Phishing opvallend succesvol bij Bunq: 'Veiligheid geen thema'

quote:

Phishing-oplichters hebben het gemunt op klanten van onlinebank Bunq, waarbij ze per slachtoffer bedragen van vaak tienduizenden euro's weten buit te maken. Dat blijkt uit onderzoek van NOS en NRC.

Volgens experts heeft de werkwijze van de aanvallers waarschijnlijk geen succes bij andere banken, en ook de hoogte van de buitgemaakte bedragen wekt verbazing. Beveiligingsmaatregelen die andere banken wel hebben ontbreken, en klanten worden in de regel niet gecompenseerd.

NOS en NRC verifieerden de verhalen van 28 slachtoffers die in de afgelopen zeven maanden werden opgelicht. Ze raakten samen ruim 1,6 miljoen euro kwijt, gemiddeld bijna 60.000 euro per geval.

[..]

De aanvallers gebruiken voornamelijk twee methodes. In zeker acht door de NOS geverifieerde gevallen weten ze de logingegevens én de vereiste gezichtsherkenningsscan van klanten te kapen, kunnen ze inbreken op het account en daarna grote sommen geld overmaken. "Dat is echt verdacht gedrag, dat zou een rode vlag moeten zijn", zegt Slappendel.

[..]

https://nos.nl/artikel/25(...)eiligheid-geen-thema

Ik las in de NRC een uitgebreider artikel (paywall) hierover waar een aantal slachtoffers aan het woord komen. Die zijn bijna allemaal erg boos op de bank omdat die niet genoeg zou doen. Maar in alle gevallen gaat het erom dat klanten zelf hun inloggegevens hebben weggegeven. Ze krijgen bijvoorbeeld een smsje, "BUNQ BANK. U bent verplicht uw nieuwe beveiliging te activeren via deze link" en daar klikken ze op en dan vullen ze klakkeloos hun inloggegevens in. Vervolgens wordt hun rekening leeggeroofd.

Omdat de bunq niet aan limieten doet kan dat heel snel. In een half uurtje zomaar een ton weg. En omdat ze een "tech bank" zijn hebben ze geen telefonische helpdesk. Daar kun je natuurlijk wat van vinden. Maar ik vind het vooral ontzettend dom dat je zomaar overal je inloggegevens invult. Dat je wel de capaciteiten hebt om zo veel te verdienen dat er een ton op je spaarrekening staat, maar dat je nog niet eens een fishing site van de echte site kan onderscheiden, en dat je ook zomaar je gegevens incl biometrische afgeeft aan de eerste de beste pipo die jou belt of smst en met een slap lulverhaaltje.

En nu zijn ze allemaal viesmad op bunq want die had dat allemaal moeten voorkomen en de schade vergoeden. Maar dat gebeurt niet:

quote:

In de regel krijgen slachtoffers niets terug van Bunq. Weg is weg, is het mantra van Bunq-oprichter Niknam. "Het is alsof je buiten op straat iemand je autosleutels geeft. Dan is je auto weg", zei Niknam in gesprek met een slachtoffer.

Je kan ook van alles vinden van Ali Niknam maar hier heeft ie gewoon gelijk. Het gaat hier niet eens om bejaarden die het allemaal niet meer zo goed begrijpen. Het zijn vaak goed opgeleide mensen die gewoon beter zouden moeten weten. Zo moeilijk is het niet om even het adres van de site te checken, daar hoef je echt geen informatica voor gestudeerd te hebben. En als bunq zelf altijd waarschuwt "WE BELLEN JE NOOIT" en dan word je gebeld en dan geef je toch al je gegevens af, tja, dan ben je gewoon dom, en tegen domheid is geen enkele beveiliging bestand. Zie het als leergeld.

quote:

Op vrijdag 24 mei 2024 21:43 schreef FlippingCoin het volgende:
Van de week was ook bij Radar een geval, oplichters hadden 70+ subaccounts aangemaakt, en met iedere account heb je een direct opneembaar limiet van 1000 euro. Die vrouw kreeg dus 70 bankpassen op de mat; er gaat in zo'n geval dan nergens een belletje rinkelen in hun systemen bij zowel die subaccounts als het afleveren van die stapel bankpassen in, bizar slecht voor een financiele instelling.

Helemaal eens, maar dat vind ik wel iets anders dan waar het hier om gaat.

quote:

Op vrijdag 24 mei 2024 21:48 schreef FlippingCoin het volgende:

[..]
Ja akkoord, alleen maakt Niknam zich er wel makkelijk van af en valt er zeker wel het eea te verbeteren op technisch gebied.

Ja ik vind het nogal een lul. Ik zou zelf nooit een account bij die bank openen, eigenlijk vooral door hem en z'n toxische werksfeer waar je veel over hoort. Maar je krijgt er veel rente en daar komen veel mensen op af. "Vier voormalig bunq-werknemers met wie NRC en NOS spraken zeggen ieder dat Niknam vanwege zijn tech-achtergrond uiteindelijk gebruiksgemak belangrijker vindt dan veiligheid" staat in het nrc artikel, en ik vraag me dan af (als techie) wat die achtergrond dan voorstelt. Front end developer zeker.

Maar goed de zwakste schakel in alle beveiliging is vrijwel altijd de gebruiker. En in dit geval ook zeker.

quote:

Op vrijdag 24 mei 2024 21:51 schreef RamboDirk het volgende:
Ach weer zo'n topic waar het alleen maar gaat om victim blaming. Boring.

Vind je het niet zorgwekkend dat we enerzijds in een wereld leven waar steeds meer online gebeurt, en dat aan de andere kant mensen de meest basale capaciteiten ontberen om zichzelf een beetje te beschermen. Dat wordt dan allemaal op de bank afgewenteld. Maar aan de andere kant, als banken heel erg proactief handelen en bijvoorbeeld de rekening blokkeren als ze denken dat er er iets verdachts gebeurt, dan is de wereld ook vaak te klein.

quote:

Op vrijdag 24 mei 2024 22:05 schreef ChipsZak. het volgende:
bunq is echt een enorm slecht beveiligde bank. Ik heb er wel een rekening maar ging ergens ook een keer wat mis (als in: er verdween geld) en ik had nergens mijn gegevens vrijgegeven, ergens op geklikt of wat dan ook. Vanaf dat moment zet ik er enkel nog wat ekkies op als ik een e-book wil kopen want ik gebruik ‘m voor m’n Kindle, .

M’n ex heeft hetzelfde gezeik gehad maar veel meer geld kwijt dan ik. Voor mij ging het om een paar tientjes, bij hem echt grotere bedragen. Ook toen gaf bunq. geen thuis.

Ik vind dit lastig om te geloven, is dit het hele verhaal?

quote:

Op zaterdag 25 mei 2024 00:34 schreef embedguy het volgende:

[..]
Heb je het artikel wel gelezen? Andere banken zijn wel beschermd tegen deze domheid, zoals in het artikel te lezen staat.

Je doelt waarschijnlijk op de daglimiet die bunq niet heeft (wat ik zelf ook benoem in de OP) maar je mag me uitleggen welke bescherming er bestaat tegen mensen die vrijwillig al hun credentials afgeven en dus hun hele rekening overgeven aan derden.