Monzo, dolandırıcılığı önlemek için gerçek bir aramada olup olmadığınızı uygulamada gösteriyor
(monzo.com)- Monzo, banka çalışanı gibi davranan taklitçilerin para transferi yaptırmasıyla oluşan zararları azaltmak için uygulamada gerçek bir Monzo çalışanıyla konuşup konuşmadığınızı doğrulayan bir özellik kullanıma sundu
- Arama sırasında uygulamayı açtığınızda Ana Sayfa sekmesinin üst kısmındaki bantta Monzo call status gösterilir; ekip üyesinin aramada olmadığı yazıyorsa hemen kapatıp bildirimde bulunmalısınız
- Karşı taraf teknik sorunlar ya da özel bir ekip nedeniyle durum bilgisinde görünmediğini söylese bile buna inanmamalı; internet bağlantısı geri gelene kadar durum kontrolü yapmadan aramayı sürdürmemelisiniz
- Monzo, önceden uygulama içi sohbet üzerinden planlama yapmadan arama yapmaz; koruma hesabına para transferi, Pot’tan para çekme, ödeme onayı, PIN verme, kredi kullanma veya Monzo Flex kullanma talep etmez
- Birleşik Krallık’ta 2022’de taklitçilik dolandırıcılığı nedeniyle yaklaşık 170 milyon sterlin kaybedildi; Monzo, Call Status içinde her ay yaklaşık 700 dolandırıcılık bildirimi aldığını açıkladı
Uygulamada kontrol edilen Monzo call status
- Bu gönderi yayımlandığı tarih itibarıyla geçerlidir; en güncel bilgiler monzo.com veya Monzo uygulamasından kontrol edilmelidir
- Yeni özellik, arayan kişinin gerçek bir Monzo çalışanı olup olmadığını kullanıcının uygulama üzerinden doğrudan doğrulamasını sağlar
- Arama sırasında Monzo uygulamasını açtığınızda Ana Sayfa sekmesinin üst kısmındaki bantta Monzo call status gösterilir
- Monzo ekip üyesinin aramada olmadığı yazıyorsa hemen kapatıp bildirimde bulunmalısınız
- Bildirim, call status’a dokunarak başlatılabilir
- Monzo ekip üyesinin aramada olduğu gösteriliyorsa aramaya devam edebilirsiniz
- Aradaki kişi teknik sorunlar veya uzman bir ekip nedeniyle durum bilgisinde görünmediğini söylese bile buna inanmamalısınız
- İnternete bağlı değilseniz call status bunu yansıtır; yeniden bağlanıp durumu doğrulayana kadar Monzo’nun kimliğine bürünen biriyle konuşmamanız önerilir
Monzo’nun sizden istemeyeceği davranışlar
- Monzo, uygulama içi sohbet üzerinden önceden planlama yapmadan arama yapmaz; arama yaparsa hesapla ilgili konuşmadan önce güvenlik sorularını sorar
- Monzo kullanıcılardan şu davranışları istemez
- Koruma hesabına, güvenli hesaba veya başka bir hesaba para transferi
- Pot’tan para çekme
- Herhangi bir nedenle ödeme yapma veya para gönderme
- Telefon bildirimini onaylama
- Dolandırıcılık veya ödeme uyarılarını görmezden gelme
- PIN veya kişisel bilgi verme
- Kredi kullanma veya Monzo Flex kullanma
Taklitçilik dolandırıcılığı zararları ve bildirim akışı
- Taklitçilik dolandırıcılığı, suçluların başka biriymiş gibi davranarak kullanıcıyı para göndermeye yönlendirdiği yöntemdir; banka transferi dolandırıcılığı veya authorised push payment fraud olarak da adlandırılır
- Birleşik Krallık’ta 2022’de taklitçilik dolandırıcılığı nedeniyle yaklaşık 170 milyon sterlin kaybedildi
- Monzo, call status’un eklenmesiyle kullanıcıların aramadaki kişinin gerçek bir Monzo çalışanı olup olmadığını doğrulayabildiğini; özelliğin yayımlanmasından sonra Call Status içinde her ay yaklaşık 700 dolandırıcılık bildirimi aldığını açıkladı
- Sonraki adım olarak, özelliğin mevcut konumu olan Privacy & settings dışında, arama sırasında daha hızlı bulunabilecek daha görünür bir konumda da gösterilmesi değerlendiriliyor
1 yorum
Hacker News yorumları
Geçenlerde Birleşik Krallık’taki bir online banka üzerinden phishing dolandırıcılığının hedefi oldum; Monzo değildi ve yöntem son derece sofistikeydi.
