Tesco Bank: Hoe werd £2,5 miljoen gestolen van de rekeningen van klanten?
Rapport zegt dat criminelen contactloze kaartaankopen hebben gedaan in de VS en Brazilië
Matt Cardy/Getty Images
Het is beschreven als de ergste cyberaanval in de Britse bankgeschiedenis, maar er is weinig bekend over hoe fraudeurs £ 2,5 miljoen hebben gestolen van 9.000 Tesco Bank-rekeninghouders.
De financiële dienstverlener van de grootste supermarktgroep van Groot-Brittannië heeft geprobeerd klanten te verzekeren door te zeggen dat 'geen klantgegevens verloren zijn gegaan' en dat 'geen van onze systemen is gehackt'.
Verder heeft het geweigerd details bekend te maken, daarbij verwijzend naar een lopend strafrechtelijk onderzoek. Ondertussen is zijn 'reputatie beschadigd door de overval', zegt de Sunday Times .
Geruchten, lekken en mogelijke aanwijzingen voor de methoden die door de hackers worden gebruikt, beginnen echter op te duiken. Deze draaien rond een aantal belangrijke thema's:
Contactloze betalingen
The Sunday Times beweerde in het weekend te 'onthullen' dat de criminelen 'uitgaven in winkels in de VS en Brazilië om hun onrechtmatig verkregen winsten wit te wassen'.
Volgens de krant werden 'gestolen' accountgegevens van klanten geüpload naar smartphones en vervolgens gebruikt om massa's kleine aankopen te doen bij de Amerikaanse elektriciteitswinkel Best Buy en elders in Amerika en Brazilië.
'De dieven laadden goedkope goederen op om de limieten voor transacties met mobiele telefoons te omzeilen', voegde het eraan toe.
Er wordt geen bron genoemd voor de beweringen, maar als deze verklaring waar zou zijn, zou de bewering van Tesco dat 'er geen klantgegevens verloren zijn gegaan' in twijfel worden getrokken.
'Brute kracht'
Een andere mogelijkheid, of misschien wel de voorloper van de grote aanval van vorige week, werd uiteengezet door Israëli cyberbeveiligingsbedrijf CyberInt.
Het beveiligingsbedrijf vertelde de Financial Times dat het bewijs had gevonden dat betaalrekeningen, spaarrekeningen en creditcardgegevens van 'Tesco Bank-klanten' werden verhandeld op het dark web', na een piek in aanvallen op de website van het bedrijf in september.
De website laat 'onbeperkte inlogpogingen vanaf hetzelfde IP-adres' toe. Fraudeurs zouden een 'brute force'-aanval kunnen gebruiken om 'duizenden login- en wachtwoordcombinaties te testen totdat er één [wordt] gevonden die werkt', zegt de BBC .
Onderzoek van CyberInt bracht een aantal gebruikers aan het licht op darkwebforums die beweren maar liefst £ 1.000 per keer van Tesco Bank-klanten te hebben gestolen.
Mobiele apps
Meer speculatief hebben cyberbeveiligingsbedrijven zwakke punten genoemd met betrekking tot de mobiele app van Tesco Bank. Ze zeggen dat deze veel voorkomen bij een aantal zogenaamde 'challenger'-banken.
'We deden onderzoek naar mobiele apps op de Britse markt en vonden een aantal problemen met verschillende apps die ze hebben en probeerden hen te waarschuwen', vertelde de CEO van het in Londen gevestigde bedrijf, Martin Alderson, aan de BBC.
Hij zei dat hij de zwakke punten die hij had geïdentificeerd niet in detail zou onthullen, maar zei dat ze niet beperkt waren tot Tesco.
Alderson zei ook dat, hoewel 'topbanken erg goed zijn met hun mobiele beveiliging... de tweederangs banken en sommige financiële technologiebedrijven hiermee kunnen worstelen'.
Wat zou je moeten doen?
Ten eerste, als u geld bent kwijtgeraakt, had u al gecompenseerd moeten worden. Als u een klant van Tesco Bank bent en u denkt niet dat u iets heeft verloren, houd uw rekeningen dan toch in de gaten voor verdachte activiteiten.
Neem altijd passende veiligheidsmaatregelen met uw rekeningen, zoals het beveiligen van inloggegevens en pincodes, het gebruik van complexe online wachtwoorden en het controleren van geldautomaten voor gebruik.
Natuurlijk kun je Tesco verlaten als je je niet veilig voelt, maar het is de moeite waard om te herhalen dat het stelt dat zijn systemen niet zijn aangetast en dat andere banken in het verleden te maken hebben gehad met hun eigen, zij het minder succesvolle, aanvallen.
Cyberaanval van Tesco Bank: alles wat we tot nu toe weten
9 november
Eerder deze week bevestigde Tesco Bank dat duizenden klanten afgelopen weekend elk tot 600 pond verloren nadat dieven geld van hun rekeningen hadden gestolen.
Het is de laatste in een groeiende trend van bedrijven die het doelwit zijn van fraudeurs. Hier is alles wat u moet weten.
Wat is er gebeurd?
Tijdens het weekend werd duidelijk dat een aantal houders van een betaalrekening van Tesco Bank geen online betalingen konden doen, met suggesties voor wijdverbreide fraude en een blokkade bij de klantenservice.
Benny Higgins, de topman van de bank, bevestigde dat '40.000 rekeningen in het weekend verdachte transacties hebben gezien, waarvan de helft geld is gestolen', zegt de BBC .
