Singapur verschärft Sicherheitsmaßnahmen nach Phishing-Betrug
SMS-Phishing-Betrügereien, die zu Verlusten in Höhe von 13,7 Millionen SG$führten, haben dazu geführt, dass zusätzliche Sicherheitsmaßnahmen eingeführt wurden, einschließlich der Notwendigkeit, dass SMS-Dienstanbieter vor dem Versenden von Nachrichten mit einem Register abgleichen, und dass Banken "vielseitigere" KI-Algorithmen entwickeln müssen, um verdächtige Transaktionen zu erkennen.
Singapur verschärft die Sicherheitsmaßnahmen, um die lokale Banken- und Kommunikationsinfrastruktur zu stärken, wozu auch die Notwendigkeit gehört, dass SMS-Dienstanbieter vor dem Versenden von Nachrichten ein Register abgleichen müssen. Es wird auch erwartet, dass die Banken "vielseitigere" Modelle für künstliche Intelligenz (KI) entwickeln, um verdächtige Transaktionen zu erkennen.
Die zusätzlichen Sicherheitsvorkehrungen folgen auf eine jüngste Welle von SMS-Phishing-Betrügereien, bei denen 13,7 Millionen SG$(10,17 Millionen US-Dollar) von den Konten von 790 Kunden der OCBC Bank vernichtet wurden. Betrüger hatten die Absender-ID-Daten von SMS manipuliert, um Nachrichten zu verbreiten, die scheinbar von OCBC stammten, und forderten die Opfer auf, Probleme mit ihren Bankkonten zu lösen. Sie wurden dann auf Phishing-Websites umgeleitet und angewiesen, ihre Bank-Anmeldedaten einzugeben, einschließlich Benutzername, PIN und Einmalpasswort (OTP).
Finanzminister Lawrence Wong bezeichnete den Vorfall als den schwerwiegendsten Phishing-Betrug des Landes, bei dem sich gefälschte SMS als Banken ausgeben, und sagte, dass verschiedene Schritte unternommen würden, um die Risiken solcher Betrügereien besser zu mindern. Diese würden das gesamte Ökosystem umfassen, einschließlich Banken, Telekommunikation, Strafverfolgung und Verbraucherbildung, sagte Wong am Dienstag während seiner Ministererklärung im Parlament. Der Minister ist auch stellvertretender Vorsitzender der Monetary Authority of Singapore (MAS).
Die OCBC-Betrügereien veranlassten die MAS im vergangenen Monat, neue Sicherheitsmaßnahmen anzuordnen , die unter anderem von den Banken verlangten, Hyperlinks aus E-Mail- oder SMS-Nachrichten zu entfernen, die an Verbraucher gesendet werden, und eine 12-stündige Verzögerung bei der Aktivierung mobiler Software-Token einzuführen.
Wong wies darauf hin, dass die MAS im vergangenen Oktober Gespräche mit lokalen Banken geführt habe, um Lücken aufzuzeigen, die sich aus der "gezielten aufsichtlichen Überprüfung" der Regulierungsbehörde ergeben hätten, die im dritten Quartal 2021 durchgeführt wurde. Die Überprüfung, die angesichts der Zunahme von Betrugsfällen in den letzten zwei Jahren eingeleitet wurde, bewertete die Betrugskontrollen in den digitalen Bankkanälen der drei lokalen Banken, darunter DBS Bank und UOB.
Wong sagte, dass die Banken Empfehlungen zur Behebung der Lücken erhalten hätten und sie Zeitpläne für die Umsetzung der verschiedenen Maßnahmen festgelegt hätten, von denen einige umfangreiche Änderungen in ihren IT-Systemen erforderten. Mit dem Anstieg der Phishing-Betrügereien im vergangenen Dezember habe OCBC die Umsetzung einiger dieser Maßnahmen beschleunigt, wie z. B. die Verlängerung der Abkühlungsphase - in der Transaktionen mit höherem Risiko nicht durchgeführt werden konnten -, nachdem ein digitaler Token auf einem neuen mobilen Gerät eingerichtet worden war.
Weitere Schritte seien in Arbeit, sagte der Minister.
Die Banken würden daran arbeiten, ihre Betrugsüberwachungsfunktionen weiter zu stärken, um verdächtige und anomale Transaktionen, einschließlich Kreditkartentransaktionen, besser identifizieren zu können. Während die meisten Banken bereits über einige regelbasierte Parameter verfügten, mussten diese erweitert werden, um eine Reihe von Betrugsszenarien zu berücksichtigen, erklärte Wong.
