Angenommen, Sie haben sie unter einer veröffentlichten Nummer angerufen, würde ich sagen, dass dies ein interaktives Voice-Response-System (IVR) ist, das in der Bankenwelt weit verbreitet ist.

Das Konzept besteht darin, dass das System Ihre Authentifizierungsinformationen erfasst, bevor Sie an einen Contact Center-Agenten weitergeleitet werden. Aus Sicherheitsgründen hat dies den Vorteil, dass der Agent im Call Center Sie nicht zur Authentifizierung auffordern muss, bevor Sie Ihr Konto besprechen.

Bei korrekter Implementierung sollte dies nicht unsicherer sein als Geben Sie Ihr Passwort in eine Website ein. Es gibt ein automatisiertes System, das die Sprachdaten verarbeitet und diese entsprechend speichern / protokollieren sollte.

Natürlich besteht, wie Sie darauf hinweisen, die Gefahr des Abhörens des Telefons, aber wenn Sie davon ausgehen, dass Ihre Telefonleitung abgehört wird Jede Form des Telefonbankings ist unsicher, da sie Sie irgendwie authentifizieren müssen, um Ihr Konto mit Ihnen besprechen zu können.

BEARBEITEN: Um weitere Details hinzuzufügen Dann lassen Sie sie in Kommentaren verstreut, die gelöscht werden könnten.

Grundsätzlich müssen Banken Sie irgendwie authentifizieren, unabhängig davon, über welchen Kanal (z. B. Web, Telefon, Filiale) Sie sie kontaktieren, und es gibt Kompromisse zu berücksichtigen.

Einerseits ist es nützlich, dedizierte Anmeldeinformationen pro Kanal zu haben, um das Risiko von Kompromissen zu verringern und zu vermeiden, dass die Meldung "Sagen Sie den Leuten nicht Ihr Webkennwort" verwischt wird Benutzer mit mehr zu verwaltenden Anmeldeinformationen und aller Wahrscheinlichkeit nach werden viele Kennwörter zurückgesetzt, wenn Benutzer nur selten einen bestimmten Kanal verwenden (mit all dem Vuln Fehler, die häufige Zurücksetzungen anziehen)

Aus den hier bereitgestellten Informationen geht hervor, dass die hier verwendeten Informationen darin bestehen, die Anmeldeinformationen für den Web- und den Telefonkanal zu kombinieren und ein automatisiertes IVR-System auf dem Telefonkanal zu verwenden, um zu vermeiden, dass Contact Center-Agenten Anmeldeinformationen erhalten . Der Vorteil hierbei ist ein einzelner Satz von Creds, damit der Benutzer sie nicht vergisst. Der Nachteil ist das Szenario, in dem Banknachrichten "Geben Sie Ihren Leuten kein Passwort" zu Problemen bei der Verwendung dieses Systems führen.

In Bezug auf die IVR-Systemsicherheit ist dies im Wesentlichen wie jedes andere System, das Daten verarbeitet. Es muss angemessen gesichert werden, damit Benutzeranmeldeinformationen nicht angezeigt werden, nicht anders als der Webkanal.

Offensichtlich könnte ein System wie Hardware (nicht SMS) 2FA in diesem Szenario gut funktionieren, da numerische Codes leicht übergeben werden können zu IVR-Systemen, aber das hat seine eigenen Kompromisse in Bezug auf Kosten und Benutzererfahrung.

Obligatorische Warnmeldung:

Geben Sie Ihr Passwort niemals an Dritte weiter und lassen Sie sich von dieser Antwort in keiner Weise beeinflussen.

Da man in diesem speziellen Fall möglicherweise nicht alle Umstände kennen kann, ist ein wenig Spekulation erforderlich, um diese Frage zu beantworten.

Wenn ich alles richtig verstanden habe, ist der Fall wie folgt:

Das OP hat die Website der Bank besucht, die Support-Nummer nachgeschlagen und dann einen Anruf eingeleitet. Nachdem der Bot am Ende der Zeile nur seine Bank-ID (?) Gegeben hatte, begrüßte er das OP mit seinem Nachnamen und fragte nach dem Online-Banking-Passwort.

