可以理解我都差点点进去…问题是这个东西不熟悉OCBC的后台验证流程也不好把钱转出来吧。银行本身肯定有一定的责任啊，点了链接以后具体会发生什么？让你输入你的用户名，密码和手机验证码？然后也不能转账吧…
添加收款人需要用到token的啊
诈骗分子有能力跳过这一步吗？
非常好奇。
其实很多诈骗都是系统内部人士干的。
仗着了解内部流程和细节，比较容易得手。
非常好奇。
其实很多诈骗都是系统内部人士干的。
仗着了解内部流程和细节，比较容易得手。
添加收款人需要用到token的啊
为什么转到哪个账户看不到呢只要找到对方的账户就可以了吧…警察可以把对方账户的开户人姓名等信息都拿到的吧……拿不到锁不住的原因是什么？口对口，一个受害口，一个受益口，肯定能确认谁是谁。
很多人卖空白银行卡
你知道为什么了吧？
都是一整套的产业链
都是一整套的产业链
对哦怎么跳过token的？好像1000以下一次转账不需要token? 我也有这个短信，我自己测试一下。
(more...)
添加收款人应该用token
转账给现有收款人，数额小的话不需要token
我测试了digitan token就行，只需要手机上点approve就能加了
那些被骗的人难道还能自己手动添加一个自己不认识的收款人？
这是很奇怪的东西，新闻稿中也没有提到这个事情。
怀疑报道并没有写出所有的关键细节，好像造成了一个印象，受害者都是傻，好像ocbc没啥责任一样。
该不会诈骗者有方法添加收款人吧？
怀疑报道并没有写出所有的关键细节，好像造成了一个印象，受害者都是傻，好像ocbc没啥责任一样。
该不会诈骗者有方法添加收款人吧？
【吐槽】为毛这不是OCBC或电信运营商的锅?坠钓鱼短信骗局469华侨银行客户被骗850万元（早报讯）从12月1日至29日，共有469名华侨银行客户坠入钓鱼短信骗局，被骗总金额高达850万元。华侨银行一周内第二度发文告提醒客户警惕此类骗局，因为款项一旦由账户转出，再追回的可能性很低。
华侨银行今天（12月30日）傍晚发文告称，仍有不少客户坠入近期出现的钓鱼短信（smishing）骗局，截至12月29日，共有469名客户受骗，涉及总金额高达850万元。单单在圣诞节周末（24日至26日间），就有186名客户受骗，受骗金额达到270万元。
华侨银行早在12月23日曾发文告提醒客户警惕钓鱼短信骗局，不少客户收到不法分子冒充华侨银行发出的短信，称他们的银行账户或信用卡有问题。短信内含有一个伪装成银行网页的链接，客户一旦点击就会被链接到假网页上，然后被要求输入个人资料和密码。在12月8日至17日，就有26名华侨银行客户因钓鱼短信骗局，共损失了约14万元。
华侨银行在最新的文告中再次强调，为避免疑虑、防止欺诈，所有关于账户关闭或要求激活账户的通知都是通过纸质信件邮寄给客户。银行不会发短信提醒客户激活账户，一般账户在闲置12个月后就会被冻结，客户可到银行分行或通过网上银行重新激活账户。
华侨提醒客�
(more...)
