Marktplaats fraude via Ideal, hoe verder?

[Flaat]

Beste Tweakers,

Mijn vriendin is dit weekend slachtoffer geworden van een marktplaats fraude. Een gehaaide kerel heeft haar 1 cent laten overmaken om te verifiëren dat het ons account is. Die Ideal link was echter helemaal geen 1 cent maar een flink bedrag naar Stichting derdengelden targetmedia, via hun site en hulp kwam ik erachter dat de scammer 4x100 dollar Playstation Network kaarten moet hebben gekocht via http://livekaarten.nl/. Hierbij lijkt het erop dat de PSN kaarten een anonimiserings service bied aan scammers. IDeal betalingen zijn helaas niet terug te draaien volgens ABN-AMRO dus moeten we op een andere manier achter het geld aan.

Het volgende heb ik al gedaan

• Aangifte afspraak gemaakt (donderdag avond was de eerste optie)
• Melding gemaakt via https://www.fraudehelpdesk.nl/

Ze heeft een domme fout begaan door die link te vertrouwen, daar kunnen we duidelijk over zijn. Dit was al later op de avond en normaal is ze echt scherp met dit soort zaken. Maar mijns inziens maken PSN en ABN dit type fraude wel heel makkelijk door de service die ze bieden. Ik zal dit verder uitleggen

ABN-AMRO heeft geen systeem om een 2 factor authenticatie het bedrag te laten checken, zover ik het kan zien kan dit type foute Ideal link helemaal niet als ze, zoals ik, Rabobank zou hebben door de random scanner die daarbij het werkelijke bedrag laat zien. Meldingen van dit type fraude kan ik al sinds 2015 vinden op het internet na een korte zoekactie. Het feit dat ABN hier niks aan doet vind ik eerlijk gezegd nalatig.

PSN bied hier een veel te goed systeem met de kaarten om het geld anoniem naar een andere currency om te zetten die niet traceerbaar is, ze claimen er niks mee te kunnen ieg.

De vraag is dus, heeft iemand hier ervaring met dit type fraude en hoe je het geld terug kan krijgen?

[Tremio]

Kan je uitleggen hoe ze dat heeft gedaan? Je ziet toch altijd het bedrag staan? Of is dit een nieuwe vorm van oplichting?

[GoldenBatt]

Wacht, je gaat mij iets te snel met de conclusie trekken dat ze PSN kaarten gekocht zouden hebben, specifiek bij die website? Hoe trek je die conclusie?

Daarbij PSN doet gewoon netjes hun werk. Zij bieden een dienst voor online gaming aan, en het kopen van spelletjes. Daar kun je gewoon te goedbonnen voor kopen, net al voor de xbox, of opwaardeer kaarten voor simkaartjes bijv. Die kunnen weinig met jouwn melding want zij kunnen niet controleren of het echt om fraude gaat.

Als ik nu PSN bel, met het rekening nummer van een vriend van me en roep dat hij tegoed heeft gekocht met geld wat ik hem verkeerd heb overgemaakt zullen zij niks doen. Hoe moeten hun weten of het echt gaat om fraude, of dat ik gewoon een "grapje" uithaal, of hem wil pesten? Laat staan dat ze mij het geld zouden gaan overmaken. Die zouden hartstikke gek zijn

Ik heb zelf geen ervaring met ABN, maar als ik even op internet zoek zie ik het volgende van ABN Internet bankieren 2017 (bron hun eigen twitter, en google die een afbeelding van tweakers haalt)



Zowel met ideal betalingen via de mobiele app, als via internet bankieren staat er netjes het bedrag bij. Dat zelfde heb ik ook met de ING en Rabo. Dat is gewoon een kwestie van zelf opletten voor je zo maar geld overschrijft

Lijkt me stug dat ze dit helemaal niet tonen als jij wat betaald via I-Deal? Dat je verder slechte klanten ondersteuning hebt bij I-Deal was verder al wel langer bekent helaas...

[anboni]

Heb je de link nog die je vriendin heeft gebruikt om mee te betalen? Normaal gesproken staat in het bevestigingsscherm altijd het juiste bedrag weergegeven. Als deze oplichter daar op een of andere manier andere bedragen in heeft weten in te vullen, dan is de bank wellicht wel geinteresseerd in de gebruikte methode.

[jeroen3]

Stichting derdengelden targetmedia, dus...

[P_Tingen]

Doe eens een screenshot van die 1-cent Ideal link?

[Flaat]

GoldenBatt schreef op maandag 8 januari 2018 @ 12:57:
Wacht, je gaat mij iets te snel met de conclusie trekken dat ze PSN kaarten gekocht zouden hebben, specifiek bij die website? Hoe trek je die conclusie?

Als ik nu PSN bel, met het rekening nummer van een vriend van me en roep dat hij tegoed heeft gekocht met geld wat ik hem verkeerd heb overgemaakt zullen zij niks doen. Hoe moeten hun weten of het echt gaat om fraude, of dat ik gewoon een "grapje" uithaal, of hem wil pesten? Laat staan dat ze mij het geld zouden gaan overmaken. Die zouden hartstikke gek zijn

Ik geloof dat je het niet helemaal begrijpt, de afschrijving ging niet naar de scammer, de scammer heeft direct met die ideal transactie PSN kaarten op die website gekocht en waarschijnlijk naar zijn mailadres laten mailen. Dat kan ik zien omdat Targetmedia daarvoor een website heeft. https://www.targetsupport.nl/consumer


Ik zal zo even een screenshot plaatsen om te laten zien hoe het werkt, let wel, als je eenmaal weet dat het een scam is is het heel erg duidelijk. Alle knoppen doen het bv niet behalve betalen. Je moet het zien als iemand die om 23:45 nog ff snel het laatste ding voor bed wil afhandelen en in ongeduld het invult. Dom, maar zwakke momenten hebben we allemaal wel eens.