"Über vordefinierte Parameter hinaus wird die MAS von den Banken erwarten, dass sie vielseitigere Algorithmen entwickeln, die KI und maschinelles Lernen einsetzen, um verdächtige Transaktionen zu erkennen", sagte er. "Solche Algorithmen sollten auf mehreren Informationsquellen basieren, einschließlich Kundenprofilen und Schwachstellen, vergangenen Transaktionsmustern, Kontoaktivitäten und der Identifizierung mobiler Geräte."
Er betonte jedoch, dass fortschrittliche Betrugsüberwachungssysteme nicht in der Lage sein würden, jeden Betrug zu erkennen.
Die Banken in Singapur würden auch ihre Fähigkeit verbessern, verdächtige Transaktionen schneller zu blockieren und Kunden zu kontaktieren, um ihre Echtheit zu überprüfen. Transaktionen würden erst dann freigegeben und verarbeitet, wenn sie vom Kunden bestätigt würden, sagte er. Auch hier stellte er fest, dass die Banken zwar bereits über diese Fähigkeiten verfügten, diese jedoch nicht über verschiedene Arten von Transaktionen hinweg konsistent seien.
Darüber hinaus prüfte die MAS die Möglichkeit, den Kunden die Möglichkeit zu geben, ihre eigenen Konten einzufrieren, ohne sich an die Banken wenden zu müssen.
Die Banken würden auch zusätzliche Bestätigungen von Kunden einführen, die über die Benachrichtigungen hinausgehen, wenn wesentliche Änderungen an ihren Konten vorgenommen wurden oder Transaktionen mit hohem Risiko, wie z. B. Änderungen der Daten des Kontoinhabers und die Aktivierung von Token auf einem anderen Gerät.
Diese würden mit zusätzlichen Unannehmlichkeiten für Kunden verbunden sein, die legitime Transaktionen durchführen, seien aber notwendig, um die Sicherheit des digitalen Bankings zu erhöhen, und die Nutzer müssten sich anpassen, sagte Wong.
Lokale Banken würden auch erwägen, die Verwendung von Biometrie als Authentifizierungsmittel zusätzlich zu Passwörtern und OTPs auszuweiten. Der Minister sagte, dies würde eine weitere Sicherheitsebene hinzufügen, die von Betrügern nicht einfach gephisht werden könne.
Die Banken würden den Übergang zur Verwendung von Mobile-Banking-Apps zur Authentifizierung der Kundenidentität, zur Autorisierung von Transaktionen und zur Zustellung von Bankbenachrichtigungen weiter beschleunigen.
Außerdem wurden die Verwendung von SMS-basierten OTPs und die erforderlichen Maßnahmen zur Verringerung der Risiken ihrer Verwendung überprüft.
Sicherheitsmaßnahmen in allen Infrastrukturen erforderlich
Weitere Schritte sind in Vorbereitung, die weitere Befürworter des Ökosystems einbeziehen, insbesondere Anbieter von Telekommunikationsdiensten.
Die Ministerin für Kommunikation und Information, Josephine Teo, kommentierte die Notwendigkeit, die Abwehr durch Telekommunikationsnetze zu verstärken: "Um Phishing und Spoofing durch Betrüger zu bekämpfen, sollten wir so viele Teile ihres Modus Operandi wie möglich stören. Abgesehen von verbesserten Sicherheitsvorkehrungen im Bankensystem, um zu verhindern, dass Betrügereien leicht erfolgreich sind, sind auch vorgelagerte Maßnahmen erforderlich, um Betrügern den Zugang zu potenziellen Opfern zu untersagen."
Zum einen müssen SMS-Dienstanbieter und Telekommunikationsunternehmen das nationale Absender-ID-Register abgleichen und Nachrichten nur dann versenden, wenn die Absenderdaten mit den Registereinträgen übereinstimmen, sagte Teo am Dienstag während ihrer Ministererklärung im Parlament. Das bedeutet, dass SMS-Nachrichten, die registrierte IDs fälschen, ihre beabsichtigten Ziele nicht erreichen.
Im vergangenen August wurde ein Pilotprojekt gestartet, das es Unternehmen ermöglicht, SMS-Absender-ID-Header, die sie schützen wollten, im Register zu registrieren. Auf diese Weise wird sichergestellt, dass Nachrichten, die über die unbefugte Verwendung der geschützten SMS-Absender-ID gesendet werden, blockiert werden.
Laut Teo müssen alle Organisationen auch über eine gültige UEN (Unique Entity Number) verfügen, wenn sie SMS-Nachrichten über registrierte IDs an Telefonteilnehmer in Singapur senden möchten.
Sie fügte hinzu, dass die MAS es für alle großen Privatkundenbanken zur Pflicht gemacht habe, ihre Absender-ID-Daten bei der Registry zu registrieren. Alle Regierungsbehörden würden das Gleiche tun.