Son işlem geçmişimi ve standart qif dışa aktarımlarında görünmeyen banka işlem numarasını bile biliyorlardı; bu bilgi sayesinde arama nedenleri de inandırıcı görünüyordu.
Adım ve ailem hakkında internette herkese açık bilgileri de araştırmışlar, arayan kimliğini de sahtelemişlerdi; konuşma metni o kadar gelişmişti ki böyle ek korumaların ne kadar işe yarayacağından emin değilim.
Neyse ki süreci sonuna kadar götürmedim, bu yüzden para kaybetmedim.
Bankada ciddi bir veri sızıntısı yaşandığı açık görünüyor ve internette başka ihbarlar da var. Bence yasalar bankaların ihlal olaylarını ICO’ya bildirmesini ve ihlalin niteliği ile ölçeğinin kamuya açık kayda geçirilmesini zorunlu kılmalı.
Bu süreçte Birleşik Krallık’ta 159’u arayarak çoğu bankanın dolandırıcılıkla mücadele birimine doğrudan bağlanılabildiğini öğrendim: https://stopscamsuk.org.uk/159
Siber suçları bildirmek için polisin Action Fraud hattını da öğrendim: https://www.actionfraud.police.uk/what-is-action-fraud
Phishing yapan kişi ısrarcıydı; 15 dakika sonra bankanın dolandırıcılıkla mücadele birimi olduğunu söyleyip “aramama dönüş yaptığını” belirterek tekrar aradı, 2 hafta sonra da Action Fraud olduğunu iddia ederek bir kez daha aradı.
Böyle saldırılara ne kadar hazırlıklı olduğunuzu düşünürseniz düşünün, karşınızdaki kim olduğunu iddia ederse etsin, tüm telefon aramalarında aşırı dikkatli olmanızı tavsiye ederim.
Monzo hesabım da var ama onlar arasalar bile bu özelliği kullanmam. Kapatıp kendim aramam gerekir. Karşı tarafın beni aramasına izin vermemek gerek.
https://security.stackexchange.com/questions/100268/does-han...
Bu nedenle bankayı cep telefonundan aramak daha iyi.
Bunun dışındaki her şey, dolandırıcılıkla mücadele birimi kılığına girmiş bir dolandırıcılıktır. “Bu ödemeyi siz mi yaptınız?” dışında herhangi bir bilgi istiyorlarsa dolandırıcılıktır.
Zaten sizin kim olduğunuzu biliyorlar. Bilmeselerdi en başta aramazlardı.
Tek kullanımlık bir hesapsa, başkalarının haberdar olma şansı olması için bunu bu başlıkta bile paylaşmak daha iyi olabilir.
Asıl gereken şey ters yönde iki aşamalı kimlik doğrulama. Hassas bilgi isteyen biriyle telefonda konuşuyorsam, onların uygulamasında ya da web sitesinde 6 haneli bir sayı üretebilmeli ve karşı taraftan bunu doğrulamasını isteyebilmeliyim. Doğrulayamıyorsa banka çalışanı değildir.
Chase, dolandırıcılık gibi görünen bir işlemi teyit etmek için beni bir kez aramıştı; dolandırıcılık biriminden olduğunu söyleyen çalışan, ilk iş olarak “kimseyle paylaşmayın” diye açıkça belirtilmiş SMS ile gelen iki aşamalı doğrulama kodunu gönderdi.
Ben bu ifadeyi söyleyince, “doğru ama ulaşmaya çalıştığım kişinin siz olduğunuzu doğrulamak için buna ihtiyacım var; vermezseniz hesabınızı kilitleyeceğim” dedi.
Sonunda hesap kilitlendi; şubeye gidip fotoğraflı iki kimlik gösterdikten ve yeni bir kullanıcı ID’si ile parola oluşturduktan sonra ancak karta ve yeni hesaba erişebildim.