ABN heeft net het geld voorlopig, in afwachting van onderzoek, teruggestort vergoed. Dus wat dat betreft zit het goed, ben alsnog met stomheid geslagen dat het zo makkelijk gaat hoor. En wil dit wel verder uitzoeken.

[emnich]

Ik ben eigenlijk met stomheid geslagen dat de ABNAMRO het geld terug stort.

Je vriendin heeft het geld toch gewoon overgemaakt?

Wat vind je zo gek dat hier is gebeurd en hoe zou dat voorkomen moeten worden volgens jou?

[Arunia]

Wat @emnich ook zegt. De bank mag het geld helemaal niet terugstorten. Dit omdat ze zelf de overschrijving middels iDeal heeft gedaan. Maar goed, ze zullen hun reden er wel voor hebben om het tijdelijk te doen. Mocht er uit het onderzoek niets komen of niet voldoende komen, dan ben je het geld alsnog verschuldigd.

Wellicht dat de scammers een API gebruiken van iDeal (als dat al kan) waardoor je niet de juiste informatie krijgt, maar als ik betaal wordt ik altijd doorgezet naar de app of site van mijn bank (ING) en daar krijg ik de juiste gegevens te zien.

[SinergyX]

Arunia schreef op maandag 8 januari 2018 @ 15:13:
Wat @emnich ook zegt. De bank mag het geld helemaal niet terugstorten. Dit omdat ze zelf de overschrijving middels iDeal heeft gedaan. Maar goed, ze zullen hun reden er wel voor hebben om het tijdelijk te doen. Mocht er uit het onderzoek niets komen of niet voldoende komen, dan ben je het geld alsnog verschuldigd.

Ze storten niets 'terug', ze storten dat geld tijdelijk op haar rekening tot onderzoek is afgelopen. Bij creditcards wordt dit meestal gedaan uit een 'schadepotje', kan best zijn dat banken dit ook op betaalrekeningen aanbieden.

Net als recent bij die Bunq (of knab?) zaak, de app was te simpel in enige vorm van veiligheid en die mensen hebben hun geld ook gewoon teruggekregen, de bank gaat vervolgens achter z'n geld aan.

Als die oplichter het slim speelt, kan hij met de PSN tegoed nog eens extra oplichten en z'n geld bijna verdubbelen, lucratieve business

[Verwijderd]

Ik snap van dit hele verhaal niets. Ten eerste krijg je, bij elke bank, altijd gewoon de bedragen te zien. Een ideal betaling zonder dat de betaler het bedrag gezien heeft, kan gewoon niet.

Verder kun je ook niet ideal betalingen zomaar doorschuiven. Dus ik kan niet een ideal betaling maken voor jou, en dan die gebruiken voor een website ofzo. Dat is quats.

Wat natuurlijk wél kan, is dat je een ideal-betaallink van een website naar iemand anders doorstuurt. Maar dan is het geen marktplaats-ideal betaling, en dan nog krijgt de betaler het bedrag te zien.

Dit:

geloof dat je het niet helemaal begrijpt, de afschrijving ging niet naar de scammer, de scammer heeft direct met die ideal transactie PSN kaarten op die website gekocht

KAN dus domweg helemaal niet.

[Flaat]

Klopt, er is inderdaad niks vergoed, maar is onze schade terug betaald.

Verwijderd schreef op maandag 8 januari 2018 @ 15:26:
Ik snap van dit hele verhaal niets. Ten eerste krijg je, bij elke bank, altijd gewoon de bedragen te zien. Een ideal betaling zonder dat de betaler het bedrag gezien heeft, kan gewoon niet.

Verder kun je ook niet ideal betalingen zomaar doorschuiven. Dus ik kan niet een ideal betaling maken voor jou, en dan die gebruiken voor een website ofzo. Dat is quats.

Wat natuurlijk wél kan, is dat je een ideal-betaallink van een website naar iemand anders doorstuurt. Maar dan is het geen marktplaats-ideal betaling, en dan nog krijgt de betaler het bedrag te zien.

Dit:

[...]

KAN dus domweg helemaal niet.

Whatever, hier wordt duidelijk door gezeurd over hetzelfde, de claim dat het niet kan is nutteloos voor de discussie, want het is namelijk gebeurd. Ik zal het nog 1 keer uitleggen

Link gaat naar een neppe Ideal website, waar je een 1 cent transactie ziet, je voert vervolgens je rekening en pasnummer in en voert de betaal code in met je random reader. De echte transactie staat waarschijnlijk ergens op de achtergrond of via een service en die voert die gegevens in bij de Ideal betaling op een website. De je betaald dus niet 1 cent naar iemand maar honderden euroś naar een aankoop.

Wat hier duidelijk fout gaat is dat er geen confirmatie is van het bedrag dat overgemaakt wordt buiten de browser, zoals wel bij de Rabobank random scanner gebeurt. Zoals hier te zien

[Groentjuh]

@Verwijderd, ik denk dat de scammer gewoon een iDeal link naar de betaalpagina van livekaarten.nl heeft gestuurd. Hij had daar die 4 x 100 euro PSN als bestelling klaar gezet en de iDeal-link naar de vriendin van de TS.

De vriendin kreeg zoals GoldenBatt liet zien gewoon het bedrag te zien, maar lette daar niet op. (Was laat; Moest snel; etc etc) en heeft betaald.

