Citibank, 2.7 miljoner dollar stulna och PCI DSS

För ett par veckor sedan tillkännagav Citibank ett intrång i sina system där delar av 360 000 kunders information förlorades. Informationen som stals saknade viktiga detaljer så som CVV-kod och utgångsdatum för kortnummer, men har alltså trots det resulterat i att 2,7 miljoner dollar försvunnit från kundernas kort. Pengar som Citibank naturligtvis nu ersätter.


Det är inte första gången som Citibank råkat ut för intrång. Vad som gjorde mig förbluffad den här gången var dock sättet det gjordes på, och de senaste veckorna har många i min omgivning fått höra mig försöka komma till freds med att en bank ännu år 2011 kan ha såna rudimentära sårbarheter. Det där är liksom inte några avancerade buffer overflows vi pratar om, det är grejer som är så konceptuellt enkla och genomförbara att jag på 2 minuter kan lära min svärfar göra det!

Hur som helst, som min gamla kollega Stefan Pettersson sa så kanske bankerna har tjänat massor på att skita i att ta tag i såna här problem och istället ta eventuella kostnader i efterhand. Vi vet helt enkelt inte. Men det är i det här sammanhanget som kortbolagens sätt att hantera sin ekonomi på blir så intressant.

Sedan ett antal år tillbaka har kortbolagen ett gemensamt regelverk (PCI DSS) för hur informationssäkerheten runt kortnummer skall skötas. Att få alla spelare att leva upp till de kraven är en historia i sig, men för sakens skull kan vi säga att de påtryckningsmedel som används alla syftar till en och samma sak: att kortbolagen ska tjäna pengar och slippa kostnader eller uteblivna inkomster relaterade till dålig säkerhet kring korthantering. Det finns förstås diverse avtal runt ämnet också, och dessa utnyttjas både i förebyggande syfte, och i händelse av en incident.

Kortbolagen ser numera till att om en incident sker som skadar kortbolagen ekonomiskt, så kommer kortbolagen se till att skjuta ner den här kostnaden på den som hade kunnat förhindra incidenten. Genom det så eliminerar kortbolagen en externalitet.

Vad betyder det rent praktiskt för korthanterarnas approach till riskhantering? Jo, att även om det en gång i tiden varit lönsamt för dem att skita i säkerheten, så kommer det nu vara mindre lönsamt för dem om det kommer en incident. Frågan är vad som kommer vara Citibanks största kostnad när räkningen för den senaste incidenten summeras: utredningen, åtgärderna, de stulna pengarna, eller... kortbolagens "böter".

Det är fortfarande möjligt att det är ekonomiskt lönsamt för Citibank att fortsätta på samma väg som tidigare, och då är det något vi som samhälle skall omfamna för det kommer sannolikt vara den bästa vägen för samhället i stort. Det vi ska slå ner på är externaliteter, inte enskilda aktörers brist på säkerhet.

Spammarnas topp 3 banker är från Azerbadjan, Karibien och ... Norge!?

Ja, ibland blir man förvånad. En studie som publicerats av University of California har kikat närmre på hela kedjan av aktörer som tjänar på spamannonserad försäljning, däribland banker. Studien visade att tre banker tillsammans står för 96% av alla utbetalningar till spammarna. Dessa banker tjänar förstås fina pengar på det, men man kan ifrågasätta bankernas agerande både etiskt och juridiskt.

Att Karibien och Azerbadjan finns med i lite skumma sammanhang lär inte förvåna, men att en norsk bank så öppet är med förvånar åtminstone mig. Jag tog därför kontakt med den norska banken för att höra hur de ställde sig till att tjäna pengar på sådan verksamhet.

Svaret kom snabbt att det var via uppköp av en lettisk bank som de fått med sig en viss kund, och att kunden redan sagts upp efter en intern genomgång. Så världen fortsätter vara lite bekant trots allt :)

Även Nordea har åkt på problem

Swedbank gick ner i fredags. Idag är det Nordeas tur. I skrivande stund ligger nätbanken nere, okänt varför.

Swedbank kom aldrig med någon förklaring till fredagens nertid. Rykten förekom att Anonymous på något vis var inblandade. När nu Nordea går ner bara ett par dagar senare kan jag därför inte annat än undra om även Nordea har drabbats av ett allvarligt "anonymt" intrång.

Vi får väl se om det kommer någon officiell förklaring..

Swedbank nere igen, och igen...

Swedbank ligger återigen nere. Ingen information har hittills synts till om varför.

Förra veckan rapporterades det om att Swedbank troddes vara försökskaniner för "superhackare". Jag dissade då framförallt rapporteringen av det, som vilade tungt på DDoS-vinkeln, samtidigt som den verkliga storyn missades.

Den här gången så har inget rapporterats än, men i vissa kretsar förekommer spekulationer om att Anonymous är inblandade. Skulle så visa sig vara fallet kan det vara intressant att komma ihåg vilka motiv Anonymous tidigare haft. Nämligen rent politiska motiv. Media har på senare tid rapporterat mycket om bankernas stora vinster, höjda räntegap och höjda löner för vd - samtidigt som bankerna hamnat i konflikt med fackförbundet för att de "lägre" anställda inte får en garanterad lönehöjning.

