man, ik werd al niet goed van die 'beveilging' dat je om de zoveel tijd je pass moet veranderen

Je wachtwoord aanpassen en later weer terug veranderen kan ook gewoon.

[Elvis56686]

Accesteam schreef op donderdag 04 augustus 2011 @ 20:34:
Het advies is gewoon door te gaan met betaling d.m.v. Mijn ING (gegeven door ING zelf via Twitter en Tweakers). Lijkt er op dat dit een soort test is waar meerdere banken aan meedoen. Misschien om phishing bendes op te rollen o.i.d.

Ik vetrouw ING in ieder geval volledig met dit soort zaken, en het lijkt me niet dat we hier in een Tsjernobyl achtige situatie zitten.

Geen idee waar jouw vertrouwen in ING vandaan komt maar ik zie het toch wat anders.

Mocht het verhaal van ING kloppen(wat me onwaarschijnlijk lijkt) dan nog is het een zeer dubieuze actie. Er wordt constant benadrukt dat je voorzichtig moet zijn met je login gegevens, nep emails etc en dan gaat de bank zelf onduidelijke javascript bestanden van een externe server op hun site zetten.

Als het verhaal van ING inderdaad klopt dan hadden ze op zijn minst een melding op de site moeten zetten met zoiets als "Er zijn berichten in het nieuws geweest waarin vermeld werd dat onze site gehackt zou zijn. Dit is echter niet het geval." Dat hebben ze niet gedaan en het javascript bestand staat nog steeds op de site. Ze hebben ook geen technische details verstrekt over het hoe en waarom van het bewuste script. Oftewel, er zijn meerdere redenen om aan te nemen dat er wel iets geks aan de hand is en geen enkele reden om het normaal te vinden dat dat script op mijn.ing.nl wordt aangeroepen.

Het blijft een vreemd verhaal en zoals anderen al gemeld hebben wordt mijn.ing.nl door diverse plugins/sites al als geïnfecteerd gezien. Dat kan nooit positieve publiciteit zijn, ik zie niet hoe ze hier een positieve draai aan zouden kunnen geven.

[terror538]

wat mij veel erger lijkt in het geval dat dit gewoon een legitieme actie van de ING was is dat er nu zonder dit te melden aan de gebruikers enorm veel gegevens naar de andere kant van de oceaan gepompt zijn, waar toch compleet andere wetgeving geldt met betrekking tot privacy.

Nou zal het allemaal wel met een sisser aflopen, maar het is compleet gestoord te noemen dat een bank waarvan men verwacht dat deze zich aan nederlands/europees recht houdt (wat strenger is qua privacy en gegevensbescherming) zomaar, zonder melding vooraf of kans dit te blokkeren, gegevens gaat pompen naar een staat die wat dit betreft bijna een bananen reppubliek te noemen is

[mrc4nl]

voor de zekerheid het script geblokkerd, je kan nooit te voorzichtig zijn

[Accesteam]

@ Elvis

Ze hadden al in een officiële reactie tegenover Wilbert aangegeven dat ze bendes niet nog meer (quote: "We willen criminelen niet wijzer maken dan ze al zijn.") informatie wilde geven dan ze nu al hadden. Lijkt me dus dat ze blijkbaar een reden hebben om dit 'nieuws' zo stil mogelijk te houden, waar we waarschijnlijk binnenkort wel meer informatie over krijgen. Bovendien doen hier blijkbaar meerdere banken aan mee.

Maar je denkt toch niet serieus dat de ING bank hier met je rekeningen/gegevens speelt? Daarop vertrouw ik de ING absoluut.

Maar goed, we zullen zien met wat voor excuus ze komen. Ik ben in ieder geval erg benieuwd

[Verwijderd]

Accesteam schreef op vrijdag 05 augustus 2011 @ 00:06:
Maar je denkt toch niet serieus dat de ING bank hier met je rekeningen/gegevens speelt? Daarop vertrouw ik de ING absoluut.