Livekaarten kreeg betaald en stuurde de PSN tegoedkaarten naar de scammer.

De vriendin van de TS moet gewoon leren kijken naar de belangrijke gegevens zoals bedrag en waar het geld naartoe gaat. Dan was er niets gebeurd. Ik hoop dat de vriendin van de TS het geld van ABN AMRO mag houden, anders is het een dure les om zorgvuldig met iDeal om te gaan.

[Flaat]

Groentjuh schreef op maandag 8 januari 2018 @ 15:36:
@Verwijderd, ik denk dat de scammer gewoon een iDeal link naar de betaalpagina van livekaarten.nl heeft gestuurd. Hij had daar die 4 x 100 euro PSN als bestelling klaar gezet en de iDeal-link naar de vriendin van de TS.

De vriendin kreeg zoals GoldenBatt liet zien gewoon het bedrag te zien, maar lette daar niet op. (Was laat; Moest snel; etc etc) en heeft betaald.

Livekaarten kreeg betaald en stuurde de PSN tegoedkaarten naar de scammer.

De vriendin van de TS moet gewoon leren kijken naar de belangrijke gegevens zoals bedrag en waar het geld naartoe gaat. Dan was er niets gebeurd. Ik hoop dat de vriendin van de TS het geld van ABN AMRO mag houden, anders is het een dure les om zorgvuldig met iDeal om te gaan.

Nogmaals, er stond duidelijk 1 cent, niet een ander bedrag, na confirmatie was er een error message, daarna een flink bedrag van de rekening af.

[Verwijderd]

Flaat schreef op maandag 8 januari 2018 @ 15:35:
Whatever, hier wordt duidelijk door gezeurd over hetzelfde, de claim dat het niet kan is nutteloos voor de discussie, want het is namelijk gebeurd. Ik zal het nog 1 keer uitleggen

Je kunt uitleggen wat je wil, maar het is bullshit.

Link gaat naar een neppe Ideal website, waar je een 1 cent transactie ziet, je voert vervolgens je rekening en pasnummer in en voert de betaal code in met je random reader. De echte transactie staat waarschijnlijk ergens op de achtergrond of via een service en die voert die gegevens in bij de Ideal betaling op een website. De je betaald dus niet 1 cent naar iemand maar honderden euroś naar een aankoop.

Dit kan gewoon niet. Het eerste deel wel natuurlijk. Iemand kan een nep ideal-betaling-frontje maken. Maar tijdens de betaling zelf zie je altijd het bedrag. Ook bij de ABN.

[Groentjuh]

Flaat schreef op maandag 8 januari 2018 @ 15:37:
[...]


Nogmaals, er stond duidelijk 1 cent, niet een ander bedrag, na confirmatie was er een error message, daarna een flink bedrag van de rekening af.

Oh, dan zat er dus een men-in-the-middle pagina tussen, die het een en ander aan het afschermen was.

Verwijderd schreef op maandag 8 januari 2018 @ 15:38:
[...]


Je kunt uitleggen wat je wil, maar het is bullshit.


[...]


Dit kan gewoon niet. Het eerste deel wel natuurlijk. Iemand kan een nep ideal-betaling-frontje maken. Maar tijdens de betaling zelf zie je altijd het bedrag. Ook bij de ABN.

Nee, bedrag zie je niet op de reader tenzij je hem via USB koppelt. De webpagina zelf kan je door men-in-the middle te spelen natuurlijk aanpassen om 1 cent te tonen.

Bij dat soort complexe oplichting stelt ABN AMRO inderdaad soms schadeloos.

[ Voor 24% gewijzigd door Groentjuh op 08-01-2018 15:43 ]

[TDB]

ben toch benieuwd naar de link / screenshots.

[Brummetje]

Verwijderd schreef op maandag 8 januari 2018 @ 15:38:
[...]


Je kunt uitleggen wat je wil, maar het is bullshit.


[...]


Dit kan gewoon niet. Het eerste deel wel natuurlijk. Iemand kan een nep ideal-betaling-frontje maken. Maar tijdens de betaling zelf zie je altijd het bedrag. Ook bij de ABN.

Je snapt het niet

Het scherm wat de vriendin kreeg was nep. Alles wat zij daar heeft invoert is op de achtergrond verstuurd naar de scammer en deze heeft de toegangscodes gebruikt om in te loggen via haar iDeal en een betaling gedaan.

[CodeIT]

Verwijderd schreef op maandag 8 januari 2018 @ 15:38:
[...]


Je kunt uitleggen wat je wil, maar het is bullshit.


[...]


Dit kan gewoon niet. Het eerste deel wel natuurlijk. Iemand kan een nep ideal-betaling-frontje maken. Maar tijdens de betaling zelf zie je altijd het bedrag. Ook bij de ABN.

Je ziet zelf echter niet het echte betaalscherm van ABN.
Scammer zet op zijn pc de Ideal betaling klaar. Stuurt jou een link naar 'zijn' nepsite. Daar staat dezelfde code als de scammer ziet. Jij bevestigt die betaling met je random reader en voert de code in op de nepsite. Scammer krijgt die code doorgestuurd en voert die in het originele betaalscherm in. Jij krijgt een foutmelding oid op de nepsite terwijl het geld wel van je rekening is.

[emnich]

Flaat schreef op maandag 8 januari 2018 @ 15:35:
Klopt, er is inderdaad niks vergoed, maar is onze schade terug betaald.


[...]


