Tesco Bank: Hvordan blev £2,5 millioner stjålet fra kundernes konti?
Rapporten siger, at kriminelle har foretaget kontaktløse kortkøb i USA og Brasilien
Matt Cardy/Getty Images
Det er blevet beskrevet som det værste cyberangreb i britisk bankhistorie, men man ved ikke meget om, hvordan svindlere stjal 2,5 millioner pund fra 9.000 Tesco Bank-kontoindehavere.
Den finansielle serviceafdeling i Storbritanniens største supermarkedsgruppe har forsøgt at forsikre kunderne ved at sige, at 'ingen kundedata er gået tabt', og at 'ingen af vores systemer blev brudt'.
Ud over det har den nægtet at afsløre detaljer under henvisning til en igangværende kriminel efterforskning. I mellemtiden er dens 'omdømme blevet skadet af razziaen', siger Sunday Times .
Rygter, lækager og potentielle spor til de metoder, som hackerne brugte, er dog begyndt at dukke op. Disse kredser om flere nøgletemaer:
Kontaktløse betalinger
Sunday Times hævdede at 'afsløre' i weekenden, at de kriminelle 'tog på en forbrugsrunde i butikker i USA og Brasilien for at hvidvaske deres dårligt opnåede gevinster'.
Ifølge avisen blev 'stjålne' kundekontooplysninger uploadet til smartphones og derefter brugt til at foretage en række små køb hos den amerikanske elforhandler Best Buy og andre steder i Amerika og Brasilien.
'Tyvene læssede op på billige varer for at omgå grænserne for mobiltelefontransaktioner,' tilføjede den.
Der er ingen kilde citeret for påstandene, men hvis den er sand, vil denne forklaring sætte spørgsmålstegn ved Tescos påstand om, at 'ingen kundedata er gået tabt'.
'Råstyrke'
En anden mulighed, eller måske forløberen for det store angreb i sidste uge, blev opstillet af Israel cybersikkerhedsfirmaet CyberInt.
Det fortalte sikkerhedsfirmaet Financial Times at det havde fundet beviser for, at 'Tesco Bank-kunders løbende konti, opsparingskonti og kreditkortoplysninger... blev handlet på det mørke web', efter en stigning i angrebene på virksomhedens hjemmeside i september.
Hjemmesiden tillader 'ubegrænsede loginforsøg fra samme IP-adresse'. Svindlere kunne bruge et 'brute force'-angreb til at teste 'tusindvis af login- og adgangskodekombinationer, indtil en [vises] at virke', siger den. BBC .
CyberInts undersøgelser afslørede en række brugere på mørke webfora, som hævder at have stjålet så meget som £1.000 ad gangen fra Tesco Bank-kunder.
Mobile apps
Mere spekulativt har cybersikkerhedsvirksomheder nævnt svagheder i forhold til Tesco Banks mobilapp. De siger, at disse kan være udbredt på tværs af en række såkaldte 'udfordrer'-banker.
'Vi undersøgte mobilapps på tværs af det britiske marked og fandt nogle problemer med forskellige apps, som de har, og nåede ud for at prøve at advare dem,' sagde den London-baserede virksomheds administrerende direktør, Martin Alderson, til BBC.
Han sagde, at han ikke ville afsløre de svagheder, han havde identificeret i detaljer, men sagde, at de ikke var begrænset til Tesco.
Alderson sagde også, at mens 'top-tier-banker er rigtig gode med deres mobilsikkerhed... kan anden-tiers banker og nogle af de finansielle teknologivirksomheder kæmpe med dette'.
Hvad skulle du gøre?
For det første, hvis du har tabt penge, skulle du allerede have fået kompensation. Hvis du er Tesco Bank-kunde, og du ikke tror, du har tabt, skal du alligevel holde øje med dine konti for mistænkelig aktivitet.
Tag altid passende sikkerhedsforanstaltninger med dine konti, såsom at holde loginoplysninger og pin-numre sikre, bruge komplekse online-adgangskoder og tjekke pengeautomater før brug.
Det er klart, at du kan forlade Tesco, hvis du ikke føler dig sikker, men det er værd at gentage, at det siger, at dets systemer ikke var kompromitteret, og at andre banker tidligere har stået over for deres egne, omend mindre succesfulde, angreb.
Tesco Bank cyberangreb: Alt hvad vi ved indtil videre
9 november
Tidligere på ugen bekræftede Tesco Bank, at tusindvis af kunder mistede så meget som £600 hver sidste weekend, efter at tyve stjal penge fra deres konti.
Det er det seneste i en voksende tendens til, at virksomheder bliver ramt af svindlere. Her er alt, hvad du behøver at vide.
Hvad skete der?
Det blev klart i weekenden, at en række af Tesco Banks foliokontoindehavere ikke kunne foretage onlinebetalinger, med antydninger om udbredt svindel og en logprop på kundeservicelinjer.