Bu tür çelişen güvenlik talimatlarının ne kadar berbat bir uygulama olduğunu şube müdürüne ve duyabilecek herkese sertçe şikâyet ettim.
Şube müdürünün bu tür politikaları kontrol etmesi ya da şikâyeti harekete geçme yetkisi olan bir yere iletmesinin pek mümkün olmadığını sanıyorum.
Yine de sonradan düzeltmiş olabilirler. 2023 itibarıyla Chase’in Sapphire kredi kartı birimi, bu deneyimi tekrarlatmadan işlemin normal mi yoksa dolandırıcılık mı olduğunu doğrulayabiliyor ve müşteri hizmetleri temsilcisine gerçek zamanlı kimlik doğrulamasını tamamlatabiliyordu.
Belirli bir işlemden bahseden e-posta veya SMS bildirimine yanıt vererek işlemi doğrulayabiliyor, gerçek zamanlı kimlik doğrulama denemelerinde mobil uygulamadan da yararlanıyorlar.
İdeal olarak buna, kimlik doğrulamanın amacını açıklayan, insan tarafından okunabilir metaveriler de eklenmeli.
Böylece banka SMS’i okumanızı istemez, müşteri de bunun gerçek olup olmadığını tahmin etmeye çalışmaz; iki taraf da doğrulamanın amacını doğal dille açıkça bilir.
İnternet bağlantısı varsa tüm iletişim internet üzerinden yürütülmeli ve iki tarafa yalnızca “onayla” ya da “reddet” gibi basit bir arayüz kalmalı.
İnternet olmadığında da birkaç cümleyi okuyup duyulanları girerek aynı protokolü uygulamak mümkün olmalı.
Genelde kibarca kapatıp web sitesindeki telefon numarasından dolandırıcılık birimine ulaşacağımı söylüyorum. Hesabım hiç kilitlenmedi.
Ally Bank ise tam tersine, banka kartı işini en kötü firmaya dış kaynakla vermiş gibi görünüyor
Oradan arayıp Sosyal Güvenlik numaramı istediler. “Bu bir güvenlik eğitimi mi? Beni mi test ediyorsunuz?” diye sorunca hayır dediler ve kartımın yakın zamanda kullanıldığını söylediler. Aslında 400 dolar çekmeye çalışan bendim
Gelen bir aramada hiçbir şeyi doğrulamayacağımı ya da reddetmeyeceğimi söyledim
Bu kaba kişi, sorulara yanıt verene kadar banka kartımın kilitli kalacağını söyledi; ben de tamam, bankayı doğrudan arayacağım dedim
Kartım hâlâ kilitli
Kibarca yapmak istersen, bankaya ne olduğunu anlatan bir mektup yazıp düzenleyici kurumları bilgiye ekleyebilirsin. Böylece konu hukuk departmanına yükselebilir ve politika değişikliğine ya da tazminata yol açabilir
[1] https://www.consumerfinance.gov/ask-cfpb/how-do-i-find-my-st...