Whatever, hier wordt duidelijk door gezeurd over hetzelfde, de claim dat het niet kan is nutteloos voor de discussie, want het is namelijk gebeurd. Ik zal het nog 1 keer uitleggen

Link gaat naar een neppe Ideal website, waar je een 1 cent transactie ziet, je voert vervolgens je rekening en pasnummer in en voert de betaal code in met je random reader. De echte transactie staat waarschijnlijk ergens op de achtergrond of via een service en die voert die gegevens in bij de Ideal betaling op een website. De je betaald dus niet 1 cent naar iemand maar honderden euroś naar een aankoop.

Wat hier duidelijk fout gaat is dat er geen confirmatie is van het bedrag dat overgemaakt wordt buiten de browser, zoals wel bij de Rabobank random scanner gebeurt. Zoals hier te zien

Dan moet je nog blij zijn dat het bij die 400 is gebleven want via een nepsite hadden ze ook je hele rekening leeg kunnen trekken....

Buiten de browser om is er inderdaad geen confirmatie maar ik vermoed dat je vriendin in alle haast wellicht dan óók gewoon op OK had gedrukt (wat ik zelf ook heel vaak doe bij pin automaten).

[Gropah]

CodeIT schreef op maandag 8 januari 2018 @ 15:44:
[...]

Je ziet zelf echter niet het echte betaalscherm van ABN.
Scammer zet op zijn pc de Ideal betaling klaar. Stuurt jou een link naar 'zijn' nepsite. Daar staat dezelfde code als de scammer ziet. Jij bevestigt die betaling met je random reader en voert de code in op de nepsite. Scammer krijgt die code doorgestuurd en voert die in het originele betaalscherm in. Jij krijgt een foutmelding oid op de nepsite terwijl het geld wel van je rekening is.

Het enige wat nog niet helemaal lekker loopt in dit verhaal is dat de gebruiker danwel een bedrag te zien krijgt, danwel deze moet invullen bij een scanner/reader. Dus dan is het erg raar dat je daar als gebruiker mee akkoord gaat, omdat je kan zien dat het niet x euro maar x+400 euro (oid) is.

[CodeIT]

Gropah schreef op maandag 8 januari 2018 @ 15:48:
[...]


Het enige wat nog niet helemaal lekker loopt in dit verhaal is dat de gebruiker danwel een bedrag te zien krijgt, danwel deze moet invullen bij een scanner/reader. Dus dan is het erg raar dat je daar als gebruiker mee akkoord gaat, omdat je kan zien dat het niet x euro maar x+400 euro (oid) is.

Dat is bij de ABN e-dentifier echter niet het geval.

[Flaat]

Ben een beetje huiverig om de link te plaatsen, het gaan ieg om een link beginnende met sns.betalingsverzoek.nl. Het is redelijk goed gedaan maar als je verder kijkt dan je neus lang is zie het gelijk aangezien je bv niet op annuleren kan klikken.

Verder hou ik het hierbij want volgens mij komt het hier alleen maar neer op vingers wijzen naar mijn vriendin en geen enkele info die me verder helpen die gast een beetje aan te pakken, of de politie te helpen.

[Verwijderd]

Een rekening leegtrekken kan sowieso niet, want er is een daglimiet. Ook bij de ABN. Ws zal die 400 euro de limiet zijn.

Ik moet eerlijk zeggen; ik heb al 10 jaar geen ABN of e.dentifier meer. Maar het lijkt mij heel erg sterk dat zo'n simpele man-in-the-middle attack bij hun werkt. Ik denk eerder dat iemand gewoon wat over het hoofd gezien heeft.

Als dat wél werkt bij ABN, is het een waardeloze flutbank en zou ik morgen nog overstappen.

[Radiant]

Verwijderd schreef op maandag 8 januari 2018 @ 15:52:
Als dat wél werkt bij ABN, is het een waardeloze flutbank en zou ik morgen nog overstappen.

Hoe zouden ze dat dan moet voorkomen? Als de klant niet controleert of hij inderdaad een ABN-pagina voor zijn neus heeft met bijbehorend SSL-certificaat en dergelijke is daar weinig aan te doen, lijkt mij.

[Verwijderd]

Radiant schreef op maandag 8 januari 2018 @ 15:56:
Hoe zouden ze dat dan moet voorkomen? Als de klant niet controleert of hij inderdaad een ABN-pagina voor zijn neus heeft met bijbehorend SSL-certificaat en dergelijke is daar weinig aan te doen, lijkt mij.

Bij de rabobank had je eerst de random reader, later de scanner. Bij authenticatie op de random reader, gaf je als eerste een code in van de site, en als 2e het te betalen bedrag. Op de scanner ZIE je het betaalde bedrag.

Zou jij dus 1ct ingeven, dan klopt de uiteindelijke code van de reader niet.

[ Voor 6% gewijzigd door Verwijderd op 08-01-2018 15:58 ]

[Radiant]

Ah zo. Dat heeft de ABN inderdaad niet als je de e-dentifier gebruikt (zonder USB). Je ziet het wel in de app tegenwoordig.

[Groentjuh]

Gropah schreef op maandag 8 januari 2018 @ 15:48:
[...]


Het enige wat nog niet helemaal lekker loopt in dit verhaal is dat de gebruiker danwel een bedrag te zien krijgt, danwel deze moet invullen bij een scanner/reader. Dus dan is het erg raar dat je daar als gebruiker mee akkoord gaat, omdat je kan zien dat het niet x euro maar x+400 euro (oid) is.

ABN AMRO's reader toont alleen informatie als deze via USB gekoppeld zit. Dan is het pas invoeren, pincode invoeren en betaling accepteren. Tijdens het betaling accepteren staat het bedrag en begunstigde op het scherm. Het is dan bijna pinnen op afstand!

