作者: WaterDragonI (水龍) 看板: creditcard
標題: [新聞]資安升級被駭 遭盜刷成冤大頭
時間: Thu Oct 4 06:43:10 2012

資安升級被駭 遭盜刷成冤大頭

http://tw.money.yahoo.com/news_article/adbf/d_a_121002_1_3elri

( 2012/10/02 14:02 中央社 )
(中央社記者陳舜協台北2012年10月2日電)楊姓民眾使用高安全性網路刷卡驗證碼,被
駭後遭盜刷卻成冤大頭。[1;33;40m金管會官員今天承諾將強化銀行驗證程序,保護消費者權益。[m

親民黨籍立法委員李桐豪上午召開「信用卡盜刷防不了,網路驗證碼破功?」記者會,指
近來多家信用卡公司及發卡銀行為提高網路交易安全,推動網路驗證密碼,但有消費者疑
似驗證密碼被駭,因不知驗證密碼「服務約定條款」規定,反而被銀行要求付款。

楊姓申訴人說,他今年8月初前往埃及旅遊時,被家人通知,銀行要求確認5筆購買廉價航
空機票、射擊運動等約新台幣11萬餘元的網路刷卡消費,當時即告知銀行為盜刷。

不過,銀行之後以這5筆刷卡有使用網路驗證密碼,依「服務約定條款」約定,若使用網
路驗證密碼並回答提示問題正確,產生的交易即視為持卡人本人的交易,「持卡人不得否
認」,楊姓民眾申訴無門。

李桐豪說,[1;36;40m消費者盼提高網路交易安全而使用網路驗證碼,且顯然可能因電腦被駭而被其[m
[1;36;40m他人知悉,卻因「服務約定條款」的不合理規定無從申訴,拒繳還會被加收懲罰性利息,[m
他要求應改善。

金融監督管理委員會銀行局科長周怡玫表示,楊姓申訴人的個案可視為「詐欺消費」,發
卡銀行可列為爭議帳款,消費者不會因「服務約定條款」被強迫支付遭盜刷金額。

[1;33;46m周怡玫還承諾,1個月內會要求銀行修正網路驗證密碼「服務約定條款內容」,更加保護[m
[1;33;46m消費者,加收懲罰性利息規定也會一併修正,並要求銀行強化刷卡後的驗證程序。[m
1011002

--

喔?歸責不知道有無可能被打回原形.....再度回到由銀行負責舉證的狀況....
這樣3D驗證根本就是破功囉∼ 科科∼
--
科科∼還真的OP了∼補上別家新聞∼跟小資訊....
--

http://www.libertytimes.com.tw/2012/new/oct/3/today-e22.htm

[1;36;40m信用卡遭網路盜刷 金管會挨批[m

〔記者顏若瑾╱台北報導〕楊姓民眾昨在立法院親民黨團陪同下召開記者會指出,他日前
遭網路盜刷11萬多元購買飛往匈牙利廉價機票與槍枝,他立刻致電銀行告知信用卡遭盜刷
,但銀行卻以消費已輸入網路驗證碼為由,要求持卡人須負責。親民黨團質疑,網路驗證
碼本是為期提高網路刷卡的安全性,現在反讓消費者承受全部疑義帳款的責任,顯見金管
會疏於監督,金融消費評議中心更沒有保障消費者權益。

金管會銀行局科長周怡玟說,[1;33;46m這筆交易確實使用了驗證碼,持卡人不能否認這幾筆交易不[m
[1;33;46m存在;但爭議款項有不同請求事項,消費者可以提出證明詐欺的交易資料,循爭議款項管[m
[1;33;46m道處理;至於契約文字合理與否,銀行局可要求銀行寫得更精確,款項在爭議期間的利息[m
[1;33;46m,銀行局將研議是否訂定規範,朝不能超過持卡人原有年息的方向研議。[m

楊姓民眾表示,今年8月接獲銀行通知,他有幾筆海外線上交易,是刷卡購買前往匈牙利
廉價機票與槍枝,總價約11萬元,他隨即告知銀行他沒有行使這些交易項目,恐是遭盜刷
,要求銀行控管信用卡,銀行也隨即將交易列為爭議款項,孰料銀行之後卻以網路驗證碼
輸入正確為由,認定這是消費者知悉密碼狀況下的行為,責任在持卡人。

