(引用 功夫熊猫:也可能运营商的漏洞... calller id显示啥时运营商可以控制的)moh也是。之前收到骗子冒充moh、电话显示的就是moh的号码 [本文发送自华新iOS APP] [树袋猪 (12-31 16:38, Long ago)] [ 传统版 | sForum ][登录后回复]21楼
(引用 小弟我:你银行至少在有CASE 发生时 就应该用中英文 SMS全部客人提醒咋骗。。。 )中这种诈骗的人估计天天都有，银行要是每次都sms全部客人，那天天都需要发[fqfp (12-31 16:42, Long ago)] [ 传统版 | sForum ][登录后回复]22楼
这事新闻没有写全按理说即使是网银的用户名密码泄露了，还有digit token这一步，特别是加新用户或者one time转账。
换句话说，如果客户自己不点击token的approve，是没办法继续的。[fqfp (12-31 16:50, Long ago)]
[ 传统版 |
sForum ][登录后回复]23楼
(引用 CodingTree:那些被骗的人难道还能自己手动添加一个自己不认识的收款人？这是很奇怪的东西，新闻稿中也没有提到这个事情。
怀疑报道并没有写出所有的...)我猜测了一下骗子的IT流程用户点击链接；
非法网页要求用户输入用户名密码或者scan singpass；
然后用户手机digital token要求用户approve；
骗子后台现在已经是用户A登录状态；
现在骗子可以随便加任何账户了（如果他们知道银行的后台API甚至可以自动加）；
用户A手机digital token弹出approve要求（这个应该是整个骗子过程中最难骗的一步，如果用户有仔细看，不应该点approve）；
添加成功以后转钱不超过每日限额就随便转了。
当然，看新闻里面一个用户平均被骗2万，也许骗子还会提高转款限额，再次要求用户digital token approve，因为大部分人日转款限额应该是5000？
[本文发送自华新iOS APP]
[滚雪球 (12-31 17:33, Long ago)]
[ 传统版 |
sForum ][登录后回复]24楼
(引用 滚雪球:我猜测了一下骗子的IT流程用户点击链接；
非法网页要求用户输入用户名密码或者scan singpass；
然后用户手机digital token要求用户approv...)早报报道的细节 用户自己给出去了用户名密码OTP在勿洛一带小贩中心经营肉干摊的许丽萍（47岁）告诉《新明日报》记者，本周二晚约10时收到来自“华侨银行”的短信，指户头即将被冻结，要她点击链接解锁。她当下慌张又担心，没多想就照做，两次输入登录密码和一次性密码（OTP）。
“画面显示，需要两小时才能完成，我将手机调至静音就睡去。”
岂料，许丽萍隔天起来发现，手机收到短信，指户头的8200元被转走，才恍然大悟。
[本文发送自华新iOS APP]
[大剑一筋 (12-31 17:55, Long ago)]
[ 传统版 |
sForum ][登录后回复]25楼
(引用 大剑一筋:早报报道的细节 用户自己给出去了用户名密码OTP在勿洛一带小贩中心经营肉干摊的许丽萍（47岁）告诉《新明日报》记者，本周二晚约10时收到...)没有用token就把8200转给陌生人的话属于漏洞吧只是smsopt为啥能转这么多给陌生人 [本文发送自华新iOS APP] [滚雪球 (12-31 18:39, Long ago)] [ 传统版 | sForum ][登录后回复]26楼
(引用 滚雪球:没有用token就把8200转给陌生人的话属于漏洞吧只是smsopt为啥能转这么多给陌生人)加个24小时延迟执行，也可以减少非常多的损失。[qingni2 (12-31 18:56, Long ago)] [ 传统版 | sForum ][登录后回复]27楼
其实我真的是不能理解为什么这样的骗局能够一而再再而三地得逞。其实都是一个套路啊！你不点我这个链接，那你就会受到损失。都不是新鲜戏码。 [本文发送自华新iOS APP] [love962397 (12-31 18:59, Long ago)] [ 传统版 | sForum ][登录后回复]28楼
(引用 love962397:其实我真的是不能理解为什么这样的骗局能够一而再再而三地得逞。其实都是一个套路啊！你不点我这个链接，那你就会受到损失。都不是新鲜戏...)总会有人粗心躺枪 而且一看ocbc发来的警惕性更加低了 [本文发送自华新iOS APP] [功夫熊猫 (12-31 19:06, Long ago)] [ 传统版 | sForum ][登录后回复]29楼
(引用 love962397:其实我真的是不能理解为什么这样的骗局能够一而再再而三地得逞。其实都是一个套路啊！你不点我这个链接，那你就会受到损失。都不是新鲜戏...)从工厂安全生产的角度看，就是没有一个安全的环境虽然每个事故都可以归咎到某某人不小心，但是大量的事故就是环境不安全，即缺乏一个安全的环境。
其实，要对付这种有政府撑腰的某岛骗子，必须要有对等的机构出面才可以，否则根本不是对手。本地其实可以去国内取经，很多方法简单而且非常有效，比如个人汇款默认24小时延迟，特别是第一次给某个账号汇款。[qingni2 (12-31 19:17, Long ago)]