Benny Higgins, bankens administrerende direktør, bekræftede, at '40.000 konti så mistænkelige transaktioner i weekenden, hvoraf halvdelen havde penge', siger BBC .
Banken har siden revideret disse tal og meddelte i går, at omkring 9.000 mennesker fik stjålet i alt 2,5 millioner pund fra deres konti. Alle berørte kunder er nu blevet refunderet fuldt ud.
Hvordan ved jeg, om jeg er berørt?
Tesco skulle have underrettet dig via sms, hvis din konto blev identificeret som værende i fare. Nu skulle du have modtaget en refusion for eventuelle tabte penge.
Hvis du banker hos Tesco og ikke blev kontaktet, er det stadig værd at tjekke din konto for usædvanlig aktivitet.
I henhold til reglerne fra Financial Conduct Authority er banker forpligtet til straks at tilbagebetale penge, der er tabt som følge af svindel, medmindre de kan bevise, at du var uagtsom, eller bruddet skete for mere end 13 måneder siden.
Så jeg ved, om mine penge stadig er der?
Sikkert for nu. Men da Tesco ikke har frigivet nogen detaljer om, hvordan brudene skete, skal du holde øje med tingene, især da nogle kunder har fået taget op til £600.
I et forsøg på at berolige kunderne har Tesco udtalt, at kundedata 'ikke blev kompromitteret' under angrebet, siger BBC [1]. Så forhåbentlig betyder det, at hackerne ikke har midlerne til at begå yderligere svindel.
Så Tesco ved ikke, hvad der skete?
Chefer har fortalt BBC, at de ved præcis, hvad der skete, men at da det er en åben politiefterforskning, kan de ikke afsløre detaljer. Det eneste de siger er, at det var et 'systemisk, sofistikeret angreb'.
Robert Schifreen, redaktøren af webstedet for computersikkerhed Security Smart, er ikke glad for, hvad han ser som en mangel på gennemsigtighed.
'Det kan være ... at folk har knyttet skimme-enheder, kortlæsere og kameraer specifikt til Tescos pengeautomater, så de har fanget folks konti der,' sagde han til BBC.
'Det kunne være en, der arbejder i Tesco Bank, som har haft adgang til databasen. Det kunne være en anden, som Tesco har videregivet information til, og den information er blevet hacket.'
Hvad hvis jeg er berørt?
Hvis Tesco ikke allerede har kontaktet dig, så skal du selv ringe til banken. Det sigter mod at refundere alle tabte penge inden for de næste 24 timer.
I henhold til reglerne fra Financial Conduct Authority er banker forpligtet til at refundere penge tabt som følge af svindel, medmindre de kan bevise, at du var uagtsom, eller bruddet skete for mere end 13 måneder siden.
Hvordan kan jeg beskytte mig selv i fremtiden?
Uden at vide præcis, hvordan cyberangrebet skete, er det svært at finde ud af noget, som kunderne utilsigtet gør, som efterlader dem afsløret.
BBC siger, at fordi 'kriminelle kan have været i stand til at komme ind i bankens systemer uden input eller læk af information fra individuelle kunder... er der få indlysende forholdsregler, som kunderne kan tage'.
Du bør dog altid holde dine online kontooplysninger sikre, bruge adgangskoder, der er svære at gætte, og tjekke pengeautomater, før du bruger dem.
Til en vis grad er din skæbne altid i din banks hænder: hvis dens systemer bliver hacket, kan dine oplysninger blive taget. De fleste bruger kryptering og andre former for beskyttelse for at forsøge at forhindre dette.
Efter en undersøgelse i sidste måned, Hvilken? sagde, at Lloyds, Santander og TSB havde en forholdsvis dårlig rekord for at beskytte kundeoplysninger. Alle tre anfægtede resultaterne – og Tesco var ikke engang inkluderet.
Er Tesco alene?
Absolut ikke. HSBC var underlagt encyberangreb i januar, men den sagde, at den var i stand til at forhindre, at kundernes konti blev påvirket, selvom den også var nødt til at blokere adgangen til netbank i et stykke tid.
Virksomheder på tværs af økonomien bliver i stigende grad tvunget til at forsvare sig mod onlineangreb. I Storbritannien har højprofilerede virksomhedsofre inkluderet Carphone lager , TalkTalk og Vodafone
Hvordan er Tesco blevet påvirket?
Til en vis grad er hacket lille og repræsenterer kun 0,5 procent af dets syv millioner kundekonti, men investorer frygter altid, at et brud vil ramme kundernes tillid, så aktier er blevet ramt.
Tescos aktiekurs faldt 1,2 procent i dag til omkring 198,7p.
Angrebet er blevet beskrevet som det værste i britisk virksomhedshistorie og 'uden fortilfælde' af regulatoren, som Daily Telegraph siger kunne udstede en bøde til Tesco Bank, hvis den mener, at sikkerheden ikke var tilstrækkelig.
