Fw: [其他] Richart app被盜轉

[sp050612 (sp050612)]

※ [本文轉錄自 Bank_Service 看板 #1OCzSVdE ]

作者: sp050612 (sp050612) 看板: Bank_Service
標題: [其他] Richart app被盜轉
時間: Tue Nov 22 13:26:51 2016

上周才剛申辦Richart+@gogo信用卡

昨天才剛拿到金融卡 因為還沒拿到密碼所以還沒開卡

但單純使用Richart app發生非常離譜的盜轉

PO出來給大家做參考和評論...

------------------------------------

原PO背景交代

11/10 Richart app申請開戶+信用卡

11/14 分行身分認證 當天開戶核可

11/15 分行申請開通網路銀行+約定帳戶+存入7萬元

11/18 電話照會+核卡

11/21 收到Richart金融卡 密碼還沒收到 未開卡

------------------------------------

事情發生在今天(11/22)早上

因為在網路銀行已查到信用卡相關資料

開始設定綁定Richaart支付、申請電子帳單

10:13am 收到Richart app 手機推播 有一筆3萬元被轉出

立刻聯絡客服

詢問客服 發現Richart帳戶被透過"手機app" 轉帳到大眾銀行的未知帳戶

(原PO沒有任何與大眾銀行往來的帳戶)

客服說會協助聯絡

但我直接到警察局報案

12:00pm左右 完成警察局報案+拿到三聯單

同時到西門分行找該行 雷協理告知此項事情

該行 雷協理立刻協助聯絡大眾銀行 確定該筆3萬元仍在帳戶當中

已經協助圈存 等待銀行端後續調查....

希望可以拿回這筆錢QQ

------------------------------------

原PO使用的是iphone SE 沒有JB 沒有下載任何奇怪的大陸app 也沒有掉手機、借其他人

主要登入Richart app方式是用指紋認證

唯一懷疑的就是原PO沒有3G/4G網路 出門會使用公共網路...


才剛踏入行動支付/行動網銀/行動金鑰等等這塊領域...

上周才剛申請 就遇到這種倒楣事


轉帳當時手機在我手上 完全沒有做任何操作

駭客可以直接遠端遙控轉帳? 不須經過任何認證?

由於客服建議我把帳戶剩下現金先轉出 並改用戶代號及密碼

此時才第一次使用Richart app轉帳 發現轉帳只要按幾個按鈕 沒有金鑰認證

(但銀行回覆是說 一開始申請就有綁定金鑰認證 會在後台運作 不會再跳出一次)

分行 雷協理也表示目前沒有聽說任何類似案例

------------------------------------

問題

1.這樣的app使用上到底有沒有安全疑慮? 認證過程是否安全?

否則大票人放100萬在裡面生利息 會不會哪天就突然被轉走3萬?

這樣還要繼續信任台新 使用Ricahrt app嗎 囧....

2.原PO使用手機上常用公用網路 是否是造成資安易外洩的原因?

有沒有可以給的任何建議...

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 140.112.125.138
※ 文章網址: https://www.ptt.cc/bbs/Bank_Service/M.1479792415.A.9CE.html

※ 發信站: 批踢踢實業坊(ptt.cc)
※ 轉錄者: sp050612 (140.112.125.138), 11/22/2016 13:27:09
→ mac5566: 用公用網路，比如在咖啡廳連店家提供的wifi，本就風險高
→ mac5566: 然後...這應該是銀行板事務吧==
推 RunPaPa: 個人習慣，只用4G網路或是家裡wifi處理網路銀行事務
→ RunPaPa: 不會使用公眾wifi處理機密要事
→ RunPaPa: 我在網通廠工作過，要攔截公眾網路的資料其實不難...
推 a0683g10: 可能是Richart的連線沒有加密？
推 generally: 我要轉帳都轉出去失敗耶、原來是我沒開通轉帳功能
→ generally: 那我還是不要去申請好啦，好危險
推 chister: 狂
推 blueberrypie: 我使用超安全，從來沒有被盜轉過XD~
→ erotic: 就跟信用卡一樣,被盜刷的比例就是那麼少,而且也真的不知道
→ erotic: 這些被盜刷的人,手機使用情況,反正他們只會覺得都是銀行
→ erotic: 店家的錯,自己永遠沒錯...
推 dkramses: 原來台灣真的會有人去到公用網路的資料 OTZ
推 halulu: 有的地方公用wifi的速度根本是來惹惱人的
推 Go2: 公用WIFI真的速度會揍人
→ alex1973: 無線公用網路抓別人的封包是簡單, 但是也要內容沒加密,
→ alex1973: 才能方便利用. 要是封包加密過了, 還被破解盜用, 那 app
→ alex1973: 用的加密演算法可能有其他破洞..
→ yixianl: 要先金鑰裝置認證 即使公用網路抓到資料他又不能怎樣
→ yixianl: 要改金鑰要有金融卡 問題出在原PO的金鑰吧
願聞其詳 金鑰有問題是什麼意思@@?