De bank heeft die cijfers sindsdien herzien en kondigde gisteren aan dat ongeveer 9.000 mensen in totaal £ 2,5 miljoen van hun rekeningen hebben gestolen. Alle betrokken klanten zijn nu volledig terugbetaald.
Hoe weet ik of ik getroffen ben?
Tesco had u per sms op de hoogte moeten stellen als werd vastgesteld dat uw account risico liep. U zou nu een terugbetaling moeten hebben ontvangen voor eventueel verloren geld.
Als u bij Tesco bankiert en er geen contact met u is opgenomen, is het toch de moeite waard om uw rekening te controleren op ongebruikelijke activiteiten.
Volgens de regels van de Financial Conduct Authority zijn banken verplicht om geld dat verloren is gegaan als gevolg van fraude onmiddellijk terug te betalen, tenzij ze kunnen bewijzen dat u nalatig was of de inbreuk meer dan 13 maanden geleden heeft plaatsgevonden.
Dus ik weet zeker of mijn geld er nog is?
Zeker voor nu. Maar aangezien Tesco geen details heeft vrijgegeven over hoe de inbreuken zijn gebeurd, moet u de zaken in de gaten houden, vooral omdat sommige klanten tot £ 600 hebben ontnomen.
In een poging om klanten gerust te stellen, heeft Tesco verklaard dat de klantgegevens 'niet zijn aangetast' tijdens de aanval, zegt de BBC [1]. Dus hopelijk betekent dit dat de hackers niet de middelen hebben om verdere fraude te plegen.
Dus Tesco weet niet wat er is gebeurd?
Bazen hebben de BBC verteld dat ze precies weten wat er is gebeurd, maar omdat het een open politieonderzoek is, kunnen ze geen details vrijgeven. Het enige wat ze zeggen is dat het een 'systemische, geavanceerde aanval' was.
Robert Schifreen, de redacteur van de computerveiligheidswebsite Security Smart, is niet blij met wat hij ziet als een gebrek aan transparantie.
'Het kan zijn... dat mensen skimming-apparaten, kaartlezers en camera's specifiek aan Tesco's geldautomaten hebben bevestigd, zodat ze de rekeningen van mensen daar hebben vastgelegd', zei hij tegen de BBC.
'Het kan iemand zijn die bij Tesco Bank werkt en toegang heeft gehad tot de database. Het kan iemand anders zijn aan wie Tesco informatie heeft doorgegeven, en die informatie is gehackt.'
Wat als ik getroffen ben?
Als Tesco nog geen contact met u heeft opgenomen, dient u zelf de bank te bellen. Het is bedoeld om al het verloren geld in de komende 24 uur terug te betalen.
Volgens de regels van de Financial Conduct Authority zijn banken verplicht geld terug te betalen dat verloren is gegaan als gevolg van fraude, tenzij ze kunnen bewijzen dat u nalatig was of de inbreuk meer dan 13 maanden geleden heeft plaatsgevonden.
Hoe kan ik mezelf in de toekomst beschermen?
Zonder precies te weten hoe de cyberaanval plaatsvond, is het moeilijk om iets vast te stellen dat klanten per ongeluk kunnen doen waardoor ze worden blootgesteld.
de BBC zegt dat omdat 'criminelen mogelijk in staat zijn geweest om in de systemen van de bank te komen zonder enige invoer of informatielekken van individuele klanten... er weinig duidelijke voorzorgsmaatregelen zijn die klanten kunnen nemen'.
U moet uw online accountgegevens echter altijd veilig bewaren, moeilijk te raden wachtwoorden gebruiken en geldautomaten controleren voordat u ze gebruikt.
Tot op zekere hoogte ligt uw lot altijd in handen van uw bank: als zijn systemen worden gehackt, kunnen uw gegevens worden gestolen. De meeste gebruiken encryptie en andere vormen van bescherming om dit te voorkomen.
Na een onderzoek vorige maand, Welke? zei Lloyds, Santander en TSB hadden een relatief slechte staat van dienst voor het beschermen van klantgegevens. Alle drie betwistten de bevindingen – en Tesco was er niet eens bij betrokken.
Is Tesco alleen?
Absoluut niet. HSBC was onderworpen aan eencyberaanval in januari, maar het zei te kunnen voorkomen dat de rekeningen van klanten werden aangetast, hoewel het ook de toegang tot internetbankieren een tijdje moest blokkeren.
Bedrijven in de hele economie worden steeds vaker gedwongen zich te verdedigen tegen online aanvallen. In het VK zijn onder meer spraakmakende bedrijfsslachtoffers opgenomen Carphone Magazijn , Praatjes en Vodafone
Hoe is Tesco beïnvloed?
Tot op zekere hoogte is de hack klein en vertegenwoordigt hij slechts 0,5 procent van de zeven miljoen klantaccounts, maar beleggers vrezen altijd dat een inbreuk het vertrouwen van de klant zal schaden, dus zijn aandelen geraakt.
De koers van het Tesco-aandeel daalde vandaag met 1,2 procent tot ongeveer 198,7 pence.
De aanval is beschreven als de ergste in de Britse bedrijfsgeschiedenis en 'ongekend' door de toezichthouder, die de Dagelijks telegram zegt Tesco Bank een boete te kunnen geven als het van mening is dat de beveiliging niet voldoende was.
