华新 - 这个问题问得很好，看看有没有专业人士解答一下

漏洞就是我感觉
IT部门没想到这个CASE。。。

ACCT WILL BE LOCKED THUS NEED TO BE UPDATED??

对于审核不过的账户银行就直接关掉了。不需要UPDATE这个操作。会把余额编程支票挂号信寄过来。
而且不需要解释为什么。。。

LOG IN INTERNET BANKING也不能解决。IT部门觉得这个逻辑非常不对，应该不会有人这样骗人。

但是人有心理铆钉思维。。。。我感觉就是这样的。。。要是我可能也就做了。

[小土 (1-18 21:56, Long ago)] [ 传统版 | sForum ][登录后回复]21楼

记得大学学的测试这里有没有谁要看这个测试是哪个部分。假如是主要问题是，把杯子洗干净。
那还需要判断，杯子是不是在。。。

我去年对自己的帐，审计一下。活生生少了一笔钱就没发现。因为我一直就在看每一笔我是不是花了，是不是对的。就是忘记了先要看是不是每笔都在BOOK里面了。

我可能就是那种比较适合拉去做无厘头测试的笨瓜。。。明明睁着眼睛。就没看出来。

设计系统的人可能逻辑性太强了。没想到骗子就从普通人漏洞出来。。就可以了。[小土 (1-18 22:10, Long ago)] [ 传统版 | sForum ][登录后回复]22楼

其实中国的网银使用的一个预留信息功能就能防范这次的事件假的钓鱼网站是不可能知道客户的预留信息的，所以只要真网站每次登录都显示预留信息，那么客户就很容易分辨出钓鱼网站。[Camty (1-18 22:13, Long ago)] [ 传统版 | sForum ][登录后回复]23楼

I’m a S'porean man, 43. I lost S$500,000 of my life savings over 2 hours in thehttps://mothership.sg/2022/01/singaporean-man-lose-ocbc-savings/

又一苦主分享　[本文发送自华新手机Wap版] [匿名小ID (1-18 22:38, Long ago)] [ 传统版 | sForum ][登录后回复]24楼

我曾经中过工商银行icbc的钓鱼网站还是手动输入网址的。

当时看到预留信息不对的时候，眼睛简直瞪圆了。。。
小心翼翼的不再输入二次验证信息，只是简单查看账户信息。
最终没办法，在网银上自助关掉了网银，哈哈哈~~

只是还不理解预留信息可以防止钓鱼网站的原理。
理论上诈骗分子在他那边看到预留信息后，应该有机会拷贝预留信息的。当然了手工操作是挺慢的，容易被怀疑。
最好是用程序自动抓取预留信息。
我相信预留信息要么是用图片或者什么不容易被程序抓取的方法来显示的。[CodingTree (1-18 22:44, Long ago)] [ 传统版 | sForum ][登录后回复]25楼

这个视频做的不错，但是没有提到一个重点就是根源是digital token。。。[CodingTree (1-18 23:18, Long ago)] [ 传统版 | sForum ][登录后回复]26楼

电信运营商可以禁止使用sms senderid的不过这样就少了一个营收来源
美国在内的一些国家的电信运营商就不让用sender id 因为这个东西本质上真假难辨　[本文发送自华新手机Wap版] [niubee (1-18 23:34, Long ago)] [ 传统版 | sForum ][登录后回复]27楼

(引用 niubee:电信运营商可以禁止使用sms senderid的不过这样就少了一个营收来源美国在内的一些国家的电信运营商就不让用sender id 因为这个东西本质�...)所以这事imda也有锅中国的银行服务短信都是一串号码虽说不好记但很难被骗子操纵
另外caller id不可靠想必本地的人都知道了　[本文发送自华新手机Wap版] [niubee (1-18 23:38, Long ago)] [ 传统版 | sForum ][登录后回复]28楼