Zonder USB is het rekeningnummer en kaartnummer invoeren, kaart in de reader stoppen, op 2 drukken (verzend opdracht), pincode invoeren. Op de pagina moeten dan 8 cijfers staan, die van de originele iDeal-pagina komen en ingevoerd moeten worden in de reader. De reader geeft dan 8 cijfers terug die op de iDeal-pagina ingevoerd moeten worden.

Met USB is er geen man in de middle mogelijk, zonder USB is het rekeningnummer+pasnummer doorsluizen, 8 cijfers van ABN-AMRO lezen en doorsturen aan de gebruiker, en laatste de conformatie code naar ABN AMRO sturen. Dus ja, man-in-the-middle is goed te doen.

Dan hou je dus alleen nog het groene balkje over als mogelijkheid om het te zien.

[DJMaze]

Flaat schreef op maandag 8 januari 2018 @ 15:52:
Ben een beetje huiverig om de link te plaatsen, het gaan ieg om een link beginnende met ...

Heb je de domeinnaam meegenomen in je aangifte en gemeld aan de bank?
Dit is zeer essentieel in het onderzoek!

Die nemen dan namelijk op de achtergrond contact op met KPN en Perconnect Systems BV om de eigenaar te achterhalen.

Op die manier heb ik eind vorig jaar geholpen met een onderzoek van de SIDN om een Rabobank pinpasfraude met 50+ domeinnamen op te doeken.

[armageddon_2k1]

Verwijderd schreef op maandag 8 januari 2018 @ 15:52:
Een rekening leegtrekken kan sowieso niet, want er is een daglimiet. Ook bij de ABN. Ws zal die 400 euro de limiet zijn.

Ik moet eerlijk zeggen; ik heb al 10 jaar geen ABN of e.dentifier meer. Maar het lijkt mij heel erg sterk dat zo'n simpele man-in-the-middle attack bij hun werkt. Ik denk eerder dat iemand gewoon wat over het hoofd gezien heeft.

Als dat wél werkt bij ABN, is het een waardeloze flutbank en zou ik morgen nog overstappen.

Hoezo? Als er serieus gewoon een mannetje tussen zit kan het gewoon?

Als ik op mijn laptop zit te werken, naast mijn vrouw op haar laptop, en ik krijg een iDeal betaalscherm. Ik vraag haar haar edentifier en pas te pakken, vraag haar de code in te vullen en de response aan mij door te geven. Tadaaa. Man-in-the-middle. Letterlijk.

Als extraatje stuur ik haar een website link die de vraag-code stuurt en response code ophaalt en naar mij stuurt wat er net zo uit ziet als de ABN website wat ik zelf in Javascript only kan maken. Werkt perfect. Wat kan ABN daar aan doen?

[Verwijderd]

armageddon_2k1 schreef op maandag 8 januari 2018 @ 16:05:
Hoezo? Als er serieus gewoon een mannetje tussen zit kan het gewoon?

Het antwoord staat al hierboven. Het gaat niet om of je iemand een betaling kunt laten doen via man-in-the-middle. Het gaat erom of dat kan met een ander bedrag.

Bij de RABO kan dat dus NIET, en het verbaast mij heel erg dat dat annno 2018 bij de ABN nog wel kan. Wat een flutbank.

[Flaat]

@Groentjuh

Exact, dit is precies het probleem. En idd het enige wat ontbrak was het groene balkje.

@DJMaze uiteraard, dit is zga het enige bewijs wat we hebben.

ABN moet zsm naar een scanner of andere oplossing gaan om dit type aanval te voorkomen als je het mij vraagt. Die dus het transactie bedrag laat zien op de scanner zonder USB aansluiting of software (ze draait Linux). Neemt niet weg dat je gewoon moet opletten hoor. Maar het is wel erg makkelijk voor scammers om niet oplettende mensen te pakken zo.

[ Voor 6% gewijzigd door Flaat op 08-01-2018 16:09 ]

[DJMaze]

Verwijderd schreef op maandag 8 januari 2018 @ 16:07:
het verbaast mij heel erg dat dat annno 2018 bij de ABN nog wel kan. Wat

Flaat schreef op maandag 8 januari 2018 @ 16:07:
ABN moet zsm naar een scanner of andere oplossing gaan om dit type aanval te voorkomen als je het mij vraagt. Die dus het transactie bedrag laat zien op de scanner zonder USB aansluiting of software (ze draait Linux).

Er wordt aan gewerkt!
D.m.v. Wikipedia: EPC QR code (ING werkt dit al)

Daarnaast is er ook één voor iDeal
nieuws: IDeal QR nu beschikbaar voor alle bedrijven en instellingen

Alle banken zijn gewoon traag...

[Verwijderd]

DJMaze schreef op maandag 8 januari 2018 @ 16:14:
Alle banken zijn gewoon traag...

Niet alle. Dit type fraude kon 15 jaar geleden bij de RABO al niet, omdat de random reader vanaf dag één vereiste dat je als 2e code het te betalen bedrag ingaf.

[ Voor 18% gewijzigd door Verwijderd op 08-01-2018 16:15 ]

[Meekoh]

Verwijderd schreef op maandag 8 januari 2018 @ 16:07:
[...]


Het antwoord staat al hierboven. Het gaat niet om of je iemand een betaling kunt laten doen via man-in-the-middle. Het gaat erom of dat kan met een ander bedrag.

