Tesco Bank: Hur stals £2,5 miljoner från kunders konton?
Rapporten säger att kriminella har köpt kontaktlösa kort i USA och Brasilien
Matt Cardy/Getty Images
Det har beskrivits som den värsta cyberattacken i brittisk bankhistoria, men lite är känt om hur bedragare stal 2,5 miljoner pund från 9 000 Tesco Bank-kontoinnehavare.
Den finansiella tjänstegrenen i Storbritanniens största stormarknadsgrupp har försökt försäkra kunderna genom att säga att 'ingen kunddata har gått förlorad' och att 'ingen av våra system har brutits'.
Utöver det har den vägrat att avslöja detaljer med hänvisning till en pågående brottsutredning. Under tiden dess 'rykte har skadats av raiden', säger Sunday Times .
Rykten, läckor och potentiella ledtrådar till de metoder som hackarna använder har dock börjat dyka upp. Dessa kretsar kring flera nyckelteman:
Kontaktlösa betalningar
Sunday Times påstod sig 'avslöja' i helgen att brottslingarna 'åkte på en utgiftsrunda i butiker i USA och Brasilien för att tvätta sina illa vinningar'.
Enligt tidningen laddades 'stulna' kundkontouppgifter upp på smartphones och användes sedan för att göra mängder av små inköp hos den amerikanska elhandlaren Best Buy och på andra håll i Amerika och Brasilien.
'Tjuvarna laddade på billiga varor för att komma runt gränserna för mobiltelefontransaktioner', tillade det.
Det finns ingen källa som citeras för påståendena, men om den är sann skulle denna förklaring ifrågasätta Tescos påstående att 'ingen kunddata har gått förlorad'.
'Råstyrka'
En annan möjlighet, eller kanske föregångaren till den stora attacken förra veckan, angavs av Israel cybersäkerhetsföretaget CyberInt.
Säkerhetsfirman berättade Financial Times att det hade hittat bevis på att 'Tesco Bank-kunders löpande konton, sparkonton och kreditkortsuppgifter... handlades på den mörka webben', efter en ökning av attackerna mot företagets webbplats i september.
Webbplatsen tillåter 'obegränsade inloggningsförsök från samma IP-adress'. Bedragare kan använda en 'brute force'-attack för att testa 'tusentals inloggnings- och lösenordskombinationer tills en [visas] fungera', säger BBC .
CyberInts undersökningar avslöjade ett antal användare på mörka webbforum som påstår sig ha stulit så mycket som £1 000 åt gången från Tesco Banks kunder.
Mobilappar
Mer spekulativt har cybersäkerhetsföretag nämnt svagheter i förhållande till Tesco Banks mobilapp. De säger att dessa kan vara vanliga i ett antal så kallade 'utmanarbanker'.
'Vi undersökte mobilappar över hela den brittiska marknaden och hittade några problem med olika appar som de har och tog kontakt för att försöka varna dem,' sa det London-baserade företagets vd, Martin Alderson, till BBC.
Han sa att han inte skulle avslöja de svagheter han hade identifierat i någon detalj, men sa att de inte var begränsade till Tesco.
Alderson sa också att även om 'banker på högsta nivå är riktigt bra med sin mobila säkerhet... kan andra klassens banker och några av de finansiella teknikföretagen kämpa med detta'.
Vad ska du göra?
För det första, om du förlorat pengar borde du redan ha fått ersättning. Om du är en Tesco Bank-kund och du inte tror att du förlorade, håll ett öga på dina konton för misstänkt aktivitet ändå.
Vidta alltid lämpliga säkerhetsåtgärder med dina konton, som att hålla inloggningsuppgifter och pin-nummer säkra, använda komplexa onlinelösenord och kontrollera bankomater före användning.
Självklart kan du lämna Tesco om du inte känner dig säker, men det är värt att upprepa att den säger att dess system inte komprometterades och att andra banker har mött sina egna, om än mindre framgångsrika, attacker tidigare.
Tesco Bank cyberattack: Allt vi vet hittills
9 november
Tidigare i veckan bekräftade Tesco Bank att tusentals kunder förlorade så mycket som £600 vardera förra helgen efter att tjuvar stulit pengar från deras konton.
Det är det senaste i en växande trend med företag som riktas mot bedragare. Här är allt du behöver veta.
Vad hände?
Det blev klart under helgen att ett antal av Tesco Banks byteskontoinnehavare inte kunde göra betalningar online, med antydningar om omfattande bedrägerier och stopp på kundtjänstlinjer.