[2] https://www.consumerfinance.gov/complaint/
[3] https://www.fdic.gov/contact/
[4] https://reportfraud.ftc.gov/#/
Yakındaki Apple Store’un kapanmasına 30 dakikadan az kalmışken M2 MacBook Pro almaya karar verdim; aceleyle koşarken cüzdanımı evde unutmuşum
Apple Pay’de tüm kartlarım olduğu için sorun olmaz sandım ama hangi kartla ödeme yaparsam yapayım dolandırıcılık engeline takıldı
Apple çalışanı Amex’in en zorlayıcı kart olduğunu söyleyince Citi’yi aradım; temsilci “telefonunuza bir kod gönderdim” dedi
Mesajda “Citi ID Code: 671865. We'll NEVER call or text for this code” yazıyordu. “Bu mesaj bu kodu asla telefonda sormayacağınızı söylüyor ama şu anda telefonda istiyorsunuz” deyince güldü ve “Evet, öyle yazdığını biliyorum ama okumanız gerekiyor” dedi
İstemeye istemeye okudum, kartın engeli kalktı ama tekrar ödeme yapınca yine engellendi. Sonunda eve koşup cüzdanımı aldım, tekrar koştum ve Apple çalışanı kapanıştan yaklaşık 1 dakika önce beni içeri aldı
Bu yaklaşık 6 ay önce oldu; Citi uygulaması hâlâ kartın engellendiğini ve “acilen görüşme gerektiğini” gösteriyor. Ama ödemeler sanki engelli değilmiş gibi devam ediyor
Ne olduğunu debug etmek için bu limbo durumunu olduğu gibi bırakıyorum ve terminal gerçekten Amex kabul etmediğinde kullanmak dışında bu kartı bir daha kullanmadım
Eski işimde, müşteri şirketin borç hesapları sistemine şirketimizi kaydetmemiz gerekiyordu; bu sistem US Bank tarafından işletiliyordu
Kayıt talimatlarının postayla geleceği söylendi; bir hafta sonra posta geldi ve “kuruluma başlamak için https://bit.ly/...” adresine gidin yazıyordu. Elbette bunun phishing olduğunu düşündüm
Ama kayıt paketini tam doğru yere ve doğru zamanda gönderebilecek kişinin kim olabileceğini düşününce, ancak içeriden biri olabileceğine kanaat getirdim
US Bank’i aradım; paketin gerçekten meşru olduğunu ve bitly linki kullanmalarının doğru olduğunu doğruladılar. Gerçekten inanılır gibi değil
Başarısız bir işlemden sonra aniden aradılar; istedikleri bilgileri vermeyince hesabımı kilitlediler. Kilidi açmak için ücretli fiziksel belgeler göndermem gerekiyordu
Başka bir bankaya kaydolmak kolaydı ve 15 yıllık bir müşterilerini kaybettiler. Aferin Sainsbury’s Bank
İyi bir özellik ama temel sorun, insanların hiç de güvenli olmayan telefon sistemine fazla güvenmesi
Herkes yaşlı ebeveynleriyle “o konuşmayı” yapmak zorunda. Konuşmayı kendileri başlatmadıysa telefon veya e-posta üzerinden asla işlem yapmamaları gerektiğine onları ikna etmek gerekiyor
Meşru bir şirket arayıp para ödemenizi, bilgisayarınıza erişim vermenizi ya da güvenlik kodu söylemenizi istemez
Her zaman telefonu kapatıp, gerçekten ölüm kalım meselesi gibi hissettirse bile resmi numaradan geri aramak gerekir. İpucu: öyle bir şey değildir
Ebeveynlerim daha önce dolandırıldığı için temkinliler ama hâlâ yeterince dikkatli olduklarını düşünmüyorum
Yaşları nedeniyle de çok hedef alınıyorlar. Son ziyaretimde telefonları bir iki saatte bir çalıyordu ve hepsi dolandırıcılık ya da spamdi. Bir dahaki sefere daha akıllı bir saldırı işe yarayabilir
Bu tür harici arayan dolandırıcılıkları o kuşak yok olana kadar sürecek gibi. “Telefona güvenilir” içgüdüsü çok güçlü
Elbette benim kuşağımda dolandırıcılar bizim içgüdüsel olarak güvendiğimiz bir şey bulup onu kötüye kullanacak
Bu tür listeler, bir sonraki dolandırıcılığa yakalanma olasılığı rastgele numaralardan daha yüksek görüldüğü için birbirleriyle paylaşılır
Perakendecilerden ve bankalardan düzenli olarak “sizi asla arayıp para ya da kişisel bilgi istemeyiz” diyen e-postalar alıyorum
Ayrıca emin değilseniz telefonu kapatıp ilgili kurumun resmi numarasını arayın diye yazarlar
Resmi numarayı hızlıca bulmanın yolu banka kartı ya da kredi kartının arkasına bakmaktır. Orada basılı olmalı
Kartın imza alanına imza atmak yerine “SEE ID” gibi bir ifade yazmak daha iyi olur
“Privacy & settings — mevcut konum — doğal yer burası, ama başka yerlerde de görünmeli” denildiği gibi, sonraki adım arama öncesinde uygulama push bildirimi göndermek ve uygulamaya girişten hemen sonra görünen bir banner koymak olacak gibi görünüyor.
