בעת בקשה לניוד קופת גמל חברת ההשקעות מתעקשת לקבל ממני הרשאה למסלקה הפנסיונית

[Vegence]

היי,
אני רוצה לנייד קופת גמל שיש לי בחברת השקעות לחברת השקעות אחרת כדי לשפר תנאים.
הנציג מחברת ההשקעות שאני רוצה לנייד אליה מתעקש שבגלל שהוא בעל רשיון הוא חייב לקבל ממני גישה למסלקה הפנסיונית ובלעדי זה הוא לא יכול לתת לי הצעה לניוד.

1) האם הוא באמת חייב גישה למסלקה הפנסיונית בשביל לתת הצעה?
2) איזה פרטים הוא יכול לקבל מהמסלקה הפנסיונית במידה ואני נותן לו גישה?
3) כשהוא שלח לי סמס עם קוד אימות שייתן לו גישה למסלקה, הסמס הגיע מבית ההשקעות עצמו.
זה הגיוני? הסמס לא אמור להגיע מגוף ציבורי, או כמו משרד האוצר או מסוייפטנס?

אני מפחד שמנסים לעקוץ אותי..

 

[מתכנת]

הנציג מחברת ההשקעות שאני רוצה לנייד אליה מתעקש שבגלל שהוא בעל רשיון הוא חייב לקבל ממני גישה למסלקה הפנסיונית ובלעדי זה הוא לא יכול לתת לי הצעה לניוד.

1) האם הוא באמת חייב גישה למסלקה הפנסיונית בשביל לתת הצעה?

לפי ההנחיות הוא חייב, אחרת אסור לו לעשות לך שום פעולה.
המטרה היא פשוטה - כדי למנוע ביצוע פעולות שיזיקו לך, הוא גם חייב לרשום הנמקה לניוד בכל מקרה, אם נניח לפי דוח המסלקה אתה רוצה לעשות פעולה שמיטיבה עמך אז זה יהיה הנימוק, אם אתה מתעקש לעשות פעולה שמזיקה לך (לפי הקונצנזוס בתחום) כמו ניוד פנסיה לגמל אז בהנמקה יופיע שהוסברו לך ההשלכות ולמרות זאת בחרת לבצע את הפעולה בגלל xyz

 

[roneng]

האם הוא באמת חייב גישה למסלקה הפנסיונית בשביל לתת הצעה?

כן.

איזה פרטים הוא יכול לקבל מהמסלקה הפנסיונית במידה ואני נותן לו גישה?

בגדול - איזה מוצרים פנסיוניים יש לך וקצת פרטים עליהם.

כשהוא שלח לי סמס עם קוד אימות שייתן לו גישה למסלקה, הסמס הגיע מבית ההשקעות עצמו.
זה הגיוני? הסמס לא אמור להגיע מגוף ציבורי, או כמו משרד האוצר או מסוייפטנס?

אני מפחד שמנסים לעקוץ אותי..

לא הייתי מייחס לזה חשיבות. גם ככה שדה הfrom בסמס הוא טקסט חופשי שניתן לשינוי.
אם מישהו היה רוצה לעקוץ אותך הוא היה דואג שהסמס "יגיע" מגוף ציבורי כמו משרד האוצר.

 

[klayhamn]

אני מפחד שמנסים לעקוץ אותי..

אם יש ספק לגבי זהות הנציג תמיד תוכל להתקשר לגוף עצמו ולבקש לדבר עם נציג אחר כלשהו

 

[איניגו מונטויה]

גם ככה שדה הfrom בסמס הוא טקסט חופשי שניתן לשינוי.

רציני? אם כך איך אפשר בכלל לסמוך על קישורים ששולחים בסמס?
כל אחד יכול להתחזות לכל אחד...

 

[roneng]

רציני?

כן

אם כך איך אפשר בכלל לסמוך על קישורים ששולחים בסמס?

נכון

כל אחד יכול להתחזות לכל אחד...

בדיוק.

אגב, גם זה נכון במידה רבה גם לאימייל (אם כי שם יש קצת שיטות לבדוק דברים כאלה, ושרותי דואר טובים יודעים לזהות לפעמים ולהזהיר)

 

[klayhamn]

יותר מזה -
בגלל כל מיני שטיקים שקיימים בארה"ב (ולא יודע אם קיימים בארץ) של שירותי העברת-שיחה/הודעה -

מסתבר שאתה לא יכול לסמוך על זה שאפילו אתה זה אתה (כלומר - שהמכשיר שלך + הסים שלך הוא זה שיקבל את ההודעות שנשלחות אליך, במקום האקר שיתחזה אליך).