Bij de RABO kan dat dus NIET, en het verbaast mij heel erg dat dat annno 2018 bij de ABN nog wel kan. Wat een flutbank.

en zelfs daar gaat het niet om. Het hele euvel zit hem erin dat je een nagemaakte ideal pagina te zien krijgt. daar ziet de gebruikers dus bedrag A. Op de achtergrond vind er gewoon een call plaats met bedrag B.
Dat is niet echt rocketscience of zo. Bij RABO kan dit opzich ook, alleen krijg je dan nogmaals een bedrag in de reader te zien. Als je daar niet op let ben je bij RABO net zo hard genaaid hoor

[Verwijderd]

Meekoh schreef op maandag 8 januari 2018 @ 16:15:
[...]

en zelfs daar gaat het niet om. Het hele euvel zit hem erin dat je een nagemaakte ideal pagina te zien krijgt. daar ziet de gebruikers dus bedrag A. Op de achtergrond vind er gewoon een call plaats met bedrag B.
Dat is niet echt rocketscience of zo. Bij RABO kan dit opzich ook, alleen krijg je dan nogmaals een bedrag in de reader te zien. Als je daar niet op let ben je bij RABO net zo hard genaaid hoor

Je moet beter lezen. Het kan dus NIET bij de rabo.

Man in the middle met een kloppend bedrag; kan wel. Maar met een niet kloppend bedrag niet.

Want: op de oude random reader moest je als 2e verificatiecode het bedrag ingeven, en op de nieuwe scanner zie je het bedrag.

Dus iemand een bedrag laten betalen waarbij ze het bedrag niet zagen of wisten, kon niet. Al 15 jaar geleden niet.

[DJMaze]

@Verwijderd dus gebeurt het bij de Rabo op een andere manier...

DJMaze schreef op maandag 8 januari 2018 @ 16:04:
Op die manier heb ik eind vorig jaar geholpen met een onderzoek van de SIDN om een Rabobank pinpasfraude met 50+ domeinnamen op te doeken.

https://www.rabobank.nl/p...angen-van-uw-bankpas.html

[ Voor 14% gewijzigd door DJMaze op 08-01-2018 16:21 ]

[armageddon_2k1]

Verwijderd schreef op maandag 8 januari 2018 @ 16:07:
[...]


Het antwoord staat al hierboven. Het gaat niet om of je iemand een betaling kunt laten doen via man-in-the-middle. Het gaat erom of dat kan met een ander bedrag.

Bij de RABO kan dat dus NIET, en het verbaast mij heel erg dat dat annno 2018 bij de ABN nog wel kan. Wat een flutbank.

Ik ga naar Coolblue, kies een Macbook uit en ga naar iDeal.
Ik maak een nep iDeal pagina met Zalando schoenen en geef die aan mijn vrouw en met een ander bedrag erop met een vraagcode van mijn bestelling.
Ik vul de responscode en kaartgegevens in van mijn vrouw die ze invult.

Tadaaa.

EDIT:
De oplossing is dus inderdaad dat het bedrag in de reader moet komen.

[ Voor 4% gewijzigd door armageddon_2k1 op 08-01-2018 16:24 ]

[Verwijderd]

Kerel, je moet beter lezen. Het kan NIET bij de rabo, want:

ALS CODE GEEF JE OOK HET TE BETALEN BEDRAG IN

[armageddon_2k1]

Verwijderd schreef op maandag 8 januari 2018 @ 16:23:
Kerel, je moet beter lezen. Het kan NIET bij de rabo, want:

ALS CODE GEEF JE OOK HET TE BETALEN BEDRAG IN

Doe rustig vent. Je antwoord stond in een andere post.

[Verwijderd]

DJMaze schreef op maandag 8 januari 2018 @ 16:18:
@Verwijderd dus gebeurt het bij de Rabo op een andere manier...

[...]

https://www.rabobank.nl/p...angen-van-uw-bankpas.html

Dit is een totaal ander type fraude, met geen enkele overeenkomst.

Als iemand een pincode van een pas heeft, en een nieuwe pas uit de post steelt, ja. Maar dat is totaal iets anders. Ik kan ook een gewapende overval op een bank plegen. Dat heeft verder NIETS te maken met waar dit topic over gaat.

[armageddon_2k1]

@Verwijderd We snappen dat je blij bent met Rabo, je hebt je punt gemaakt. Terug naar je hok.

[SinergyX]

Verwijderd schreef op maandag 8 januari 2018 @ 16:23:
Kerel, je moet beter lezen. Het kan NIET bij de rabo, want:

ALS CODE GEEF JE OOK HET TE BETALEN BEDRAG IN

De oude scanner werd ook gewoon misbruik gemaakt, lang niet iedereen wist wat I en S knoppen waren, laat staan 1e en 2e invoer. Zeker met de nepmailtjes rond bankpas vervangen, is daar flink wat MITM gedaan.

De tweede invoer (indien gevraagd) is het totaalbedrag van de transacties voor de komma.

Het scherm liet namelijk nooit 'bedrag' zien, maar '2e invoer', daar is goed misbruik van gemaakt omdat dat ding helemaal niets aan daadwerkelijke informatie kon weergeven.

[DJMaze]

Verwijderd schreef op maandag 8 januari 2018 @ 16:23:
Kerel, je moet beter lezen. Het kan NIET bij de rabo, want:

ALS CODE GEEF JE OOK HET TE BETALEN BEDRAG IN

En dat bedrag kan niet het zelfde zijn?
Wat let mij om ergens iets te kopen wat exact dat bedrag is?

Goed € 0.01 wordt lastig shoppen maar als ik op marktplaats iets te koop aanbied voor € 100 en geef jou een nep-ideal betaallink van € 100 dan kan het wel

[Verwijderd]

armageddon_2k1 schreef op maandag 8 januari 2018 @ 16:25:
@Verwijderd We snappen dat je blij bent met Rabo, je hebt je punt gemaakt. Terug naar je hok.

