Re: [ml] banche ed sms spoofing

On Tue, Sep 28, 2004 at 04:45:08PM +0200, mazzilli_l@xxxxxxxxx wrote:

> ho notato  che una  famosa banca  italiana offre  un servizio  ai suoi
> clienti  che  consiste  nel  poter effettuare  delle  richieste  sulla
> propria  posizione  bancaria  tramite  un SMS.  Fin  qui  tutto  bene,

e' abbastanza comune.

> anzi  un  buon servizio!  La  cosa  che  mi  ha colpito  guardando  la
> demo  è che  nell'SMS di  richiesta  non viene  richiesto nessun  dato
> identificativo dell'utente  (codici di accesso o  pwd).. desumo quindi
> che il riconoscimento sia esclusivamente  basato sul numero di tlf che
> il front-end della banca "vede"..

hai parlato  di effettuare  richieste sulla posizione,  suppongo _query_
informative,  NON richiesta  di effettuare  movimenti. 

Nel secondo caso potrebbe essere molto pericoloso... nel primo, non vedo
particolari problemi,  poiche' i dati "importanti"  sono nella risposta,
che viene da banca a cliente e quindi non all'attaccante

> Aggiungo  un  altro  quesito:  è   possibile  spoofare  il  numero  di
> tlf  che  chi   riceve  l'SMS  vede?  La  risposta  mi   pare  sia  si
> (http://www.s0ftpj.org/bfi/online/bfi9/BFi09-15)..

Si.

bye
Koba (moderatore)