Police allemande: authentification à deux facteurs

Une authentification à deux facteurs Un système largement utilisé en Allemagne ne parvient pas à empêcher les cybercriminels de drainer les comptes bancaires, a déclaré mardi un haut responsable allemand de la justice.

L'année dernière, environ 95% des clients bancaires allemands utilisaient des codes "iTan". Selon Mirko Manske, surintendant en chef de l'Office fédéral de police criminelle, le code iTan est utilisé comme mesure d'authentification supplémentaire en plus des informations de connexion du client. Le code iTan ne peut être utilisé qu'une seule fois et est destiné à contrecarrer les attaques bancaires en ligne où un attaquant a toutes les autres informations client

[Plus d'informations: Comment supprimer les logiciels malveillants de votre PC Windows]

Mais "ça ne marche pas travail ", a déclaré Manske lors d'une présentation au E-crime Congress à Londres. "Nous sommes toujours en train de perdre de l'argent."

Le problème est que les pirates informatiques ont trouvé des moyens d'exécuter des transactions en temps réel, en utilisant le code iTan et rendant le contrôle de sécurité essentiellement inutile. le milieu, où un attaquant est capable de modifier les données échangées entre le PC piraté et un serveur de banque.

Manske, dont la présentation a été partiellement censurée car contenant des informations sensibles, a montré deux scénarios dans lesquels les codes iTan sont utilisés lors des transferts d'argent.

Dans l'un des scénarios, la victime reçoit une confirmation qu'elle envoie 500 € (677 USD). En fait, un pirate informatique a modifié l'information et transféré 5 000 € vers un autre compte, dit Manske.

Un autre incident a montré à quel point les programmeurs de logiciels malveillants techniquement avancés sont devenus. Une grande banque allemande a dépensé une somme considérable en mettant en place un système où une photo de lettres brouillées, appelée CAPTCHA (test de Turing complètement automatisé à Tell Computers et Humans Apart), serait affichée avec les détails de la transaction, dit Manske. CAPTCHA sont souvent utilisés pour essayer d'arrêter les robots automatisés d'enregistrer, par exemple, trop de comptes de messagerie, puisque les ordinateurs ne sont pas aussi bons que les humains pour désembrouiller des tas de caractères. Dans le cas de la banque, le CAPTCHA a été utilisé pour fournir un autre niveau de vérification des transactions.

Dans un autre exemple surprenant d'innovation en matière de cybercriminalité, les attaquants ont développé un composant spécial qui pourrait rendre une copie parfaite du CAPTCHA une attaque d'homme dans le milieu. Cette copie sera affichée avec des détails de transaction apparemment corrects lors d'une attaque.

"Il y a des programmeurs très talentueux là-bas," dit Manske.