钓鱼网站设计的好 估计是自动脚本流程苦主在钓鱼网站上输入用户名 密码登录时 骗子在真ocbc网站用苦主用户登录 钓鱼网站上设立一个名目让苦主输入otp 骗子在真ocbc网站添加了payee 苦主慌了 在钓鱼网站上乱点 又让输入otp 骗子在真ocbc网站提高转账额度 剩下的就是苦主收到转账短信崩溃中

早报今天有报道诈骗流程贴个早报的内容。 　 (more...)

因为真ocbc的短信也会有 bitly的短链接 这样单从短信的url是无法知道是不是钓鱼链接我用的其他几家银行没有这样的 而且手机浏览器有时会隐藏url地址栏 所以辨别难度不是一般的大

对的Short URL再加上手机浏览器会自动隐藏链接，让人防不胜防啊

大概明白了这样看来，以后要block掉所有短信里面的链接

银行确实也有需要改进的地方1. 发给客户的短信里面不能有链接。 2. digit token显示的内容要更加详尽，字体要更大一些，清楚的让客户知道这次到底要批准什么样的操作。时间的间隔要更短，ocbc现在给大概3分钟，太长了，应该缩短到15－30秒内。 3. 在另外一个设备上激活digit token，应该有多种验证方式，随机搭配使用，这样让骗子无法去模拟。 4. 引入AI技术判断可疑交易。刚在另外一个设备上激活，马上就添加payee，大额转账，这几乎就等同于诈骗。银行需要判断这种可疑交易。其实这并不是什么新技术，十年前我去老丈人家那边刷卡买一个冰箱，招行的电话马上就来了，问是不是我本人在交易。持卡人从来没有在这个地方交易过，突然就刷几千块，银行那边就判断为可疑交易。

记得这个事件发生前不久苍老师还在华新大声疾呼，电子设备token有不安全性，甚至还去联系了dbs，论坛有讨论的，有支持的，有冷嘲热讽的，如此一看苍老师是个有先见之明的人才。