親民黨團總召李桐豪指出,民眾申請信用卡網路驗證碼時,必須簽署一份服務約定條款,
內容明示「持卡人同意若交易過程中有輸入上述個人密碼、提示問題與回答等機密訊息,
此交易即視為持卡人本人的交易,持卡人不得否認」,換言之,使用網路驗證碼,消費具
不可否認性,即便遭盜刷,仍須自行負起全部帳款責任,沒有免責的可能性,等於是讓銀
行與信用卡公司責任全免。

李桐豪表示,持卡人提起爭議款項後,若銀行端認定爭議無效,要求當事人支付爭議款項
,銀行會自付款當日開始,按懲罰性利率計算應付款項,有的年利率高達兩成,非常不合
理;親民黨團要求,利息應比照持卡人信用條件下的應付年息計算。
==============================================================================

[1;36;40m遭人盜刷信用卡 持卡人竟要承擔[m

【台灣醒報╱記者劉彥萱╱台北報導】

http://udn.com/NEWS/BREAKINGNEWS/BREAKINGNEWS2/7403620.shtml

2012.10.02 07:00 pm


隨著網路購物越來越普及,民眾可要小心信用卡遭盜刷!親民黨立委李桐豪表示,消費者
上網購物,若遭第三人盜刷信用卡,必須負擔全部「疑義帳款」之責任,顯現出金管會疏
於監督,並未保障消費者權益。對此,金管會科長周怡玫表示,會在三個月之內針對銀行
合約研議修改。

楊姓民眾陳情投訴表示,信用卡遭人盜刷13筆交易,損失了11萬元。然而銀行卻以前5筆
有輸入VISA 3D驗證碼為由,要求楊姓民眾負擔全部帳款。

李桐豪表示,銀行以民眾知悉密碼之由來要求其負擔全責,非常不合理。金管會應立即調
整服務約定條款的條文內容,並調查與楊姓民眾同樣受害的持卡人案例,釐清疑義帳款的
清償責任。

此外,根據信用卡定型化契約13條規定,凡因發生疑義而暫停付款之帳款,持卡人於受銀
行通知後應立即繳付,並自原繳款期限之次日起,以年息百分之N計富利息予銀行。李桐
豪對此表示,不應增加持卡人之利息,此條款等同懲罰持卡人。

李桐豪說,信用卡公司推廣驗證碼主要是要讓網路刷卡多一層防護,然而服務約定條款要
求消費者不讓任何人知道密碼、提示問題,與回答機密訊息,並明訂使用密碼完全交易均
視為消費者同意下之行為,但如今銀行與信用卡公司卻要讓消費者獨自承擔網路盜刷的行
為風險。

周怡玫表示,[1;33;46m持卡人雖無法主張「沒有交易」事實,但可以提出詐欺交易,要求列為「爭[m
[1;33;46m議帳款」。此外,根據此缺失,會在三個月之內針對銀行合約說明做研議修改,與相關銀[m
[1;33;46m行機構溝通,設立保護消費者的機制條款,保障消費者的權益。[m

全文網址: 遭人盜刷信用卡 持卡人竟要承擔 | 社會 | 即時新聞 | 聯合新聞網

http://udn.com/NEWS/BREAKINGNEWS/BREAKINGNEWS2/7403620.shtml#ixzz28IYRW1PF
Power By udn.com

============================================================================

[1;36m2012黑帽大會搶先看:輕忽POS漏洞 小心外洩信用卡號與PIN碼[m

作者:編輯部 2012 / 07 / 30

2012年黑帽大會(Black Hat)在美國拉斯維加斯開跑,來自英國MWR InfoSecurity的兩位
安全研究人員Nils與Rafael Dominguez Vega在大會中展示,如何使用端點銷售情報系統
(POS, Point of Sale)存在的漏洞,竊取信用卡號碼和PIN碼。

現場展示中,Nils和Vega挑選了三款不同的POS機型,不過這三款產品的logo都用貼紙貼
住,Nils表示,其中兩款在英國相當普及,另一款則在美國市場很受歡迎。但Nils拒絕透
露這三款機型的品牌,他表示,希望給予廠商一些時間去修正這些漏洞,目前這些廠商已
被告知了這些漏洞,其中一家公司也已經著手修補。