Ja, dies könnte ein Phishing-Versuch eines Angreifers gewesen sein. Die von Ihnen besuchte Site könnte geändert und eine andere Support-Nummer eingerichtet worden sein. Nachdem dies alles geschehen war, musste der Angreifer warten, bis das OP die Site freiwillig ^{1 sup> besuchte, und dann die Nummer anrufen. Der Angreifer hätte auch einen Telefonbot einrichten müssen, der auch die Bank-ID mit dem Nachnamen OP 2 sup> verbinden kann.}

Dies - zumindest für mich - Es scheint eine große Anstrengung zu sein, nur das Passwort für ein Online-Banking-Konto zu erhalten, was bei Verwendung eines typischen Online-Banking-Systems nicht einmal so wertvoll ist. Normalerweise benötigen Sie einen zweiten Faktor, um jede Art von Geldtransaktion durchzuführen. Es ist immer noch eine Kompromittierung des Bankkontos, aber nichts, was nicht behoben werden kann.

Ich bezweifle sehr, dass dies ein Phishing-Versuch ist. Es scheint mir einfach keine gute Richtlinie zu sein, insbesondere wenn den Benutzern nicht klar ist, dass ihr Online-Passwort auch für die Authentifizierung über das Telefon verwendet wird.

_{(1) Theoretisch an Der Angreifer könnte einen Notfall vortäuschen, der einen Benutzer dazu veranlasst, die Support-Nummer anzurufen. sub>}

_{(2) Es sei denn, das OP hat einen Fehler gemacht und seinen Nachnamen zuvor erwähnt während des Anrufs. sub>}

Ja, Sie sollten Maßnahmen ergreifen und dies Ihrer Bank melden. Höchstwahrscheinlich war dies ein Phishing-Versuch.

Dies sollte nicht passieren und ist keine normale Praxis.

Ihre Bank wird Sie niemals nach Ihrer PIN-Nummer oder Ihrem Passwort fragen.

BEARBEITEN: Nach dem Lesen Ihrer Kommentare und der Klarstellung (veröffentlicht nach meiner Antwort), dass der Kontakt vollständig von Ihnen initiiert wurde, ist es möglich / wahrscheinlich, dass dies kein Phishing-Versuch ist und entweder eine sehr schlechte Richtlinie ist (da für die Sprachausgabe / Biometrie kein geheimes Passwort erforderlich sein sollte) oder eine Anforderung von Informationen zum Nachweis der Identität in einem solchen Szenario.

In beiden Fällen würde ich Ihre Bank kontaktieren (über eine andere Methode als diese Telefonnummer) und erläutern Sie Ihre Bedenken und lassen Sie sich von ihnen klarstellen, dass diese Anfrage legitim war.

Ich würde dieser Bank nicht vertrauen. Selbst wenn dieser Anruf für ihre Systeme völlig legitim war, beweist dies nur, dass sie die Auswirkungen auf die Sicherheit auf mindestens zwei Arten nicht verstehen:

1. Wenn Ihr Webkennwort einfach genug ist Um einem Bot gegenüber auszusprechen, dass er es gut genug verstehen kann, um zu bestätigen, dass es sich tatsächlich um Ihr Passwort handelt, ist es kein ausreichend sicheres Passwort für etwas so Sensibles wie Bankinformationen. Indem Benutzer gezwungen werden, ihr Passwort auszusprechen (oder es irgendwie über die Tastatur einzugeben, was ehrlich gesagt absolut höllisch klingt), ermutigen sie unsichere Passwörter.

2. Aus Rorys Antwort:

ol>

Bei korrekter Implementierung sollte dies nicht unsicherer sein, als Ihr Passwort in eine Website einzugeben.

und

In Bezug auf die IVR-Systemsicherheit ist dies im Wesentlichen wie jedes andere System, das Daten verarbeitet. Es muss angemessen gesichert werden, damit Benutzeranmeldeinformationen nicht angezeigt werden, nicht anders als im Webkanal.