Sie wies darauf hin, dass Betrüger auch IDs verwendeten, die legitimen Absender-IDs ähnelten, und sagte, die Regierung prüfe die Möglichkeit, von allen Nutzern alphanumerischer IDs die Registrierung zu verlangen. Dies würde verhindern, dass Betrüger SMS-Nachrichten mit solchen IDs versenden, ohne sich vorher in das Register einzutragen, sagte sie.
Teo sagte, dass die Umsetzung dieser Maßnahmen Zeit in Anspruch nehmen würde und zusätzliche Kosten für die Unternehmen mit sich brächte. Diejenigen, die sich entschieden haben, ihre Absender-ID-Daten nicht zu registrieren, haben nur ihre SMS-Nachrichten mit ihrer Telefonnummer angezeigt. Die Kunden müssten die Nummer dann in ihrer Kontaktliste speichern, um zukünftige Nachrichten aus dem Unternehmen zu erkennen.
Die Branchenaufsichtsbehörde Infocomm Media Development Authority würde solche Auswirkungen bei der Entscheidung berücksichtigen, ob die Registrierung aller alphanumerischen IDs vorgeschrieben werden soll, sagte sie.
Sie forderte die Unternehmen auf, ihre Nutzung von SMS zur Kundenbindung zu überprüfen, da das Medium auf einer alten Technologie basiert und nicht für eine sichere Kommunikation ausgelegt ist. Sie forderte "mehr Zurückhaltung" bei der Nutzung der Plattform zur Übermittlung sensibler oder vertraulicher Informationen oder für Transaktionen mit hohem Wert.
Auch andere Maßnahmen waren geplant, darunter die Bemühungen der Telekommunikationsunternehmen, zusätzliche Analysen zu integrieren, um mehr mutmaßliche Betrugsanrufe zu blockieren. Dies könnte dazu führen, dass 55 Millionen Anrufe pro Monat blockiert werden, gegenüber den 15 Millionen oder einem von sieben eingehenden Auslandsanrufen nach Singapur, die derzeit jeden Monat blockiert werden.
Auch Phishing-Websites würden weiterhin auf die schwarze Liste gesetzt. Laut Teo wurden im vergangenen Jahr rund 12.000 betrügerische Websites blockiert, gegenüber 500 Websites im Jahr 2020.
Der Nationale Rat für Kriminalprävention wird bis zum dritten Quartal dieses Jahres auch einen WhatsApp-Kanal starten, um aus der Öffentlichkeit Informationen über betrügerische Websites und Nachrichten zu sammeln, fügte sie hinzu.
Wong sagte: "Es gibt keine einzelne Maßnahme, die die Sicherheit des digitalen Bankings garantieren kann. Die von Betrügern eingesetzten Techniken entwickeln sich ständig weiter und gewinnen an Raffinesse. Aus diesem Grund müssen Banken im Kampf gegen Betrug eine Kombination von Maßnahmen zur Prävention, Aufdeckung, Reaktion und Beitreibung ergreifen und diese Maßnahmen ständig überprüfen und neu kalibrieren."
Er fügte hinzu, dass Kunden, die Branche und Infrastrukturanbieter wachsam bleiben müssen, um eine Wiederholung groß angelegter Betrügereien wie denen von OCBC zu verhindern.
"Die Breite der aufgeworfenen Probleme unterstreicht, dass wir einen Ökosystem-Ansatz verfolgen müssen, um unsere kollektive Verteidigung gegen Phishing-Betrug und Betrug im Allgemeinen zu stärken", sagte er. "Jeder in diesem Ökosystem muss seinen Teil dazu beitragen."
Bei den OCBC-Phishing-Betrügereien hat die Polizei von Singapur bisher 121 Bankkonten eingefroren und rund 2 Millionen SG$eingezogen. Weitere 2,2 Millionen SG$an Opfergeldern wurden auf 89 Bankkonten im Ausland zurückverfolgt. Mindestens 107 lokale und 171 ausländische IP-Adressen wurden mit dem unbefugten Zugriff auf die Internet-Banking-Konten der Opfer in Verbindung gebracht.
Viele der Phishing-Websites, die bei den OCBC-Betrügereien verwendet wurden, wurden von Webhosting-Unternehmen mit Sitz im Ausland gehostet, so der Staatsminister des Innenministeriums, Desmond Tan. Er sagte, die SPF arbeite mit Interpol und ausländischen Strafverfolgungsbehörden zusammen, um die Empfänger von Geldern, die ins Ausland überwiesen wurden, sowie die Hosts der betrügerischen Websites zu untersuchen.