推 ppc: 有點扯ㄟ
→ ppc: 不過我LTE吃到飽 中華+遠傳...不太用外面網路
推 foone: 惟一可能是手機被遠端搖控
→ LiamTiger: ....怎麼會有人用公用網路辦私人的事情....
→ LiamTiger: 而且richart要轉帳不是都要有台新的金鑰鎖定才能轉嗎
→ LiamTiger: http://i.imgur.com/8GSHyQS.jpg

我使用公用網路的意思並不是使用公用網路進行轉錢等金融行為

只是出門在外 吃飯時 順手登入Richart想查看看進度如何Orz

也不知道是不是只要這樣的"登入" 就會有可能被側錄...
※ 編輯: sp050612 (140.112.125.138), 11/22/2016 15:26:16
→ LiamTiger: 喔看到了還沒收到密碼  還是覺得很奇怪
推 netfly: 我只有約定轉帳功能
推 lmf24: 我覺得應該是銀行那邊失誤 不太可能是駭客
→ lmf24: Richart剛出來沒多久 普及率低 沒有專門的駭客團隊會鎖定
→ ROTFL: 公共wifi是很危險的
→ louis99941: 不是還要行動金鑰認證才能轉帳嗎?
→ enjoyyou: 我也覺得銀行端的問題 要有卡才能申請金鑰
→ enjoyyou: 有金鑰才能讓裝置透過APP註冊 之後才能使用app轉帳
噓 kiss377017: 出門會使用公共網路
→ conan805: 銀行端的問題吧 你沒有金鑰認證 要怎麼轉帳？
推 smallox59420: 覺得銀行問題+1
→ ROTFL: 你登入雖然沒key帳密，但後台執行還是有輸出帳密，只是你
→ ROTFL: 看不到而已
→ superbike: 需台新行動金鑰app+提款卡到ATM做行動裝置認證後才能轉
→ superbike: 帳不是? 你卡片都還沒拿到怎麼做行動裝置認證?不太合邏
→ superbike: 輯...
→ superbike: 更正, 你是還沒收金融卡密碼一樣無法認證才是.
但實際上 我今天在客服告知下 還沒完成密碼輸入、金鑰綁定等功能

就有把剩下的餘額轉出到其他帳戶以保障台新帳戶安全

所以似乎不用收到更改密碼 就可以轉帳的...

→ ROTFL: 電腦登入網銀轉賬不用金鑰
→ ROTFL: 從沒用公共網路，雖然有裝一堆26app也沒被盜過
推 sunchen: 關於金鑰背景執行這點我不大懂耶...android手機要轉帳時
→ sunchen: 不是金鑰會跳出來詢問要不要【執行】? 所以是IOS不會跳
推 LiamTiger: Ios會自動跳轉到金鑰的app
→ LiamTiger: 但是要先收到密碼函然後綁定那些啊
今天收到了密碼函 會盡快去設定

原來行動金鑰要完成密碼設定後才會出現 這樣也比較合理!

我的這個案例實在是太誇張了!

→ william7713: 台新多匯了300開戶禮給我 然後沒知會我一聲 也直接
→ william7713: 把300又轉出去 我是能理解要收回 只是沒知會就直接
→ william7713: 從銀行帳戶轉帳出去讓人感覺不好
→ william7713: 所以內部是可以轉帳的 說不定我猜最後是內部疏失
→ l98: 應該可以吧,上次R幣兌換活動的爭議台新不也是這樣處理?
→ you878787: 有寫用戶禮充正啊
推 gotyou: 我的沒有寫沖正…
推 rockchild: 我的有寫沖正 在交易明細裡
※ 編輯: sp050612 (140.112.125.206), 11/22/2016 21:04:47
※ 編輯: sp050612 (140.112.125.206), 11/22/2016 21:06:24
推 ladodo: 我也是多匯隔天又轉走，打去客服唸了一頓
→ ladodo: 沒通知就隨便轉走客戶的錢真的很過分，也很恐怖
→ way1214: 300多匯轉回 我也是苦主 一樣客服念一頓~
→ yixianl: 我之前露天轉到我郵局帳戶也是多轉一筆將近1萬也是沒通知
→ yixianl: 就轉走了...
推 barttien: 還好我跟台新絕緣
推 spirit119: 郵局也會這樣啊，好可怕
推 aaaa8866: 一堆鍵盤駭客，你又不是什麼大戶被他鎖定，還撈你封包勒
→ aaaa8866: 又不是吃飽沒事幹，金鑰都沒弄也不可能有人操控，這銀行
→ aaaa8866: 問題啦，會趕快搓掉，以免鬧到金管會
推 nrxadsl: 我的理查也沒有簡訊認證，我已經趕緊把錢都轉出去了，還
→ nrxadsl: 有一個人發文反應一樣台X，再加上前天新聞上也後續報導不
→ nrxadsl: 是鄉民說的誤轉或自己人偷用，只是記者沒寫出來手法而已
→ nrxadsl: ，真的別賭自己不會中，最近真的多事之秋
噓 l6333133: 可怕
推 ilovebig99: 公用網路..
→ a0356482: Jptt考古？！太時事了吧不是剛有手機被盜轉的新聞
噓 david12763: 台X太扯了吧
推 pio: 連卡都還沒拿到 可以直接送金管會了
→ pio: 原來是2016 = =
推 chpop: 應該是26 app搞鬼。公用網路 盜封包沒那麼神。 有多少封包
→ chpop: 在傳。要濾出你沒加密的那包又剛好有密碼 根本大海撈針