Dat doen ze dus wel wanneer ze 3rd party scripts laden. Phishing haven wanneer die VPSjes gehacked zouden worden (met of zonder hulp van binnenuit). Dit is gewoon keihard een veiligheidsrisico laten voortbestaan. Zou 't willen classificeren als roekeloos.

[whyz]

Hmm, sinds gisteren dus ook deze link op mijn ing 4 augustus - Veiligheidsnieuws Mijn ING

[pjottum]

whyz schreef op vrijdag 05 augustus 2011 @ 07:17:
Hmm, sinds gisteren dus ook deze link op mijn ing 4 augustus - Veiligheidsnieuws Mijn ING

Goeie site.
Je kan een filmpje zien van een ex-internet crimineel die op zijn -oude- macbook in de lucht aan het fraggen is. Met reden, want hij gebruikt de touchpad daarvoor.

Afijn. Uitgezet.

[maxxware]

De ING heeft zich gediskwalificeerd als internetbank. Wanneer de dit advies geeft aan een klant... Te gek voor woorden. http://twitter.com/#!/INGnl_webcare/status/99171201942945792

[maxxware]

Accesteam schreef op vrijdag 05 augustus 2011 @ 00:06:
...Maar je denkt toch niet serieus dat de ING bank hier met je rekeningen/gegevens speelt? Daarop vertrouw ik de ING absoluut...

Een bank die vraagt om per (Twitter) DM je rekeningnr, geboortedatum en adres te sturen is niet te vertrouwen. Dan toon je aan geen benul te hebben van de risico's van Internet(bankieren).

[SilencerNL]

Wat ik nou ineens in mijn mailbox vind... Toeval? Of zou iemand misbruik willen maken van deze 'situatie'?

Geachte klant,
Er vinden momenteel technische werkzaamheden plaats bij de afdeling Internet Bankieren van de ING bank. Het betreft hier de installatie van de nieuwe beveiligings software voor 2011. Met deze vernieuwing willen wij voor u het internet bankieren nog beter en veiliger maken, zodat u in de toekomst nog beter en vooral zorgenloos gebruik kunt maken van al onze diensten. Om deze installatie succesvol te laten verlopen dient u via onderstaande link uw gegevens te bevestigen.
U kunt hier inloggen http://ingonline.yardimsever.com/ met gebruikersnaam enpaswoord. Na de bevestiging van uw gegevens zal er een automatische update plaatsvinden in ons systeem en zult u zo spoedig mogelijk telefonisch worden benaderd door een van onze medewerkers om de update succesvol af te ronden. Wij danken u vriendelijk voor uw tijd en uw medewerking.
Met vriendelijke groet,
ING bank, afdeling Internet Bankieren

[samo]

SilencerNL schreef op vrijdag 05 augustus 2011 @ 08:22:
Wat ik nou ineens in mijn mailbox vind... Toeval? Of zou iemand misbruik willen maken van deze 'situatie'?

[...]

Die mail ben ik al vaker tegen gekomen, al weken geleden. Viel me op door het weing aantal taal- en spelfouten er in.

[Henk007]

Wel typisch dat die site nog online is dan..
whois wijst naar Istanbul. Voor de zekerheid nog maar een mail naar abuse@domein gestuurd, heeft waarschijnlijk geen zin.

[ Voor 63% gewijzigd door Henk007 op 05-08-2011 08:36 ]

[Loen]

maxxware schreef op vrijdag 05 augustus 2011 @ 08:19:
[...]


Een bank die vraagt om per (Twitter) DM je rekeningnr, geboortedatum en adres te sturen is niet te vertrouwen. Dan toon je aan geen benul te hebben van de risico's van Internet(bankieren).

Kom op dude.... Het gaat om het versturen van een nieuw pasje.... Ook al is hij niet wie die zegt dat ie is, alleen als het de postbode is kan dat eventueel fout gaan, maar die weet als het goed is nooit wanneer wie een nieuw pasje aan vraagt...

Trollen op een bank kan ook te ver gaan...