Pardon? Sinds wanneer ben jij moderator, grote jongen?

[Verwijderd]

DJMaze schreef op maandag 8 januari 2018 @ 16:26:
[...]

En dat bedrag kan niet het zelfde zijn?
Wat let mij om ergens iets te kopen wat exact dat bedrag is?

Goed € 0.01 wordt lastig shoppen maar als ik op marktplaats iets te koop aan bied voor € 100 en geef jou een nep-ideal betaallink van € 100 dan kan het wel

Zucht. Je zit te stoken gast. Dat het met hetzelfde bedrag kon, had ik al gezegd.

[Radiant]

DJMaze schreef op maandag 8 januari 2018 @ 16:26:
[...]

En dat bedrag kan niet het zelfde zijn?
Wat let mij om ergens iets te kopen wat exact dat bedrag is?

Goed € 0.01 wordt lastig shoppen maar als ik op marktplaats iets te koop aanbied voor € 100 en geef jou een nep-ideal betaallink van € 100 dan kan het wel

Dan kan je net zo goed die €100 wel naar jezelf laten overmaken en gewoon het product niet opsturen, geen MITM voor nodig

[Meekoh]

Verwijderd schreef op maandag 8 januari 2018 @ 16:17:
[...]


Je moet beter lezen. Het kan dus NIET bij de rabo.

Man in the middle met een kloppend bedrag; kan wel. Maar met een niet kloppend bedrag niet.

Want: op de oude random reader moest je als 2e verificatiecode het bedrag ingeven, en op de nieuwe scanner zie je het bedrag.

Dus iemand een bedrag laten betalen waarbij ze het bedrag niet zagen of wisten, kon niet. Al 15 jaar geleden niet.

Ik lees ook goed en het bedrag is ten alle tijden kloppend Was vanaf het begin al 400 euro. die 1 cent kan net zogoed een plaatje zijn op die scam pagina

[Verwijderd]

Meekoh schreef op maandag 8 januari 2018 @ 16:44:
[...]

Ik lees ook goed en het bedrag is ten alle tijden kloppend Was vanaf het begin al 400 euro. die 1 cent kan net zogoed een plaatje zijn op die scam pagina

Nee je leest niet goed en snapt het niet.

De scammer heeft een betaling van 0.01 cent.

Als je de random reader nog zou gebruiken bij de rabo, dan werkt de authenticatie als volgt:

1) je doet de pas erin
2) typt je pincode
3) typt een beveiligingscode afkomstig van de website
4) typt het bedrag in
5) krijgt een code van de random reader, deze vul je in op de website.

Zou de scammer dus 0.01ct als bedrag opgeven, krijg je een code die niet verifieert met het daadwerkelijke bedrag. Dus dit werkt bij de rabo niet.

Maar goed, daar heeft TS niets aan. Excuses dat ik er over begon.

[BlueMotion]

Verwijderd schreef op maandag 8 januari 2018 @ 16:47:
[...]

4) typt het bedrag in

Bijna. De random reader vroeg om de tweede invoer.

Ja, dat was inderdaad het totaalbedrag, en
Nee, lang niet iedereen die de randomreader gebruikte herkende dat getal als zodanig.

Voorzover ik me kan herinneren communiceerde de Rabobank nooit echt duidelijk dat dat controlegetal het totaalbedrag was. In ieder geval niet op de betaalpagina zelf.

[q-enf0rcer.1]

Wat flauw dat er zoveel mensen beweren dat TS geen 1 cent heeft gezien op de betaalpagina. Ik kan binnen een dag een site opzetten die er exact uitziet zoals de betaalpagina van Ideal inclusief de logica om via de echte betaalpagina de QR code etc op te halen. Dat is heel eenvoudig en dat zou elke Tweaker toch moeten weten.

[Sakesushi]

Ik heb ING, Rabobank, ABN en BBK (Spaans) en bij al deze banken zie je tot de cent af wat je over gaat maken.

Onmogelijk dat er 1 cent stond.

Je vriendin kan gewoon niet kijken.
En anders moet ze eens leren dat je dit soort zaken serieus neemt, wij bekijken alle betalingen die wij verrichten, en moe, haast of een ingegroeide teennagel is een kul excuus.

[Sakesushi]

q-enf0rcer.1 schreef op maandag 8 januari 2018 @ 18:48:
Wat flauw dat er zoveel mensen beweren dat TS geen 1 cent heeft gezien op de betaalpagina. Ik kan binnen een dag een site opzetten die er exact uitziet zoals de betaalpagina van Ideal inclusief de logica om via de echte betaalpagina de QR code etc op te halen. Dat is heel eenvoudig en dat zou elke Tweaker toch moeten weten.

Niks flauws aan.
de Raboreader, identifier en ING geven allemaal gewoon het juiste bedrag aan.

[Flaat]

q-enf0rcer.1 schreef op maandag 8 januari 2018 @ 18:48:
Wat flauw dat er zoveel mensen beweren dat TS geen 1 cent heeft gezien op de betaalpagina. Ik kan binnen een dag een site opzetten die er exact uitziet zoals de betaalpagina van Ideal inclusief de logica om via de echte betaalpagina de QR code etc op te halen. Dat is heel eenvoudig en dat zou elke Tweaker toch moeten weten.

Echt he, en het gaat ook gewoon nog steeds door...