[ 传统版 |
sForum ][登录后回复]30楼
关键是收款人是如何被添加的？新闻报道中完全没有被提及，这是极为可疑的操作。
怀疑是受害者银行账户绑定手机号码被篡改成诈骗者掌控的号码。
然后诈骗者自己添加收款人。
如果是这样，那么这是个银行安全漏洞，银行要负责。[CodingTree (1-1 9:07, Long ago)]
[ 传统版 |
sForum ][登录后回复]31楼
(引用 fqfp:这事新闻没有写全按理说即使是网银的用户名密码泄露了，还有digit token这一步，特别是加新用户或者one time转账。 换句话说，如果客户�...)很可能绑定手机号码被改成诈骗者掌握的号码了这样诈骗者就可以自己添加收款人了。[CodingTree (1-1 9:09, Long ago)] [ 传统版 | sForum ][登录后回复]32楼
(引用 滚雪球:我猜测了一下骗子的IT流程用户点击链接；
非法网页要求用户输入用户名密码或者scan singpass；
然后用户手机digital token要求用户approv...)手机digital token会自己弹出对话框吗？感觉应该是自己手动点进去的吧？
或者诈骗者把号码改成自己掌握的号码，诈骗者自己添加收款人[CodingTree (1-1 9:11, Long ago)]
[ 传统版 |
sForum ][登录后回复]33楼
(引用 CodingTree:手机digital token会自己弹出对话框吗？感觉应该是自己手动点进去的吧？ 或者诈骗者把号码改成自己掌握的号码，诈骗者自己添加收款人)你notification设置允许弹出就会自己弹出了啊没设置就自己去点digital token就可以approve了。但是看早报受害者描述似乎没有digital token，所以似乎有漏洞可以跳过转账限额？ [本文发送自华新iOS APP] [滚雪球 (1-1 9:39, Long ago)] [ 传统版 | sForum ][登录后回复]34楼
(引用 CodingTree:很可能绑定手机号码被改成诈骗者掌握的号码了这样诈骗者就可以自己添加收款人了。)是的我这边听到的信息也是点进去之后，第一步是更换手机号码，这一步是整个流程中最关键的。如果真是这样，那这个和之前的手机被盗，小偷盯上的其实是你的sim卡一样，都是手机号在银行认证中作用越来越重要，而电信系统的安全性确没有银行高。另外，大家说银行内部人员的问题，其实整个验证流程都是供应商提供的，我只能说这行的供应商众多，所以客户要选择大银行 [本文发送自华新iOS APP] [拉尔夫的玫瑰灰 (1-1 9:50, Long ago)] [ 传统版 | sForum ][登录后回复]35楼
(引用 拉尔夫的玫瑰灰:是的我这边听到的信息也是点进去之后，第一步是更换手机号码，这一步是整个流程中最关键的。如果真是这样，那这个和之前的手机被盗，小偷...)更换手机号码需要digital token approve吗？如果受害者自己把号码更改成别的号码，那么我们还能说什么呢。。。[CodingTree (1-1 13:02, Long ago)] [ 传统版 | sForum ][登录后回复]36楼
(引用 拉尔夫的玫瑰灰:是的我这边听到的信息也是点进去之后，第一步是更换手机号码，这一步是整个流程中最关键的。如果真是这样，那这个和之前的手机被盗，小偷...)安全性应该是mas管的吧其实ocbc也不算小了。本地其实应该政府出面协调各方搞定这些，很简单的东西，只有去抄国内的作业。我猜各位部长，技术出身的不多，可能对技术问题不敏感，或者有啥政治原因，不愿意和某岛闹翻。类似国内对安利网开一面。[qingni2 (1-1 13:20, Long ago)] [ 传统版 | sForum ][登录后回复]37楼
(引用 qingni2:安全性应该是mas管的吧其实ocbc也不算小了。本地其实应该政府出面协调各方搞定这些，很简单的东西，只有去抄国内的作业。我猜各位部长，�...)digitaltoken放在手机里和手机号码捆绑，[CodingTree (1-1 13:41, Long ago)] [ 传统版 | sForum ][登录后回复]38楼
(引用 qingni2:安全性应该是mas管的吧其实ocbc也不算小了。本地其实应该政府出面协调各方搞定这些，很简单的东西，只有去抄国内的作业。我猜各位部长，�...)digitaltoken放在手机里和手机号码捆绑，有诸多不安全的地方我之前提过的，万一被绑架，啥都没了。
另外就是诈骗者把受害者账号和自己掌握的号码绑定，那么受害者的所有钱财也就没了。
第二个还可以远程操控，对诈骗者更安全。
这个系统设计的太烂了，MAS里面真没有正常人了吗？
[CodingTree (1-1 13:45, Long ago)]
[ 传统版 |
sForum ][登录后回复]39楼
(引用 CodingTree:digitaltoken放在手机里和手机号码捆绑，)一直没有开通digitaltoken，如果这样，其实蛮危险的。毕竟sim卡是可以拿出来的。
我觉得本地银行，其实抄国内的作业就好了，根本不用自己开发新方法。[qingni2 (1-1 13:59, Long ago)]
[ 传统版 |
sForum ][登录后回复]40楼