A Hacker Got All My Texts for $16

A gaping flaw in SMS lets hackers take over phone numbers in minutes by simply paying a company to reroute text messages.

www.vice.com

שים לב ש (ממה שהבנתי) ה-"חולשה" פה היא שחברות יעד כלשהן (נניח חברות שאתה קונה מהן שירותים או מוצרים) הן אלה שמכבדות את שירותי קידום/העברת השיחה/הודעה (ואת כל מה שהן מצהירות), כך שהחולשה לא יושבת היכנשהו אצל ספק הטלפון - אלא DOWNSTREAM , ואין הרבה מה לעשות לגבי זה מלבד לרקוע ברגליים (או לחוקק חוקים)

 

[האזרח הקטן]

יותר מזה -
בגלל כל מיני שטיקים שקיימים בארה"ב (ולא יודע אם קיימים בארץ) של שירותי העברת-שיחה/הודעה -

מסתבר שאתה לא יכול לסמוך על זה שאפילו אתה זה אתה (כלומר - שהמכשיר שלך + הסים שלך הוא זה שיקבל את ההודעות שנשלחות אליך, במקום האקר שיתחזה אליך).

למיטב ידיעתי זה לא מתקיים בארץ.

 

[roneng]

למיטב ידיעתי זה לא מתקיים בארץ.

בוא נגיד שגם בארץ זה לא מאוד קשה לקבל את הסמסים שלך במקומך אם מאוד רוצים.
סמס בהגדרה זה לא תווך מאובטח. לא מבין למה אנשים מנסים להתייחס אליו כאחד כזה.

 

[האזרח הקטן]

בוא נגיד שגם בארץ זה לא מאוד קשה לקבל את הסמסים שלך במקומך אם מאוד רוצים.

איך (בהינתן שאין לפורץ איש קשר שעובד בחברת הסלולר של השולח או המקבל)?

 

[roneng]

איך (בהינתן שאין לפורץ איש קשר שעובד בחברת הסלולר של השולח או המקבל)?

יש המון דרכים.
למשל תנסה פעם להיכנס לחחנת שרות של המפעיל הסלולרי שלך ותבקש כרטיס סים חלופי (כי שלך נשחק והפסיק לעבוד או משהו). ברוב הפעמים תופתע מתהליך הזיהוי הקצר שהפקיד מעביר אותך.
למי שטוב בהנדסה חברתית יש דרכים לקצר את התהליך עוד יותר.
ושוב, זאת רק דוגמא אחת.
יש עוד המון אפשרויות אחרות, בדגות קושי משתנות.

 

[גרהם]

היי,
אני רוצה לנייד קופת גמל שיש לי בחברת השקעות לחברת השקעות אחרת כדי לשפר תנאים.
הנציג מחברת ההשקעות שאני רוצה לנייד אליה מתעקש שבגלל שהוא בעל רשיון הוא חייב לקבל ממני גישה למסלקה הפנסיונית ובלעדי זה הוא לא יכול לתת לי הצעה לניוד.

1) האם הוא באמת חייב גישה למסלקה הפנסיונית בשביל לתת הצעה?
2) איזה פרטים הוא יכול לקבל מהמסלקה הפנסיונית במידה ואני נותן לו גישה?
3) כשהוא שלח לי סמס עם קוד אימות שייתן לו גישה למסלקה, הסמס הגיע מבית ההשקעות עצמו.
זה הגיוני? הסמס לא אמור להגיע מגוף ציבורי, או כמו משרד האוצר או מסוייפטנס?

אני מפחד שמנסים לעקוץ אותי..

ניסית להציע שאתה תפיק את הדוח ותשלח אותו לחברת ההשקעות?

 

[מתכנת]

איך (בהינתן שאין לפורץ איש קשר שעובד בחברת הסלולר של השולח או המקבל)?

בדור 3 יש פירצה שמאפשרת לתוקף להרים תחנת שידור עם אנטנה משלו ולהתחזות למפעיל סוללרי, כך אפשר ליירט את התקשורת של הטלפון,
תקרא על ss7 attacks
אם כי אינני בטוח שזה מאפשר גם לגנוב ס.מ.ס נכנס אבל כמו שרונן אמר לא חסר דרכים אפילו יותר פשוטות בלי ציוד והבנה טכנולוגית.

 

[האזרח הקטן]

יש המון דרכים.
למשל תנסה פעם להיכנס לחחנת שרות של המפעיל הסלולרי שלך ותבקש כרטיס סים חלופי (כי שלך נשחק והפסיק לעבוד או משהו). ברוב הפעמים תופתע מתהליך הזיהוי הקצר שהפקיד מעביר אותך.
למי שטוב בהנדסה חברתית יש דרכים לקצר את התהליך עוד יותר.
ושוב, זאת רק דוגמא אחת.
יש עוד המון אפשרויות אחרות, בדגות קושי משתנות.

חשבתי שאתה מדבר על דרך של פריצה בלי נוכחות פיזית, לא על התחזות. כמובן שנותני שירות הם חוליה חלשה בכל הקשור לאבטחת מידע.

 

[roneng]

חשבתי שאתה מדבר על דרך של פריצה בלי נוכחות פיזית

גם כאלה יש, אם כי זה כנראה קצת יותר מסובך.

כמובן שנותני שירות הם חוליה חלשה בכל הקשור לאבטחת מידע

נכון.
ותוקפים תמיד ילכו על הדרך הקלה ביותר