Das Telefonieren unterscheidet sich SEHR von der Kommunikation in einem Webkanal. Sofern Sie keine verschlüsselte Telefonleitung von Ihnen zur Bank verwenden, kann alles, was über die Leitung übertragen wird, abgehört werden. Ein ordnungsgemäß implementiertes Web-Login kann nicht abgehört werden, da es eine End-to-End-Verschlüsselung verwendet. In den besten Implementierungen wird Ihr Passwort niemals in einer wiederherstellbaren Form übertragen. Selbst wenn der Webserver der Bank infiziert worden wäre, könnte er Ihr Passwort nicht erkennen (es könnte nur überprüfen, ob Sie im Besitz des richtigen Passworts sind Passwort). Hier ist eine Diskussion darüber, warum diese Hashing-Technik (zusätzlich zu dem bereits verschlüsselten Kommunikationskanal) verwendet wird oder nicht: Warum ist das clientseitige Hashing eines Passworts so ungewöhnlich?

[T] Sie müssen sich irgendwie authentifizieren, um Ihr Konto mit Ihnen besprechen zu können.

Dies ist wahr, aber die Verwendung von Webanmeldeinformationen ist nicht der richtige Weg. Und aus den oben genannten Gründen ist die Telefonkommunikation mit Unsicherheiten verbunden, und ich mache keine sensiblen Geschäfte über das Telefon, wenn ich helfen kann.

Wie bei allem, nimm meinen Rat mit einem Körnchen Salz an. Die Wahrscheinlichkeit, dass Ihre Telefonleitung von einer Person oder Organisation abgehört wird, die daran interessiert wäre, Ihr Online-Passwort gegen Sie zu verwenden, ist sehr gering. Ich überlasse es dem Leser, dieses Risiko mit den Risiken der Bank abzuwägen, die andere Kommunikationskanäle nicht ordnungsgemäß absichert, und zu entscheiden, welches Risiko sie eingehen möchten.

Sie werden niemals 100% sicher sein. Sie können Risiken nur auf ein akzeptables Maß reduzieren.

Für Telefon- und Online-Banking gibt es normalerweise unterschiedliche Anmeldeinformationen. Dies vermeidet die meisten Versuchungen und Interessenkonflikte, da Telefonbanking nur über einen angemeldeten Telefonisten initiiert werden kann, und zumindest meine Bank weist ganz klar darauf hin, dass ihre Online-Anmeldeinformationen niemals per Telefon gefragt oder akzeptiert werden. genau wegen Phishing.

Wenn es völlig trivial wäre, Phishing von bonafider Dummheit zu unterscheiden, wäre Phishing weniger wichtig. In beiden Fällen scheint es eine schlechte Idee zu sein, der anderen Seite Ihre Online-Anmeldeinformationen anzuvertrauen.

Haftungsausschluss: Geben Sie Ihre Anmeldeinformationen, Passwörter oder PIN-Nummern niemals persönlich, telefonisch oder online weiter. Verwenden Sie Bankkennwörter nur auf der verifizierten Website der Bank und überprüfen Sie die Sicherheitsinformationen Ihres Browsers (neben dem https).

Ich würde es nicht als "Verletzung der Privatsphäre" bezeichnen. da theoretisch Ihr Passwort (oder sein Hash) Informationen sind, die bereits zwischen Ihnen und der Bank geteilt wurden. Da Sie derjenige waren, der den Kundendienst anrief, haben Sie anscheinend entweder einen Fehler oder ein Sicherheitsleck in ihrem System entdeckt.