Uygulamanın çeşitli yerlerinde “Şu anda bir aramadaysanız bu doğru değil” türü görsel göstergeler çıkarsa, saldırganın başarılı olma olasılığı azaltılabilir.
Genelde telefon gelince medyayı sessize almak için kullanılıyor, ancak hassas bir uygulama söz konusuysa ana ekranda gerçek bir müşteri destek çalışanının iletişim kurmaya çalışıp çalışmadığını da gösterebilir.
Telefon numarası gibi arama ayrıntıları kolayca elde edilemeyebilir, ama uygun izinler varsa kullanıcı bildirimlerine dayalı bir dolandırıcılık numaraları listesi tutmak ve bilinen bir dolandırıcı aradığında uyarı göndermek de mümkün görünüyor.
Benim bankam birkaç yıldır benzer bir özellik sunuyor.
Biri aradığında telefon uygulamasını açmamı söylüyor ve uygulamanın içinde banner biçiminde “OK’ye basarak şu anda konuştuğunuz kişinin doğru kişi olduğunu onaylayın” tarzı bir uygulama içi bildirim çıkıyor.
Onaya basmadan karşı taraf hesap ayrıntılarına erişemiyor.
Yaşlandıkça kendimi bu tür banka dolandırıcılıklarından koruyacak çevikliği kaybedeceğimden korkuyorum. Çözümü bilmiyorum.
Müşteri, saldırganın onay istemediğini fark edip şüphelenirse işe yarayabilir; ama böyle insanların sayısı muhtemelen azdır ve dolandırıcılar makul görünen bahanelerle endişeyi iyi yatıştırır.
Monzo’yu ben aradığımda da bu özelliğin çalışıp çalışmadığını merak ediyorum. Bilgileri verdikten sonra uygulamada aynı gösterge çıkarsa ortadaki adam saldırısına kapı açılır.
Böyle bir durumda saldırgan kendini meşru gösterebilir ve saldırı aksine çok daha tehlikeli hale gelir.
Bulabildiğim numaraların hiçbirinde bir insana bağlanan yer yok; sürekli uygulama içi sohbeti kullanmaya yönlendirip duruyor. Ama o sohbet de gerçek zamanlı canlı sohbetten çok “mesaj bırakın, pazartesi bakarız” gibi.
Monzo, dolandırıcılığı önleme önlemine takıldığı gerekçesiyle tüm banka hesaplarımı neredeyse 5 gün boyunca dondurmuştu.
Teoride harika, ama sonuçta kimseyle telefonda konuşamıyorsanız berbat.
Mevcut telefon/mobil ağlar üzerinden arama ya da SMS yapmayan ve e-posta da kullanmayan banka en iyisi. Her zaman güvenli uygulama içi iletişim kullanılmalı.
Erişim için güvenli cihaz bağlama, parola/PIN ve biyometrik kimlik doğrulama; ilk kurulum ve kimlik bilgisi sıfırlama içinse önceden kaydedilmiş ve güvenli biçimde teslim edilmiş FIDO2 token (Yubikey) ile uygulama içi görüntülü KYC kullanılmalı.
Kimlik bilgisi sıfırlamada başka kanallara güvenilmemeli. Kullanıcılar, başka hiçbir yöntemle kendileriyle iletişim kurulmayacağı konusunda ilk günden eğitilerek güvenli beklentiler oluşturulmalı.
Uygulama içinde her para işlemi için ek doğrulama istenmeli; sunucu tarafında da işlem başına ve günlük para transferi limitleri bulunmalı.
Yüksek tutarlı transferlerde alıcının hesaba eklenmesi istenmeli ve 1-2 günlük bekleme süresi uygulanmalı; bu süre içinde kullanıcı bilgilendirilmeli ve hata ya da dolandırıcılık olduğunu düşünüyorsa müdahale etmesi için yeterli fırsat verilmeli.
Düşük sürtünmeli anlık ödemelere yalnızca önceden doğrulanmış ve kaydedilmiş üye işyeri adresleri için izin verilmeli.
Kişiler arası anlık transferlerde hız sınırı ve dolandırıcılık durumunda geri alma ile kovuşturmayı mümkün kılacak yasal çerçeve gerekli.