Benny Higgins, bankens vd, bekräftade att '40 000 konton såg misstänkta transaktioner under helgen, varav hälften fick pengar', säger BBC .
Banken har sedan dess reviderat dessa siffror och tillkännagav igår att cirka 9 000 personer fick totalt 2,5 miljoner pund stulna från sina konton. Alla berörda kunder har nu fått full återbetalning.
Hur vet jag om jag är påverkad?
Tesco borde ha meddelat dig via sms om ditt konto identifierades vara i fara. Vid det här laget borde du ha fått en återbetalning för alla förlorade pengar.
Om du bankar med Tesco och inte blev kontaktad, är det fortfarande värt att kontrollera ditt konto för någon ovanlig aktivitet.
Enligt Financial Conduct Authority-regler är banker skyldiga att omedelbart återbetala alla pengar som förlorats till följd av bedrägeri, såvida de inte kan bevisa att du var oaktsam eller att intrånget inträffade för mer än 13 månader sedan.
Så jag vet om mina pengar fortfarande finns där?
Visst för nu. Men eftersom Tesco inte har släppt några detaljer om hur intrången hände, håll ett öga på saker och ting, särskilt som vissa kunder har fått upp till 600 pund.
I ett försök att försäkra kunderna har Tesco sagt att kunddata 'inte komprometterades' under attacken, säger BBC [1]. Så förhoppningsvis betyder det att hackarna inte har möjlighet att begå ytterligare bedrägerier.
Så Tesco vet inte vad som hände?
Chefer har berättat för BBC att de vet exakt vad som hände, men att eftersom det är en öppen polisutredning kan de inte avslöja detaljer. Allt de säger är att det var en 'systemisk, sofistikerad attack'.
Robert Schifreen, redaktör för datorsäkerhetswebbplatsen Security Smart, är inte nöjd med vad han ser som en brist på transparens.
'Det kan vara... att folk har fäst skumningsenheter, kortläsare och kameror specifikt till Tescos bankomat, så att de har fångat folks konton där', sa han till BBC.
'Det kan vara någon som jobbar på Tesco Bank som har haft tillgång till databasen. Det kan vara någon annan som Tesco har skickat information till, och den informationen har hackats.'
Vad händer om jag är påverkad?
Om Tesco inte redan har kontaktat dig bör du själv ringa banken. Det syftar till att återbetala alla förlorade pengar inom de närmaste 24 timmarna.
Enligt Financial Conduct Authority-regler är banker skyldiga att återbetala pengar som gått förlorade till följd av bedrägeri såvida de inte kan bevisa att du var oaktsam eller att intrånget inträffade för mer än 13 månader sedan.
Hur kan jag skydda mig själv i framtiden?
Utan att veta exakt hur cyberattacken hände, är det svårt att peka ut något som kunder kan göra av misstag som gör att de blir utsatta.
BBC säger att eftersom 'brottslingar kan ha kunnat ta sig in i bankens system utan någon input, eller läcka av information, från enskilda kunder... finns det få uppenbara försiktighetsåtgärder som kunderna kan vidta'.
Du bör dock alltid hålla dina kontouppgifter online säkra, använda lösenord som är svåra att gissa och kontrollera bankomater innan du använder dem.
Till viss del ligger ditt öde alltid i din banks händer: om dess system hackas kan dina uppgifter tas. De flesta använder kryptering och andra former av skydd för att försöka förhindra detta.
Efter en utredning förra månaden, vilken? sa att Lloyds, Santander och TSB hade jämförelsevis dåliga resultat för att skydda kunddetaljer. Alla tre bestred resultaten – och Tesco var inte ens med.
Är Tesco ensam?
Absolut inte. HSBC var föremål för encyberattack i januari, men den sa att den kunde förhindra att kundernas konton påverkas, även om den också var tvungen att blockera tillgången till internetbank ett tag.
Företag över hela ekonomin tvingas i allt högre grad försvara sig mot onlineattacker. I Storbritannien har högprofilerade företagsoffer inkluderat Biltelefonlager , Prata prata och Vodafone
Hur har Tesco påverkats?
Till viss del är hacket litet och representerar bara 0,5 procent av dess sju miljoner kundkonton, men investerare fruktar alltid att ett intrång kommer att drabba kundernas förtroende så att aktier har drabbats.
Tescos aktiekurs sjönk med 1,2 procent idag, till cirka 198,7p.
Attacken har beskrivits som den värsta i brittisk företagshistoria och 'utan motstycke' av tillsynsmyndigheten, som Daily Telegraph säger kunde utfärda böter till Tesco Bank om den anser att säkerheten inte var tillräcklig.