兩款在英國相當普及的POS機型,其卡片付款應用程式都存在漏洞,讓駭客可以透過漏洞
控制所有連接到POS系統的裝置,包括螢幕、列印收據的印表機、讀卡機,或PIN Pad(晶
片讀卡機),倘若在EMV晶片內寫入惡意程式碼,並插入終端的讀卡機時,還可進一步展
開攻擊。

兩位研究人員用了這樣的方式,在其中一台POS終端機上安裝賽車遊戲,然後控制它的螢
幕與PIN晶片讀卡機,讓POS系統搖身一變成了遊戲機,在另一台POS終端機上,則安裝了
一個用來竊取卡片資料的木馬程式,當插入不同的卡片後,其卡片密碼與PIN碼都會被記
錄下來。

雖然現場僅展示如何竊取信用卡卡號和PIN碼,不過Nils指出,透過漏洞還可以做很多惡
意行為,像是竊取卡片磁條上的資料,據此複製出一張相同的卡片,或是利用惡意晶片卡
進行詐欺交易,惡意晶片卡可以鎖住實際付費行為,但依舊列印出收據,讓店家以為已經
完成交易,實際上卻沒付費。

至於現場測試的第三台POS終端機,其構造較為複雜,使用觸控螢幕以提供
signature-based付款機制,並可透過乙太網路進行遠端控制。Nils表示,這些POS終端機
以及遠端的管理伺服器都未加密,因此,駭客可以使用ARP或DNS手法,透過區域網路將
POS終端機導引到另一台惡意的伺服器上,然後進行控制。

Nils表示,他目前沒有證據可以說明其他POS製造商生產的產品是否也存在相同漏洞,但
POS業者必須正視這樣的風險,雖然沒有任何電腦系統是完美的,但這些終端設備應該要
提供更好的安全保護。

無獨有偶,約在一個月之前,就有安全研究人員提出POS安全的漏洞問題。德國安全研究
人員以德國當地被廣泛使用的POS系統為例,展示如何透過區域網路入侵該裝置,然後使
用它竊取卡片磁條資料和PIN碼。

除此之外,行動安全也是2012年黑帽大會相當受關注的議題。包括蘋果平台安全團隊經理
Dallas De Atley登台講解iOS作業系統的安全設計,這也是蘋果首次以主講人身分參與黑
帽大會。

Accuvant實驗室首席顧問Charlie Miller則展示如何使用NFC技術攻擊Android手機,雖然
測試時的有效距離僅在4公分以內,但NFC無線技術所存在的漏洞仍是不可輕忽。

另外在DEFCON上,Blackwing Intelligence資安研究員Eddie Lee也指出手機付款的漏洞
,他在現場展示如何以Android手機獲取有條碼的信用卡資訊,並利用這些資訊盜刷信用
卡,他甚至認為同樣的手法也可適用於其他種類磁卡。

https://www.informationsecurity.com.tw/Seminar/news_detail.aspx?tv=41&aid=6952


--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 111.81.148.201
※ 編輯: WaterDragonI 來自: 111.81.148.201 (10/04 06:43)
[1;37m推 [33mJamy[m[33m:3D驗證 = 挖洞給持卡人跳 [m 10/04 07:28
[1;37m推 [33mcityport[m[33m:打回原形..那3D驗證就可以收攤啦..本來就是坑卡友的工具 [m 10/04 07:40
[1;37m推 [33mgrandpa[m[33m:OP了 內容一樣同一篇新聞 #1GQe-hiC (creditcard) [m 10/04 10:17
[1;37m推 [33mEarl[m[33m:回歸由銀行負責舉證,那小弟就會去註冊囉 :) [m 10/04 10:35
※ 編輯: WaterDragonI 來自: 42.73.119.176 (10/04 11:45)
※ 編輯: WaterDragonI 來自: 42.73.119.176 (10/04 11:47)

--
由 Blogger 於 10/03/2012 08:53:00 下午 張貼在 胡愛晏
創作者介紹
創作者 胡愛晏 的頭像
胡愛晏

「勇敢走進黑暗正因相信太一的愛與光」-胡愛晏(WHOIAM)

胡愛晏 發表在 痞客邦 留言(0) 人氣()