From: buurt1@rulfsw.leidenuniv.nl (Jasper Kips)
Subject: Re: beveiliging BEA-net (nog eens...)
Organization: Leiden University Faculty of Social Sciences
Distribution: nlnet
Date: 15 Oct 92 18:31:37 +0100

In article <Bw4016.Gr2@cs.vu.nl>, geschild@cs.vu.nl (Schilders GEG) writes:
> Hallo nlnetters,
> 
> sommigen van jullie zullen zich nog levendig de discussie herrinneren
> over de veiligheid van betaalautomaten. Er is toen heel wat afgekletst
> over beveiligingsmethoden en de veiligheid van het gebruik van je pin-
> pas. Bij deze wil ik die discussie weer nieuw leven inblazen. Logische
> oorzaak is het feit dat ik de dupe ben geworden van een stomme "fout".
> Laat me eerst de omstandigheden even schetsen.`
> 
> Ik heb op een niet zo goede donderdag'koop'avond nieuwe contactlenzen
> gehaald bij de opticien maar ben met mijn suffe hoofd mijn cheques`
> vergeten. Ik vraag aan de winkelier of ik later kan betalen, hij kent
> me al een tijdje en dat lijkt mij geen probleem. Toch betrekt zijn
> gezicht en hij vraagt mij of ik wel een pasje bij me heb. Dat heb ik.
> Dan is alles opgelost is zijn reactie, gewoon even met je pin betalen.
> Lijkt me een goede oplossing. De pas gaat door de sleuf, ik controleer
> het bedrag en toets mijn pin in. (Totaal ongezien, dat weet ik zeker).
> Ik krijg het geprinte bonnetje uit de terminal mee en vertrek in de
> overtuiging dat alles in orde is. Een week later. Ik open het wekelijkse
> afschrift van mijn bank (VSB). Daarin drie volgblaadjes. Zoals altijd
> kijk ik die even vluchtig na voordat ze in de rotzooi op mijn bureau
> verdwijnen waarna ze vanzelf een keer in mijn map terechtkomen. Deze
> keer echter valt het mij op dat TWEE keer hetzelfde bedrag is afgeschre
> ven. Als ik beter kijk zie ik dat dat twee keer de 216 gulden voor mijn
> twee lenzen is, beiden overgeschreven naar de opticien. Aangezien ik
> maar EEN paar lenzen heb en zeker weet dat ik niet twee keer mijn pin
> heb getoetst ben ik verbaasd. Verder kijkend valt het mij op dat de`
> eerste transactie klopt met de tijd en de datum, nl. 19:39 op 01-10-92
> maar de tweede zogenaamd is gepleegd om 11:55 op 02-10-92. Rara hoe kan
> dat. Ik was toen in Utrecht, op school, mijn pin-pas veilig in mijn
> portefeuille in mijn zak. Ook valt mij op dat het eerste transactienr.
> klopt met die op mijn bon uit de terminal, evenals de tijd, maar dat
> het een zescijferig nummer is. Op mijn afschrift staat bij de tweede
> transactie een zevencijferig nummer maar beginnend met twee nullen???
> Nog meer raadsels, op mijn afschriften staan transacties altijd ge-
> sorteerd op datum. Ik had die week meer gedaan, onder andere geld uit
> de muur gehaald (nog nooit problemen) en een teruggave van de belasting.
> ontvangen. De opeenvolgende data waren 01, 02, 03, 03, 02. Allen in ok-
> tober. Ik naar de opticien gebeld. Die wist van niks, had ook maar een
> keer het bedrag ontvangen. Zijn administratie klopt volgens eigen zeggen
> als een bus. Ik dus naar de bank. Daar werden alleen kopien gemaakt van
> mijn afschriften en mijn bonnetje en moest ik een formulier ondertekenen
> waarop de toedracht stond. Mij werd verzekerd dat dit de eerste keer
> was dat een dergelijke klacht binnenkwam en dat ALS die gegrond ver-
> klaart werd dat ik dan mijn geld terugkreeg. Dan wel op dezelfde valuta-
> datum, dat wel.
> Tot zover de schets, een hele lap tekst.
> Nu komen de vragen:
> Naar mijn mening is een storing onwaarschijnlijk maar mogelijk, over
> blijft dus een kwaadwillende die een foutje heeft gemaakt. Ik sluit de
> opticien vooralsnog uit. Bankpersoneel lijkt mij waarschijnlijker.
> 
> Wie weet ondertussen de exacte manier van beveiling of kan daar achter
> komen zodat we die kunnen beoordelen?
> Wie heeft andere opties in gedachte om dit voorval te verklaren?
> Wie heeft een dergelijk voorval meegemaakt of heeft er van gehoord?
> Wat zijn mijn opties indien de bank in weerwil van het bewijsmateriaal
> en de getuigenis van de opticien (reeds toegezegd) weigert de fout te
> korrigeren?
> Ben ik gerechtvaardigd in mijn wantrouwen tegen het hele BEA-net? (men
> ing).
> Meningen in het algemeen?
> 
> Bij voorbaat dank,
> 			Gaby Schilders.
> -- 
> (* Gaby Schilders, Student Computer Science,		*)
> (* Vrije Universiteit, Amsterdam			*)
> (* The Netherlands					*)
> (* E-mail adress: geschild@cs.vu.nl			*)
Uhhhhm, ja je bent gerechtvaardigd in je wantrouwen tegen het 
betaalautomatennet. En de beveiliging (hihihi) is redelijk beschreven.

Om met het laatste te beginnen :
Een hoogleraar wiskunde van KMA in Breda, ik weet effe niet hoe die 
heet, heeft een boekje geschreven over fraude mogelijkheden met de 
PIN-pas. Ik zal het even opzoeken van de week.

Het eerste :
Eeen vriend van mij heeft zo een PIN automaat in zijn zaak geinstaleerd. 
Zijn ervaringen lopen uiteen wat betreft de banken en de Postbank. 
Boekingen VAN de Postbank naar zijn bankrekening worden IHA nog dezelfde 
dag uigevoerd. VAN de andere banken levert de meest vreemde problemen 
op. Bedragen die zoek zijn, 'Spookstortingen' die ook weer op 
'spookachtige' verdwijnen, en de fraaiste, een betaling die naar hem had 
moeten verlopen ging VAN zijn rekening naar de rekening van de koper.
Overigens is voor een persoon met zo een apparaat in de zaak een kleine 
moeite om ALLE relevante gegevens af te tappen, ze gaan ONGECODEERD door 
de telefoon. Zijn advies (en het mijne) gebruik je PIN pas alleen bij de 
flappentapper en om cheques mee te autoriseren; als je het even kan 
vermijden BETAAL er NIET mee.

Een laatste punt wat wel handig voor je kan zijn :
De consumentenbond is bezig een procedure voor te bereiden over 
PIN-fraude. Wellicht dat zij je met info van dienst kunnen zijn.

Jasper Kips.
Newsgroups: nlnet.misc