• Ich wurde nach Teilen meiner PUK- oder Fabrik-ID aus dem Stück gefragt Aus Plastik wurde meine SIM-Karte von einem menschlichen Kundendienstmitarbeiter entfernt, als ich über mein Handykonto anrief. Und für ein paar Ziffern von meiner Kontonummer durch einen Bankangestellten, wenn Sie die Bank anrufen, niemals mein Passwort.
• Nein, dies ist keine normale Praxis. Die meisten Banken warnen Sie, Ihr Passwort niemals aufzuschreiben, nicht Sie können es jedem mitteilen und nur von Ihrem Computer aus verwenden, wenn Sie sich über HTTPS beim Internetbanking-Dienst anmelden.
• Es ist möglich, dass sie gehackt wurden (nämlich die in ihrem Servicecenter verwendete Bot-Software) oder alternativ könnte ein ungeplantes Sicherheitsrisiko / Fehler in ihrer Software sein. In jedem Fall stellt die Angabe Ihres Passworts über das Telefon ein Sicherheitsrisiko dar, da Sie möglicherweise belauscht werden, der Anruf umgeleitet wird (z. B. wenn Ihr Telefon gehackt wurde) oder jemand das Telefon abfängt und abhört Gespräch.
• Kontaktieren Sie Ihre Bank über einen anderen Weg und melden Sie das Sicherheitsrisiko. Sie können entweder versuchen, den Fehler über das Kontakt- / Fehlermeldungsformular auf der Website zu melden, oder sich persönlich an Ihre lokale Niederlassung wenden. Eine andere Möglichkeit besteht darin, auf der Website der Bank nach Hilfeseiten zu suchen, die mit ihrem Telefondienst verknüpft sind. Diese beschreiben normalerweise den Prozess, der für die Nutzung der Kundendienstleitung erforderlich ist. Wenn dieser Schritt (dem Bot Ihr Passwort mitteilen) nicht enthalten ist, hat höchstwahrscheinlich jemand seine Bot-Software kompromittiert, oder es handelt sich um einen Phishing-Angriff von jemandem in seinem Service-Center Dieser Schritt ist enthalten. Es handelt sich höchstwahrscheinlich um ein übersehenes Sicherheitsrisiko. In beiden Fällen sollten die meisten Finanzdienstleister eine solche Beschwerde sehr ernst nehmen.
• Abhängig vom Ergebnis dieser Beschwerde müssen Sie sich möglicherweise auch an Ihre Telefongesellschaft wenden, da dies auf böswilliges Verhalten zurückzuführen sein kann Software oder ein Sicherheitsrisiko bei Ihrem Provider. Um dies vorläufig auszuschließen, versuchen Sie, den Bankdienst mit einem anderen Telefon in einem anderen Netzwerk zu kontaktieren.

Sie haben nicht nach Ihrem Online-Banking-Passwort gefragt, sondern nach Ihrem Passwort / Ihrer Passphrase für ihr Telefonsystem. Eine Bank (geschweige denn ein Unternehmen / System), die dieselben Anmeldeinformationen für Ihr Online- und Telefonbanking verwendet, existiert einfach nicht.

-typisches "sicheres" Webkennwort:

+ o_TH3 -m * 0N2017! Dies wird dann in der DB als Hash gespeichert (z. B. 8dd6ae487b790146f6570cb5b01f7f70224f6706). Um zu authentifizieren, dass Sie den richtigen Pass eingegeben haben, verarbeitet das System Ihre Eingabe erneut und wenn es sich um eine Übereinstimmung handelt, werden Sie authentifiziert.

Bei Telefonsystemen werden Passphrasen als einfacher Text gespeichert, oder das automatisierte System erfordert nur die Verwendung Zahlen / Buchstaben und geben Sie sie Buchstabe für Buchstabe an.

Wenn Sie uns nicht über die von Ihnen verwendete Bank informieren möchten, erhalten Sie möglicherweise mehr Klarheit, wenn Sie Ihre Bank zurückrufen und um ein Gespräch mit einem Vertreter bitten?

Schließlich - da Sie sie angerufen haben, ist ein Phishing-Versuch nicht wahrscheinlich

Auf den ersten Blick sieht es aus wie ein Betrug, aber Sie haben jetzt einige Dinge zu tun:

1. Wenn Leute solche Anrufe erhalten, wird normalerweise empfohlen, die zentrale Anfrage der Bank anzurufen Rufen Sie nuber an und bitten Sie eine echte Person, eine Bestätigung zu erhalten, wenn der Fall echt ist.