[Verwijderd]

http://www.security.nl/ar...G_veroorzaakt_paniek.html

[frickY]

Osiris schreef op donderdag 04 augustus 2011 @ 22:46:
Ik snap werkelijk niet waarom zo'n bank nou zoiets zou flikken.. Lekker voor 't vertrouwen

De verklaring is altijd; "Voor het gebruikersgemak".
Dat was het ook toen ze introduceerde dat je zowel je gebruikersnaam als je wachtwoord met een druk op de knop per SMS kunt ontvangen, en je dus eigenlijk nooit meer je portomonee en je telefoon bij elkaar kunt bewaren; Men ontvangt dan eenvoudig je logingegevens en de benodigde TAN-codes.

terror538 schreef op vrijdag 05 augustus 2011 @ 00:02:
wat mij veel erger lijkt in het geval dat dit gewoon een legitieme actie van de ING was is dat er nu zonder dit te melden aan de gebruikers enorm veel gegevens naar de andere kant van de oceaan gepompt zijn, waar toch compleet andere wetgeving geldt met betrekking tot privacy.

Hou daar nou mee op. Er zijn geen gegevens van de gebruiker verzamelt met de bewuste scripts

nehru schreef op vrijdag 05 augustus 2011 @ 08:29:
[Kom op dude.... Het gaat om het versturen van een nieuw pasje.... Ook al is hij niet wie die zegt dat ie is, alleen als het de postbode is kan dat eventueel fout gaan, maar die weet als het goed is nooit wanneer wie een nieuw pasje aan vraagt...

Met het rekeningnummer, geboortedatum en adres kan een derde zich als de rekeninghouder voordoen, en bijvoorbeeld een nieuw wachtwoord proberen aan te vragen.

[Wolly]

frickY schreef op vrijdag 05 augustus 2011 @ 08:45:
Met het rekeningnummer, geboortedatum en adres kan een derde zich als de rekeninghouder voordoen, en bijvoorbeeld een nieuw wachtwoord proberen aan te vragen.

Ja, je kan van alles proberen maar zolang er geen user is die een Twitter opduikelt van ING webcare waarin ze een nieuw wachtwoord sturen is dat niet relevant.

Niets aan de hand dus.

[Cloud]

Voutloos schreef op donderdag 04 augustus 2011 @ 21:21:
[...]
Dat is niet lullig, maar volkomen terecht en 100% het gedrag dat je van scanners verwacht en hoopt.

Ik heb geen problemen met die scanners hoor Natuurlijk zou elke scanner alarm moeten slaan op dit soort praktijken. Daarom is het ook zo dom dat áls dit een beveiligingstest was, men dat op de productieomgeving gedaan heeft. Daardoor kregen allerlei klanten 'onterecht' beveiligingswaarschuwingen en dat is oliedom als bank zijnde. Mijn 'lullig' was meer gericht op het feit dat dit een flink nadelige bijwerking was van een beveiligingstest.

[Royz]

whyz schreef op vrijdag 05 augustus 2011 @ 07:17:
Hmm, sinds gisteren dus ook deze link op mijn ing 4 augustus - Veiligheidsnieuws Mijn ING

En nu staat ie op 5 augustus!

[Reptile209]

Nu heb je natuurlijk het risico dat als je nu als bank zegt: "carry on, nothing to see here", dat klanten bij een volgende - misschien terechte waarschuwing - van hun scanner denken: oh, 't zal wel weer een test zijn. Lekker handig .

[Bastien]

Royz schreef op vrijdag 05 augustus 2011 @ 09:03:
[...]

En nu staat ie op 5 augustus!

En morgen op 6 augustus en zondag op 7 augustus... die datum zegt helemaal niets. Ook wel jammer aangezien ik er dus nooit (meer) op klik omdat het toch automatisch gegenereerd is en ik geen behoefte heb telkens dezelfde info te zien. Ze kunnen beter die datum alleen wijzigen als de onderliggende info ook aangepast/nieuw is.