Ağ dışına, örneğin uluslararası anlık para transferlerine, ancak alıcı mutlaka doğrulanıp ödeyenin hesabına eklendikten sonra izin verilmeli; hızlı geri almayı mümkün kılan bir dolandırıcılık koruma fonu ve uluslararası kovuşturma için yasal çerçeve olmalı.
Bu tür korumalar olmadan yalnızca bankacılık işlem hızını artırmak, kaçınılmaz olarak geleneksel olarak kabul edilen seviyeden daha büyük dolandırıcılık kayıplarına yol açar.
Mümkün olan her şeyi çevrimiçi halletme eğilimindeyim; onlar için daha ucuz, benim için de daha kullanışlı, ayrıca yukarıda sayılan gerekçeler de var.
Telefon görüşmesi ancak yaşlı veya engelli müşteriler, karmaşık işlemler, kimlik doğrulamanın başarısız olması gibi çok nadir sınır durumlarda ortaya çıkar gibi geliyor.
Belki hiç aramıyorlardır ya da çok nadir durumlar için bu özelliği eklemişlerdir. Yine de “biz ararsak renk değişir” açıklaması, baskıcı bir dolandırıcıyla konuşan birine “biz asla aramayız” demekten daha ikna edici görünüyor.
Bir zamanlar burada paylaşılan alacak tahsilatı sektörüyle ilgili yazıda da “birçok insanın bankacılığı, teknolojiyi ve temel matematiği ne kadar az anladığını bilseniz şaşırırsınız” minvalinde bir bölüm vardı.
“Kimlik bilgisi sıfırlamada başka kanallara güvenmeyin” denmiş; peki müşterinin evi yanar da telefonu ve Yubikey’i birlikte yok olursa ne olacak?
Kişiler arası anlık transferlerde geri alma ve kovuşturma için yasal çerçeve, tek bir bankanın belirleyebileceği bir konu değil.
Yüksek tutarlı transferlerde alıcı ekleme ve 1-2 günlük bekleme süresi istenirse “kendi paramla ne yapıp yapamayacağıma neden siz karar veriyorsunuz?” tepkisi gelir.
İkinci el araba satın almak gibi, daha önce tanımadığınız bir alıcıya aniden büyük miktarda para göndermeniz gereken durumlar da gerçekte var.
Önceden kaydedilmiş FIDO2 token gerçekten harika olurdu, ama işlem yaptığım bankaların hiçbiri FIDO desteklemiyordu. Böyle bir banka duymadım bile; varsa hesap açabilirim.
Banka ya da şirketlerin müşterileri proaktif biçimde kandırmayı denediği yerler var mı? Aradıktan sonra birkaç tehlike işareti gösterip eğitim vermek gibi
Özellikle yaşlı müşteriler için, gerçek bir zararın hemen öncesini andıran ürkütücü bir prova, dolandırıcılık riskini azaltmaya yardımcı olabilir
Bu e-postaları kapatmak için bir seçenek olsa epey iyi olurdu, ama şimdilik sadece gelen kutusu gürültüsünü artırıyor
Elbette bankanın dolandırıcılık gibi görünen e-postaları gelen kutusuna düşüyor, gerçek dolandırıcılık e-postaları ise spam klasörüne gidiyor
Linke tıklarsanız zorunlu kurumsal phishing eğitimi atanıyor. Bu sayede daha dikkatli oldum
Yalnız eğitim amacıyla değil, normal işleyişin bir parçası olarak yapıyorlar; çok şüpheli ve tehlike işaretleriyle dolu “asla yapılmaması gereken” şeyleri reddederseniz istediğiniz işlemi yaptıramıyorsunuz
Telefonda çevrimiçi bankacılık PIN’imin bir kısmını ya da tamamını vermem istendiği de oldu; 3DSecure’un parçası olarak şüpheli, rastgele bir web sitesine kredi kartı PIN’imi girmem istendiği de oldu
Farklı bankalardı; ikisi de gerçek prosedürdü ve tekrarlandı
İyi fikir ama bir sorun var. Aramadaysanız ve Wi-Fi’da değilseniz modem aramaya bağlanıyor ve internet çalışmıyor
VoLTE varsa bunun yaşanmadığını biliyorum, ama bu da bu özelliğin çok sayıda kişide çalışmayabileceği anlamına geliyor