   Da es sich sehr wahrscheinlich um einen Phishing-Trick handelt, sollten Sie ihn ihnen melden. Es hilft ihnen, die Kriminellen zu blockieren oder zu finden.

   • Sie müssen Informationen über die Telefonnummer oder E-Mail-Adresse angeben, von der sie stammen.
   • Geben Sie Informationen über die Zeitpunkt des Anrufs und aller anderen verdächtigen Aktivitäten mit Datum.
   • Geben Sie Informationen zu den angeforderten Informationen an und geben Sie an, ob Sie ihnen etwas zur Verfügung gestellt haben.

2. Ändern Sie alle möglichen Daten, am besten indem Sie die zentrale Anfrageleitung anrufen, wo Sie ihnen eine FRISCHE neue E-Mail- und Telefonnummer geben, über die Sie sicher kommunizieren können. Am besten keine SMS von unbekannten Nummern lesen.

   • Ändern Sie den Benutzernamen, das Passwort und die PIN. Begrenzen Sie den Betrag des abhebbaren Guthabens. Aber ehrlich gesagt, wenn Sie ihnen einen Ausweis geben würden, würde ich aus Sicherheitsgründen einfach nach einem neuen Konto fragen. Dies hängt von Ihrer Bank ab, wie flexibel sie sind.
   • Nachdem Ihre neue E-Mail registriert wurde, müssen Sie auch das Passwort und die Sicherheitsfragen in Ihrem Konto ändern. Wenn das Konto sicher zu sein scheint, können Sie dieses Geld auf ein anderes Konto überweisen oder es am besten persönlich in bar bei Ihnen in der Bank bezahlen lassen oder von diesen auf das neue Konto überweisen lassen. Sagen Sie ihnen, dass Sie Informationen herausgegeben haben.
   • Vertrauen Sie keinen Websites, die in Ihrer (kompromittierten) E-Mail / Ihrem Konto auftauchen. Sogar SSL (sichere Site) kann gefälscht sein.

3. Optional können Sie sich an die Polizei wenden, aber es ist Zeitverschwendung ohne spezifische Informationen.

ol>

Einige davon mögen übertrieben und unwahrscheinlich erscheinen, aber ich habe viele kluge, knifflige Kriminelle gesehen. Sie kommen täglich aus Russland oder Indien, wo sich die Strafverfolgung nicht um Ihre EU / US-Behörden kümmert.

edit @ questioner comment

Sie haben anscheinend nicht angegeben, wie es passiert ist. Ich weiß nicht, ob es bearbeitet wurde, aber so wie ich es verstanden habe, haben sie Sie kontaktiert. Wenn Sie die Nummer der offiziellen Website angerufen haben (kein Klick auf E-Mail-Links), haben Sie das getan, was ich gesagt habe. Aber:

1. KEINES der Unternehmen, die ich bisher kannte (Banken oder IT), fragt am Telefon nach Passwörtern. Wie Sie sagten, ist es aufgezeichnet, unverschlüsselt und ohne Zustimmung des Eigentümers verwendbar. Sie fragen nicht einmal nach vollständigen ID-Nummern!
2. Im Gegenteil, ich kenne Unternehmen, die Ihnen mitteilen müssen, dass der Anruf aufgezeichnet wurde, und der Mitarbeiter ist VERBOTEN, nach einem Passwort zu fragen, und sie verbieten das Besitzer, um einen von denen zu erzählen. Nicht einmal ein automatisiertes System verlangt die Eingabe vollständiger Passwörter über Tasten oder die Eingabe in das Telefon. Wenn dies eine echte Firma wäre, würde ich diese Bank sofort verlassen.
3. Das sieht genau wie ein Betrug aus. Eine "reale Person" ist ein zentraler Punkt im Social Engineering. Der Betrüger gewinnt Vertrauen, indem er authentisch ist. Diese Art von Tricks werden täglich ausgeführt. Was ich beschrieben habe, ist eine offizielle Routine professioneller Unternehmen. Ich stimme zu, es ist eine schreckliche Politik, wenn dies eine echte Bank wäre.
ol>