E-banking Phishing网页新招及TAC Device讨论

福气又安康

昨天小弟收到一封电邮，如下：



自称来自CIMB银行的人sent过来的。电邮地址竟然是pharm@ju.edu.jo，这是来自约旦国的大学的一则电邮。

刚好CIMB在最近upgrade了它的CIMBClicks，看到电邮内容的可能会觉得这就是CIMB银行寄过来的。

之前类似这样的phishing电邮都给一个link我们click进去，但是这个新的电邮竟然给一个.mht的文件我们下载。我相信下载之后，当我们点击这个文件就会出现一个网页，给我们填上我们的资料，再盗取我们银行的钱。

之前的phishing电邮是这样的，




小弟在此希望大家看到可以警惕，已经告诉身边的朋友别相信这些电邮，以免上当。

这个CIMB银行的确是提高了它的网站保安措施，增加了一个SecureWord，还有一个小玩意儿的device来generate TAC号码。


但我发现自从它提高了所谓的保安措施，我发现我transfer钱给我favourite accounts的时候，是不需要TAC的。

不懂网友们有没有遇到同样的事情（不用TAC就可以转帐给fav acc）？

饼干及面包

回复 1# 福气又安康

謝謝樓主的分享。

不過最近CIMB的升級，把我所以的信用卡戶口弄不見了，要重新申請。

福气又安康

实在不想看到太多人找张天赐了。

看到都心痛。一些受过高等教育的人士都会上当。

~@Star@~

谢谢分享。。

mypromise

把我所以的信用卡戶口弄不見了 ...
饼干及面包 发表于 1-6-2011 10:12 AM

   搞这么大，还要重新申请？？等一下他reject / cl 低过之前就糟糕了

sunofapril

MBB, PBB, HLB, SCB轉賬給FAVOURITE PAYEE 或A/C，都不需要TAC的。其他的，還沒有用過。

福气又安康

哇唠，昨天才给我识破，今天再次收到同样内容的电邮。

但是电邮改了，而且改去cimb.com的domain。不懂是不是内鬼。



我刚刚电邮了CIMB银行的CS，希望他们尽早回复我，然后再post上他们的回复。

大棵呆

transfer 去 FAV Account 是不用TAC的, 因为他也拿不到.

今天我也是一样收到来自 ‘Maybank Group' 的，网页内容已更新和真正Maybank的一样模样了。还是和以前一样，我每次都login 进去的，只是Username 是放 f uckyou, password是8811967，TAC也是乱打。
要完野 ~~ 来，奉陪。哈

福气又安康

回复 8# 大棵呆

哈哈，看来要想你学习了。

ahlauweihotmail

保安措施做得最好的是汇丰银行。
汇丰的security device 是免费的，CIMB 需六十五块。

电费、水费、公积金等，你只需把它们设为 FAV，过后就不需 TAC 了。其实也不是真的不需要TAC，只是第一次当我们把那些 3rd party 账户设为 FAV 时已用过了 TAC，过后系统就可以分辨那些都是你 FAV，所以之后也不用 TAC 了。

zaccheus4127

保安措施做得最好的是汇丰银行。
汇丰的security device 是免费的，CIMB 需六十五块。

电费、水费、公积 ...
ahlauweihotmail 发表于 2-6-2011 04:22 PM

    对！我也是HSBC的，我觉得比HLB & MB好用。

luichaiyen

谢谢分享。。。

etking

transfer去favorite account真的不用tac，因为你在加favorite account的时候已经用tac了。

那个小小的tac generator本来我有兴趣，但看了价钱后。。。。

cimb最近整天log in不到 :@

limsk800403

回复 1# 福气又安康


    我没有CIMB,RHB 户口的，也会收到 这些电邮， 这才出奇，哈哈

periwinkle

我的mbb, pbb, cimb一直以来转钱给fav account都是不用tag 的。。。应该是每家都一样的吧

福气又安康

回复 10# ahlauweihotmail

多少人会用65块钱买这个东西呢？这个device跟电话sms的特点在那里？
莫非这个小玩意儿，早早就已经给系统set了一系列的TAC，譬如说100个，然后只要持有者按一次，得到一个TAC号码，那么CIMB就会接受这100个号码内的其中一个号码了？安全度会高过sms吗？


这device肯定没有蓝牙或infrared吧？

zer0tsubasa

junk mail 我直接丢，看都没看。至于银行的mail，我是不会去click里面任何的Link

yesphun

回复  ahlauweihotmail

多少人会用65块钱买这个东西呢？这个device跟电话sms的特点在那里？
莫非这个小 ...
福气又安康 发表于 3-6-2011 09:33 AM

CIMB的需要付款。我想这个东西的运作方式是跟HSBC一样的吧。

HSBC是不用钱就可得到这个device，安全度是比SMS来得高，因为每一组号码都有个使用期限，和SMS的TAC一样会过期。

这是HSBC的：

在您登录网上银行以及执行所选网上交易时，Online Security Device(安全密码器)将生成一个具有时间限制的六位专用Security Code(安全密码)供您使用。Security Code(安全密码)由Online Security Device(安全密码器)内部基于时间的运算法则生成。HSBC数据库中妥善保存了每个Online Security Device(安全密码器)的匹配文件和匹配算法。
在您激活Online Security Device(安全密码器)后，HSBC将要求您输入Serial Number(安全密码器序列号)，确认您持有哪个密码器。Serial Number(安全密码器序列号)无安全价值，仅用于银行确认客户持有哪个密码器。Online Security Device(安全密码器)经PBN (个人银行号码)激活后仅适用于该PBN (个人银行号码)。
在您使用网上银行时，系统将要求您输入Security Code(安全密码)，并与文件内的期望码加以对比。若二者匹配，您便通过验证。若二者不匹配，系统将要求您重新输入Security Code(安全密码)。

福气又安康

回复 18# yesphun

谢谢你的讲解。我看CIMB这个新玩意儿也是大概和HSBC的差不多使用方式。看来未来会有跟多银行提供这种device了。


只是感觉奇怪HSBC如何吸纳提供这种device的成本。

NBK1965

总之，Email来的东西，不要乱给资料，银行已经重复说这么多次，银行绝对不会用Email和电话跟客户拿资料。还是有人上当，哀！