Låter verkligen som en grogrund för ett politiskt motiverat "hack". Undrar hur många företag som över huvud taget tänker på att de kan bli utsatta för intrång på grund av att deras beteende ter sig svinaktigt? De ekonomiska skadorna av ett intrång kan bli mycket stora, speciellt om intrånget kommer från någon som vet vad de håller på med.

Swedbank försökskanin för superhackare?

Dagens Nyheter har idag en artikel med rubriken "Swedbank utsatt för superhackare". Underlaget till artikeln kommer från Wikileaks och diplomatdokumenten, men rubriken kan man misstänka kommer från DN själva. Utifrån innehållet i artikeln är det absolut löjliga rubriker och slutsatser som dras.

Swedbank har tidigare visat tecken på sämre fungerande säkerhet än flera andra svenska banker, men en DDoS-attack kan knappast sägas vara varken sofistikerad eller ge något relevant underlag för hur DDoS-angrepp mot andra banker skulle arta sig.

Tyvärr har flera andra tidningar och även TT snappat upp det som skrivits och gör rubriker av det. Det är synd, för DN har tidigare varit ganska bra på sin rapportering kring IT-säkerhet. Förvisso är det flera olika journalister och ämnen, men visst ska det väl vara meningen att en tidning ska hålla en jämn standard oavsett vilken journalist som skrivit artikeln, eller vilket ämne den är om? Den här artikeln har snarare drag av sensationsjournalistik och bristande insikt.

Det finns en story i det ursprungliga dokumentet, men den är inte vad som skrivs om i de svenska tidningar idag...

Alla stans bankomater trojaniserades av insiders

... nej det är inte i Stockholm, utan Yakutsk i Ryssland. Stans alla bankomater trojaniserades av den lokale IT-chefen, en systemadministratör, en tredje man som skulle vara pengaåsna och en fjärde som skrev själva trojanen.

Incidenten påminner om hur viktigt det är med separation av roller i miljöer som kräver hög säkerhet. Som Wikileaksdokumenten har påmint om så förekommer det alltid ett visst mått av insiders. Det måste man räkna med. Därför ska det begränsas vad en enstaka person kan åstadkomma, och att man i känsliga miljöer ska ha dedikerad personal för att hantera säkerhetsfrågorna.

Chefen skall inte heller per automatik ha samtliga behörigheter. Jag har själv utrett insiderfall i Sverige där just den lokala chefen har varit den som i slutändan visat sig vara den drivande kraften. Det räcker oftast gott med att chefen har administrativ kontroll över företaget, men att ge chefen fullständig teknisk tillgång till allting är bara onödig risk.

Swedbank nere, igen...

Igår eftermiddag och kväll var stora delar av Swedbanks IT-system otillgängliga. Internetbanken var nere, telefonbanken var nere, det gick inte att hämta ut pengar från bankomaterna och Maestro-korten gick inte att betala med.

Det här är inte första gången Swedbank har avbrott. Faktum är att Finansinspektionen rapporterade 2008 om att Swedbank och avbrott i den IT-stödda verksamheten hade ett starkt samband. Finansinspektionen konstaterade bland annat att: "Sparbankerna som är beroende av Swedbank för sin it-drift rapporterar markant fler avbrott än övriga sparbanker."

Då, 2008, när Anna Sundblad på Swedbank konfronterades med dessa siffror i Computer Sweden, lät det såhär: "– Det är ju inte bra när det blir stopp. Men kunderna har alltid kunnat nå oss, om internetbanken har legat nere har telefonbanken fungerat, och vice versa."

Not this time.

Den stora frågan jag egentligen vill lyfta fram med det här är att det finns inga legala krav på att bankerna ska vara tillgängliga 24/7, men det finns däremot en stor förväntan om det från samhällets sida. Situationen är precis den samma när det gäller mjukvara och säkerhet.

Jag har mer än en gång stött på mjukvarutillverkare som säger att säkra system inte är något deras kunder efterfrågar och därför anser tillverkarna att det är helt ok att leverera system med fler hål än en schweizerost.

Jo, visst, kunderna är generellt dåliga på att kravställa säkerhet, men det finns ändå en stor förväntan om det. På samma sätt som att när jag köper en bil så kravställer jag inte att gaspedalen inte ska fastna i full gas, eller att ratten inte ska lossna när jag kör... även utan specifik kravställning är det rimligt att ha en förväntan om en viss basnivå.

Här är min debattartikel i TechWorld från 2009 då jag manade till bättre kravställning från kunderna. Det står jag fortfarande fast vid.

... och skulle det vara så att man prioriterar bankens tillgänglighet väldigt högt så gör man gott i att lämna Swedbank. Det är inte en isolerad incident, Swedbank har uppenbarligen systemfel som de har svårt att komma tillrätta med.

Personligen har jag ett möte med mitt lokala Swedbankkontor om två veckor för att diskutera att bli kund hos dem. Så länge de ersätter mina förluster är deras IT-problem inte något jag är villig att betala flera tusen kronor per år för att slippa. Däremot kommer jag kanske luta åt en konkurrent om konkurrentens erbjudande är liknande.