[W1LL3M]

Om nog even terug te komen op de niet case-sensitive wachtwoorden:

De beste en veiligste manier om de wachtwoorden van duizenden klanten op te slaan is om deze te hashen met een unieke salt per user (bijvoorbeeld salt=rekeningnummer).

Als ze nu de hash van het wachtwoord opslaan dan doen ze dat dus van de upper- of lowercase versie, elke variatie van je wachtwoord geeft je namelijk gewoon toegang.

Elke paar maanden moet je je wachtwoord wijzigen, en als je een letter wisselt van of naar hoofdletter dan accepteerd ie wel de wijziging, maar kun je dus nog met je oude wachtwoord inloggen (zelf niet geprobeerd, maar dat werd in dit topic gemeld, de eerst volgende keer ga ik het proberen)

Aangezien het "nieuwe" wachtwoord in dit geval dezelfde hash zou opleveren, en je "nieuwe" wachtwoord (met dezelfde uppercase waarde als je oude) dus niet geaccepteerd zou mogen worden, lijkt het me dat de wachtwoorden niet gehasht opgeslagen zijn. (of zie ik nu iets over het hoofd?)

Nu kunnen ze het wachtwoord natuurlijk wel encrypten, zodat de wachtwoorden ook weer op te vragen zijn met de juiste key, maar dat lijkt me voor een bank toch niet de meest veilige methode. Maarja, de meest veilige methode zou ten eerste al case-sensitive wachtwoorden gebruiken, dus ga er maar niet vanuit dat de ING dat nastreeft. Plain-text is natuurlijk ook een mogelijkheid...

[Wolly]

W1LL3M schreef op vrijdag 05 augustus 2011 @ 10:15:
Om nog even terug te komen op de niet case-sensitive wachtwoorden:

De beste en veiligste manier om de wachtwoorden van duizenden klanten op te slaan is om deze te hashen met een unieke salt per user (bijvoorbeeld salt=rekeningnummer).

Als ze nu de hash van het wachtwoord opslaan dan doen ze dat dus van de upper- of lowercase versie, elke variatie van je wachtwoord geeft je namelijk gewoon toegang.

Elke paar maanden moet je je wachtwoord wijzigen, en als je een letter wisselt van of naar hoofdletter dan accepteerd ie wel de wijziging, maar kun je dus nog met je oude wachtwoord inloggen (zelf niet geprobeerd, maar dat werd in dit topic gemeld, de eerst volgende keer ga ik het proberen)

Aangezien het "nieuwe" wachtwoord in dit geval dezelfde hash zou opleveren, en je "nieuwe" wachtwoord (met dezelfde uppercase waarde als je oude) dus niet geaccepteerd zou mogen worden, lijkt het me dat de wachtwoorden niet gehasht opgeslagen zijn. (of zie ik nu iets over het hoofd?)

Nu kunnen ze het wachtwoord natuurlijk wel encrypten, zodat de wachtwoorden ook weer op te vragen zijn met de juiste key, maar dat lijkt me voor een bank toch niet de meest veilige methode. Maarja, de meest veilige methode zou ten eerste al case-sensitive wachtwoorden gebruiken, dus ga er maar niet vanuit dat de ING dat nastreeft. Plain-text is natuurlijk ook een mogelijkheid...

De salt kan toch bij elke wijziging opnieuw @random worden gegenereerd en opgeslagen, waarom zou je die niet wijzigen? Salt en hash in de database en je bent klaar.

[Henk007]

@Wolly: de vraag was waarom één caseverandering wel wordt geaccepteerd bij de passwordchange.

De enige verklaring behalve plaintext opslag zou kunnen zijn dat bij het wachtwoord veranderen er een hash van het wachtwoord zelf wordt gemaakt (inclusief lower-uppercases) en die wordt vergeleken met de opgeslagen hash. Vervolgens wordt de hash van LowerCase(password) opgeslagen. (die dus gelijk is aan het vorige.