Goed fijn dat de helft van jullie heeft kunnen bekvechten tegen de andere helft over wat en niet klopt aan wat ons overkomen is... Hulpvragen op tweakers ga ik in de toekomst ieg niet meer doen...

[Verwijderd]

Flaat schreef op maandag 8 januari 2018 @ 19:02:
Goed fijn dat de helft van jullie heeft kunnen bekvechten tegen de andere helft over wat en niet klopt aan wat ons overkomen is... Hulpvragen op tweakers ga ik in de toekomst ieg niet meer doen...

Ik had al excuses gemaakt, ik kan mij je kritiek een klein beetje voorstellen. Dus nogmaals excuses dat ik die discussie begonnen ben.

Echter, je overdrijft nu wel. Je post iets op een openbaar forum. Op nagenoeg ELK forum, zul je dan ook antwoorden krijgen die voor jou niet direct nuttig zijn. Als je daar niet mee om kunt gaan, kun je beter op geen enkel forum meer posten.

[NinjaKiwiNL]

Flaat schreef op maandag 8 januari 2018 @ 19:02:
[...]


Goed fijn dat de helft van jullie heeft kunnen bekvechten tegen de andere helft over wat en niet klopt aan wat ons overkomen is... Hulpvragen op tweakers ga ik in de toekomst ieg niet meer doen...

Hulpvragen op tweakers heb ik wel afgeleerd, veel te veel haantjes gedrag. Een groot deel weet het altijd beter en MOET zijn gelijk halen Ik wens je veel sterkte in deze zaak, en hoop dat het goed komt voor jullie

[Flaat]

@Verwijderd was niet specifiek tegen jouw bedoeld, en bedankt voor je excuses. Die was me nog niet opgevallen tussen de hecktiek vandaag.

Mijn doel om dit op te stellen was deels om meer info te vinden over hoe ik m'n geld terug kreeg en deels om een discussie te starten over hoe Ideal fraude beter voorkomen kan worden in de toekomst. Daarnaast vind ik het een raar verschil tussen banken in hoe ze met fraude omgaan. Rabobank lijkt eerder te willen voorkomen en ABN lijkt eerder te willen genezen. Het is jammer dat er dan zoveel gezeurd wordt over de kleine details en het feit dat ze beter moet opletten. Dat had ik ook al gezegd namelijk..

Mijns inziens is het bestaansrecht van een bank gebaseerd op het feit dat zei mijn geld beter kunnen beschermen dan ik. Nu blijkt dat er zeer simpele methodes bestaan om mijn geld in de anonimiteit te laten verdwijnen via spoofing en game cards is dat bestaansrecht bij ABN bij mij aan het verdwijnen. En vind ik het zonde dat er blijkbaar te weinig tijd is in de samenleving om dit soort dingen echt aan te pakken en wordt er, in plaats daarvan maar geld gegeven aan het slachtoffer. Dit maakt het nog steeds mogenlijk voor een oplichter om gewoon door te gaan. Juist omdat er geen snelle acties worden gedaan om hen te pakken, en bestaande loopholes pas jaren later aangepast worden.

[Verwijderd]

Ik vind het systeem van de ABN, voor wat ik hier gehoord heb, erg zwak. Dus je hebt gelijk als je zegt dat ze te weinig gedaan hebben.

Echter, in alle eerlijkheid; er is best wel veel aandacht geweest voor alle vormen van fraude. Er zijn uitgebreide mediacampagnes geweest. Van de overheid, en van de banken. Ook over controleren of de URL wel klopt, of niet. Bij de rabobank wordt je daar bij internetbankieren constant op gewezen, ik neem aan bij de ABN ook wel (op hun site).

Op zich had je vriendin ook kunnen weten dat het niet goed was. Het zal haar ook geen 2e keer gebeuren.

Oplichters maken altijd misbruik van momenten dat je ff niet oplet. Daar kan de beste bank ter wereld, je niet tegen beschermen.

[MacIsCool]

Verzamel al je bewijsmateriaal, originele link etc. en geef het aan de politie. Zoals al eerder gemeld, bij meerdere meldingen is er een grote kans dat men bij de daders komt. Geld ben je waarshcijnlijk kwijt, maar de boosheid wordt geblust.

[ImdaMned]

Flaat schreef op maandag 8 januari 2018 @ 19:02:
[...]


Echt he, en het gaat ook gewoon nog steeds door...


Goed fijn dat de helft van jullie heeft kunnen bekvechten tegen de andere helft over wat en niet klopt aan wat ons overkomen is... Hulpvragen op tweakers ga ik in de toekomst ieg niet meer doen...

Gewoon blijven doen. Ondanks al die haantjes die lopen te blèren dat iemand oerstom moet zijn om in zoiets te trappen, zijn er genoeg hulpvaardige tweakers met de nodige kennis om je van advies kunnen voorzien.

[NotSoSteady]

Nvm, verkeerd gelezen.

[ Voor 98% gewijzigd door NotSoSteady op 08-01-2018 23:14 ]

[SMSfreakie]

Sowieso zou ik even de SIDN gegevens bij de diverse instanties melden..

even bewust wat info weggelaten..

code:

Domeinnaam
    betalingsverzoek.nl
Status 
    actief
Houder 
    Hier hoort iets anders
Administratieve contactpersoon 
    support@******.nl
Registrar 
    KPN Internedservices
Straatnaam + huisnr
PostCD  PURMEREND
Netherlands
Abuse contact i
    +31.299*******
abuse@*****.nl
Technische contactpersoon i
    support@*****.nl

denk dat de KPN hier ook niet heel blij van wordt zo

[ Voor 6% gewijzigd door SMSfreakie op 08-01-2018 23:18 ]