Nieuws
Golf van oplichtingsgesprekken waarbij bellers zich voordoen als bankmedewerker
De Fraudehelpdesk ziet een sterke toename van telefonische oplichting waarbij criminelen zich voordoen als medewerker van de bank en slachtoffers vragen een beheerapp te installeren.
De bellers gebruiken daarbij een gespoofd telefoonnummer dat overeenkomt met het echte nummer van de bank. Slachtoffers wordt gevraagd een app te installeren zodat 'de beveiliging gecontroleerd kan worden'.
In werkelijkheid gaat het om schermdelingssoftware waarmee de oplichter meekijkt tijdens het inloggen en vervolgens zelf overboekingen goedkeurt.
Banken benadrukken dat zij nooit vragen om het installeren van software. De schade in de eerste helft van dit jaar bedraagt volgens de Fraudehelpdesk ruim negen miljoen euro.
22 reacties
Zolang nummerspoofing gewoon werkt, blijft dit lukken. De techniek om dit te blokkeren bestaat al jaren.
Mijn vader kreeg dit ook. Wat hem redde was dat hij ophing en zelf terugbelde. Dat advies kan niet vaak genoeg herhaald worden.
Schermdelingsapps zouden op een telefoon een veel duidelijkere waarschuwing moeten geven.
Dank, dat verklaart wel het een en ander. De documentatie zegt iets anders, maar de praktijk geeft jou gelijk.
Mooi voorbeeld waarom open source niet automatisch veiliger is, maar wel controleerbaarder.
Blijft bijzonder dat we telemetrie normaal zijn gaan vinden. Uitzetten kan meestal wel, maar het staat nooit standaard uit.
Vraag me af of de AVG hier ook een rol speelt. Er zijn duidelijk persoonsgegevens mee gemoeid.
CVSS 9.8 en dan geen automatische update. Dat is in 2026 echt niet meer uit te leggen aan je klanten.
Kan iemand uitleggen waarom hier authenticatie ontbreekt? Dat is toch geen ontwerpfout van gisteren.
Dat valt in de praktijk tegen. Dat geldt voor de zakelijke variant, thuisgebruikers hebben die knop helemaal niet.
Het echte risico zit in de koppelingen. Systeem A is misschien veilig, maar de API-token in systeem B niet.
Precies dit. Ik heb het hier net getest en kan het bevestigen.
Wij hebben dit vanochtend gepatcht, downtime was ongeveer tien minuten. Prima te doen als je het voorbereidt.
Goed punt, maar Dat is precies wat de leverancier vorig jaar ook beloofde, en kijk waar we nu staan.
Weer een update die je binnen 24 uur uitgerold moet hebben. Bij ons draait de patchcyclus op maandag, dus dat wordt handmatig ingrijpen.
Precies dit. Dat is precies wat de leverancier vorig jaar ook beloofde, en kijk waar we nu staan.
90 dagen bewaartermijn voor logs is echt het minimum. Bij een gemiddelde inbraak zit je daar zo overheen.
Ik heb de betreffende dienst maar uitgezet. Functionaliteit die je niet gebruikt is functionaliteit die je niet hoeft te patchen.
Interessant dat het lek al maanden bekend was bij de leverancier. Responsible disclosure werkt alleen als de andere kant ook meewerkt.
Ik ben benieuwd hoeveel systemen er over een half jaar nog ongepatcht zijn. Meestal is dat percentage schrikbarend hoog.
Grappig hoe zo'n woordvoerder altijd spreekt van 'een beperkt aantal klanten'. Dat blijkt achteraf structureel anders.
Klassieke fout: de client controleert de rechten, de server niet. Zie je nog verrassend vaak.
Reageren kan na registratie.
Inloggen
Meer nieuws