[ Voor 13% gewijzigd door Henk007 op 05-08-2011 10:26 ]

[W1LL3M]

Wolly schreef op vrijdag 05 augustus 2011 @ 10:22:
[...]
De salt kan toch bij elke wijziging opnieuw @random worden gegenereerd en opgeslagen, waarom zou je die niet wijzigen? Salt en hash in de database en je bent klaar.

Dat kan, maar dat verandert niets aan mijn stelling...

[W1LL3M]

Henk007 schreef op vrijdag 05 augustus 2011 @ 10:24:
@Wolly: de vraag was waarom één caseverandering wel wordt geaccepteerd bij de passwordchange.

De enige verklaring behalve plaintext opslag zou kunnen zijn dat bij het wachtwoord veranderen er een hash van het wachtwoord zelf wordt gemaakt (inclusief lower-uppercases) en die wordt vergeleken met de opgeslagen hash. Vervolgens wordt de hash van LowerCase(password) opgeslagen. (die dus gelijk is aan het vorige.

Dan zouden er twee hashes opgeslagen moeten worden, 1xcase-sensitive en 1x case-insensitive, lijkt me niet ideaal omdat dit extra mogelijkheden kan bieden om de hash te kraken.

[Robtimus]

Opmerkelijk genoeg is de username wel case sensitive.

[Cloud]

Het feit dat het wachtwoord niet case-sensitive is (althans meestal?) is nog wel de grootste WTF van de ING. Dat valt gewoon niet goed te praten. Je logt al in zonder extra token validatie (zoals een random reader) en dan ook nog eens met een wachtwoord dat geen hoofdletters vereist.

Ik hoop toch echt dat de ING dat eens snel aanpast, want dat kan eigenlijk gewoon niet. Misschien dat ze er al mee bezig zijn, omdat sommige mensen al wel hoofdletters moeten gebruiken? Maar wat mij betreft gooien ze er meteen ook een token validatie tegen aan, om het af te maken.

[Osiris]

Cloud schreef op vrijdag 05 augustus 2011 @ 11:36:
Het feit dat het wachtwoord niet case-sensitive is (althans meestal?) is nog wel de grootste WTF van de ING. Dat valt gewoon niet goed te praten. Je logt al in zonder extra token validatie (zoals een random reader) en dan ook nog eens met een wachtwoord dat geen hoofdletters vereist.

Ik hoop toch echt dat de ING dat eens snel aanpast, want dat kan eigenlijk gewoon niet. Misschien dat ze er al mee bezig zijn, omdat sommige mensen al wel hoofdletters moeten gebruiken? Maar wat mij betreft gooien ze er meteen ook een token validatie tegen aan, om het af te maken.

Die hádden ze, maar toen de Postbank over is gegaan in de ING werd dat afgeschaft en is overgestapt op username + password

IMO zou een bank als de ING zich ook meer moeten concenteren op veiligheid en zich niet blindstaren op 'gebruikersgemak'.

[Matis]

Cloud schreef op vrijdag 05 augustus 2011 @ 11:36:
Het feit dat het wachtwoord niet case-sensitive is (althans meestal?) is nog wel de grootste WTF van de ING. Dat valt gewoon niet goed te praten. Je logt al in zonder extra token validatie (zoals een random reader) en dan ook nog eens met een wachtwoord dat geen hoofdletters vereist.

Dat vind ik ook erg vreemd, heb er al een keer over geklaagd bij de ING en kreeg eenzelfde reactie als Osiris aangeeft.

Ik hoop toch echt dat de ING dat eens snel aanpast, want dat kan eigenlijk gewoon niet. Misschien dat ze er al mee bezig zijn, omdat sommige mensen al wel hoofdletters moeten gebruiken? Maar wat mij betreft gooien ze er meteen ook een token validatie tegen aan, om het af te maken.

Ik geen token validatie bij het inloggen van MijnING. Een TAN-code per sms bij een mutatie op de rekening vind ik prima, maar niet bij het inloggen.