(引用匿名小ID:I’m a S'porean man, 43. I lost S$500,000 of my life savings over 2 hours in thehttps://mothership.sg/2022/01/singaporean-man-lo...)这个就更加严重了这个人还持有physical token，如果只需要最开始的用户名密码和一次的otp就可以在另外的设备上激活digital token，那银行的系统就真的有问题了。因为最开始的那个otp只是给用户登陆进系统用的。要激活digital token这么重要的操作，不应该什么都不需要。

搬个凳子继续等着看看后续。[fqfp (1-19 0:34, Long ago)] [ 传统版 | sForum ][登录后回复]29楼

(引用 fqfp:这个就更加严重了这个人还持有physical token，如果只需要最开始的用户名密码和一次的otp就可以在另外的设备上激活digital token，那银行...)继续往下看dec 21号的那条短信，说明要激活digital token，ocbc会再发一个otp过来的。这就和这位苦主说的矛盾了。[fqfp (1-19 0:38, Long ago)] [ 传统版 | sForum ][登录后回复]30楼

(引用 fqfp:这个就更加严重了这个人还持有physical token，如果只需要最开始的用户名密码和一次的otp就可以在另外的设备上激活digital token，那银行...)是的这个苦主真可怜　[本文发送自华新手机Wap版] [匿名小ID (1-19 8:50, Long ago)] [ 传统版 | sForum ][登录后回复]31楼

(引用 fqfp:这个就更加严重了这个人还持有physical token，如果只需要最开始的用户名密码和一次的otp就可以在另外的设备上激活digital token，那银行...)我记得dbs的digital token激活时好像也就是验证了otp个人认为在digital token和hardware token二选一的情况下
尽量及早使用digital token 因为骗子可能就是利用激活digital token来取代苦主的hardware token 而苦主可能都不知道token被换了　[本文发送自华新手机Wap版] [niubee (1-19 9:57, Long ago)] [ 传统版 | sForum ][登录后回复]32楼

(引用 niubee:我记得dbs的digital token激活时好像也就是验证了otp个人认为在digital token和hardware token二选一的情况下尽量及早使用digital token...)激活digital token要验证短信otp没毛病但是上面的那个苦主提到，他只是在登录的时候泄露了一次otp。按理说，激活digital token的时候，也需要再次验证otp。如果不验证就可以直接激活，那银行的系统流程就太不靠谱了。
[fqfp (1-19 10:06, Long ago)] [ 传统版 | sForum ][登录后回复]33楼

(引用 fqfp:继续往下看dec 21号的那条短信，说明要激活digital token，ocbc会再发一个otp过来的。这就和这位苦主说的矛盾了。)肯定是两次otp给了骗子啊骗子精心设计的骗局，肯定先用第一个骗来的otp来申请激活digital token，然后会再编造一个理由再要一个otp来完成激活digital token，但是问题出在这里的细节。

这个完成激活digital token的otp是怎么发送的，ocbc有没有在sms里面写清楚这条otp是干嘛的，如果写清楚了会激活digital token，而客户没有看直接填，那么ocbc责任较小，如果是直接发了个数字youe top is 123456,那就是一个巨大的漏洞。

如果是做到了dbs那样的双重认证，先一个otp说这条otp拿来激活digital token，你同意的话把它输入你的token，再长按白键，生成一个新otp，才能激活，那很大程度上用户不会这么傻了　[本文发送自华新手机Wap版] [typhoonzj (1-19 10:13, Long ago)] [ 传统版 | sForum ][登录后回复]34楼

(引用 typhoonzj:肯定是两次otp给了骗子啊骗子精心设计的骗局，肯定先用第一个骗来的otp来申请激活digital token，然后会再编造一个理由再要一个otp来完成...)那个报道后半部分有一个短信的截图ocbc的短信写的很清楚，是激活新的token的密码。苦主在这个问题上撒谎了。

不过我认可你说的那个流程，既然要从physical换去digital，那就需要在physical那边二次验证，确保安全。这种最基础的安全措施，客户可能好几年才操作一次，多验证比方便快捷更重要。
[fqfp (1-19 10:21, Long ago)] [ 传统版 | sForum ][登录后回复]35楼