关键是收款人是如何被添加的？
新闻报道中完全没有被提及，这是极为可疑的操作。
怀疑是受害者银行账户绑定手机号码被篡改成诈骗者掌控的号码。
然后诈骗者自己添加收款人。
如果是这样，那么这是个银行安全漏洞，银行要负责。
怀疑是受害者银行账户绑定手机号码被篡改成诈骗者掌控的号码。
然后诈骗者自己添加收款人。
如果是这样，那么这是个银行安全漏洞，银行要负责。
这事新闻没有写全按理说即使是网银的用户名密码泄露了，还有digit token这一步，特别是加新用户或者one time转账。
换句话说，如果客户自己不点击token的approve，是没办法继续的。
很可能绑定手机号码被改成诈骗者掌握的号码了
这样诈骗者就可以自己添加收款人了。
我猜测了一下骗子的IT流程用户点击链接；
非法网页要求用户输入用户名密码或者scan singpass；
然后用户手机digital token要求用户approve；
骗子后台现在已经是用户A登录状态；
现在骗子可以随便加任何账户了（如果他们知道银行的后台API甚至可以自动加）；
用户A手机digital token弹出approve要求（这个应该是整个骗子过程中最难骗的一步，如果用户有仔细看，不应该点approve）；
添加成功以后转钱不超过每日限额就随便转了。
当然，看新闻里面一个用户平均被骗2万，也许骗子还会提高转款限额，再次要求用户digital token approve，因为大部分人日转款限额应该是5000？
手机digital token会自己弹出对话框吗？
感觉应该是自己手动点进去的吧？
或者诈骗者把号码改成自己掌握的号码，诈骗者自己添加收款人
或者诈骗者把号码改成自己掌握的号码，诈骗者自己添加收款人
是的我这边听到的信息也是点进去之后，第一步是更换手机号码，这一步是整个流程中最关键的。如果真是这样，那这个和之前的手机被盗，小偷盯上的其实是你的sim卡一样，都是手机号在银行认证中作用越来越重要，而电信系统的安全性确没有银行高。另外，大家说银行内部人员的问题，其实整个验证流程都是供应商提供的，我只能说这行的供应商众多，所以客户要选择大银行
更换手机号码需要digital token approve吗？
如果受害者自己把号码更改成别的号码，那么我们还能说什么呢。。。
安全性应该是mas管的吧其实ocbc也不算小了。本地其实应该政府出面协调各方搞定这些，很简单的东西，只有去抄国内的作业。我猜各位部长，技术出身的不多，可能对技术问题不敏感，或者有啥政治原因，不愿意和某岛闹翻。类似国内对安利网开一面。
digitaltoken放在手机里和手机号码捆绑，
安全性应该是mas管的吧其实ocbc也不算小了。本地其实应该政府出面协调各方搞定这些，很简单的东西，只有去抄国内的作业。我猜各位部长，技术出身的不多，可能对技术问题不敏感，或者有啥政治原因，不愿意和某岛闹翻。类似国内对安利网开一面。
digitaltoken放在手机里和手机号码捆绑，有诸多不安全的地方
我之前提过的，万一被绑架，啥都没了。
另外就是诈骗者把受害者账号和自己掌握的号码绑定，那么受害者的所有钱财也就没了。
第二个还可以远程操控，对诈骗者更安全。
这个系统设计的太烂了，MAS里面真没有正常人了吗？
另外就是诈骗者把受害者账号和自己掌握的号码绑定，那么受害者的所有钱财也就没了。
第二个还可以远程操控，对诈骗者更安全。
这个系统设计的太烂了，MAS里面真没有正常人了吗？
是啊，看你每次被怼我都感到莫名其妙。虽然被绑架概率不大，但偷手机然后破解手机概率可不小。一旦手机被破解，添加指纹验证，邮箱网银都随便指纹登录，然后想改什么东西，不论邮件验证还是短信验证都没有任何意义了。
受害者手机被偷的时候，
上面还留有大量受害者的指纹。。。
通过技术手段可以提取出来的。
那些诈骗者简直笑疯了。。。
通过技术手段可以提取出来的。
那些诈骗者简直笑疯了。。。
我能想到的有两个办法。第一个是病毒控制了手机，可以后台收发短信，神不知鬼不觉接受验证码。但感觉这个可能性极小。
第二个是普通钓鱼网站，你填啥他拿到啥。第一步进假网站，骗子拿到用户自己提供的用户名，登录密码。用户看到的是页面登录不成功，于是准备第二次登录。同时骗子成功登录账户，迅速尝试更改手机号码，这时需要一次性密码，并被银行发送到受害者手机。受害者以为是登录用的，没想到是更改手机号码用的，于是又填了一次。骗子成功拿到两次手机验证。
更改手机号码如果只需要手机一次性密码，那简直是太扯了
手机号码是根本中的根本，怎么可以改的这么随便？
这必须用digital token进行验证啊。
这必须用digital token进行验证啊。
华新中文网致力于为新加坡留学生、工作人士及华人同胞提供交流空间和服务平台
关于我们┊ 广告服务┊ 联系方式┊ 华新博客┊ 经典怀旧┊ 投递作品
Huasing Association 1999 - 2013
