Sunday, November 10, 2002

Call For Papers: MacHack 18 The eighteenth annual MacHack conference will be held June 19-21 in Detroit. The deadline for abstracts is January 31. [Dr. Dobb's] 23:58 # G!

Hacking syndicates threaten banking The number of organized hacking syndicates targeting financial institutions around the world is growing at a disturbingly fast rate. And so is the number of banks willing to pay these high-tech extortionists hush money to protect their reputations, according to a security expert at The World Bank. Cases in which banks, brokerage firms and other financial institutions have quietly paid hacking syndicates extortion money are "extremely widespread," said Tom Kellermann, senior data risk management specialist at The World Bank in Washington. Kellermann, who co-authored a study on the electronic security risks facing the global financial community, presented the findings during an Oct. 29 online seminar sponsored by Cable & Wireless Internet Services Inc. in Vienna, Va. The 127-page study details the growing security challenges facing the financial sector as a result of the industry's unprecedented dependence on the public telecommunications system, rapid adoption of wireless systems and outsourcing of operations to third parties. And the growing dependency on Internet technologies that are linked to sensitive back-end systems, such as customer databases and real-time stock data, has made online extortion a major "safety and soundness issue" for the financial markets, Kellermann said. 80% Go Unreported Kellermann cited reports from Framingham, Mass.-based IDC and Stamford, Conn.-based Gartner Inc. that indicate that roughly 80% of cybercrime incidents in the financial sector go unreported to law enforcement agencies. Moreover, he contends that IT employees keep many of these incidents from senior banking executives "due to the reality that they may be fired." Banks don't report these incidents mainly because they want to maintain customer and investor trust, according to Kellermann. At the same time, massive underreporting has created a vicious catch-22 for an industry that continues to struggle with dwindling budgets. "It has a magnifying effect because there's no actuarial data to justify the extra expense on security," said Kellermann. "We are losing this war." Budget issues have also led banks and other financial companies to outsource operations. But that can have disastrous consequences for hundreds of banks at once if the hosting company doesn't implement proper security protections, Kellermann said. He cited an incident last year in which hackers penetrated the systems run by S1 Corp., an Atlanta-based provider of electronic finance services to the financial industry. The incident led to the compromise of more than 300 banks, credit unions, insurance providers and investment firms simultaneously. Coverups Not Common Security experts and banking officials contacted for this story agreed that the vast majority of incidents go unreported. However, they said they aren't convinced that internal coverups by bank IT personnel are widespread. "I don't think that security incident coverups are common," said Joe Busa, an IT manager at Citizens Bank in Providence, R.I. "It is very hard to cover a mistake completely from your peers." 23:57 # G!

4.12.:"Keeping Secure - Managing Cyberspace Security Risk" webcast Time:2:00PM EST (U.S.) Speakers:Mark Cox, Senior Director of Engineering Response Team Lead; Brian Faustyn, Red Hat Network Product Manager Managing security risk is a two part process: Understanding the affects of a vulnerability and then patching systems to avoid threats. Learn about emerging industry standards for vulnerability reporting and assessment like CVE and Responsible Disclosure Process. Find out how Red Hat Network keeps enterprise systems secure through automated alerts and centralized management. [Help Net Security] 23:54 # G!

The FBI's Cybercrime Crackdown NewsFactor is running an MIT TechReview article that gives readers a good glimpse into the FBI's new Cyber Division. It's good to see that cybercrime is becoming a high priority and that the FBI is adapting its methods to work in the digital arena. [Kill-HUP.com] 23:40 # G!

Software executive admits hacking A US software company executive has pleaded guilty to hacking into his former employer's systems. Gregg Wysocki, of Rochester Hills, Michigan, entered the plea as part of deal with prosecutors in which charges of embezzlement and using a computer to commit a crime were dropped. Wysocki was charged with stealing sensitive files from his former employer, PC Treasures of Oxford, and using them to land a job with a rival. PC Treasures provides consumer software bundles to builders and resellers of personal computers. Wysocki joined PC Treasures as a salesman in 1999 and was its national sales director when he quit without notice on 27 July 2001, the company said. According to Associated Press reports, Wysocki had improperly tapped into PC Treasures' computer files two weeks earlier and downloaded accounting records, contracts with software suppliers and other records. The downloading occurred on 12 July, one day before Wysocki attended an interview with Microgistix in Minneapolis, the indictment said. He was later hired by the firm. [vnunet Hacking] 23:38 # G!

IT security training 'inadequate' UK employees lack the appropriate IT security training necessary to combat potential threats to organisations such as network viruses IT security training is woefully inadequate in the majority of UK companies, according to a survey. Results from a SurfControl/NOP survey shows that 73 percent of organisations from the UK's largest employment sectors do not have proper training programmes in place. Almost three quarters of workers admit that they have never received any training from their employer on how to use the internet and email at work to minimise network security problems. More than 80 per cent of employees said they were concerned about the risks posed to the network by viruses. However, they are seemingly ill-equipped to identify and deal with potential threats, such as avoiding the temptation to open dubiously titled email attachments, according to the survey. ZDNet Nov 8 2002 10:29AM ET [moreover Computersecurity] 23:33 # G!

Cyber Crime Fighters Escape Funding Cut subscribers only Los Angeles Times Nov 10 2002 7:27AM ET [moreover Computersecurity] 23:22 # G!

JP: Police systems under assault by hackers The National Police Agency (NPA) detected more than 50,000 attempts to break into police computer systems across the country between July and the end of September, officials said Thursday. That works out to about 10 ``cyber-attacks'' a day for each computer that was monitored. The NPA planted 57 tracking devices in one or two locations in each prefectural police headquarters and stations within their jurisdiction. Monitoring of infiltration attempts has been carried out around the clock since April. Recently, police officials began to analyze the data. Hacking hits ranged from 200 to 2,000 a day, with a daily average of about 560 attempts for a total of about 51,000. The attacks occurred at all times of day and were from an international spectrum. Cases traced to Italy accounted for more than 20 percent of the total. Attacks dispatched from the United States, Japan, China and South Korea followed. Depending on the period, however, hits varied greatly from country to country. Also, hackers can break into a system in a third country and launch attacks remotely. That means computers where attacks are traced are not always where hackers authored them. The most common hits involved hackers trying to break into a system to see where it links and flooding it with huge amounts of data to impair Internet use, sometimes called ``denial of service'' attacks. These attempts accounted for 60 percent of all cases. Identifying programs on a computer in preparation for a larger attack, meanwhile, accounted for nearly 30 percent of the attempts. Based on its findings, the NPA is calling on users to take steps to defend against hackers. It will set up a special Web site in March 2003 to provide updates concerning cyber-attacks and suggest defenses.(IHT/Asahi: November 8,2002) [Asahi.com Nov 8 2002 5:10PM ET via moreover Computersecurity] 23:13 # G!

China's Cyberwall: Can Technology Break Through? The Congressional-Executive Committee on China(CECC) has a "legislative mandate to monitor human rights and the development of the rule of law in China, and to submit an annual report to the President and the Congress." On Monday, November 4th, the committee held a roundtable entitled: "China's Cyberwall: Can Technology Break Through?". Paul Baranowski, the project leader of the Peekabooty project, gave this testimony. In about a month, the transcripts will be posted on the CECC's website. [Peekabooty] 22:44 # G!

Heise verklagt 0190-Nummernbetreiber Der Verlag Heinz Heise hat am Amtsgericht Bad Homburg eine Klage gegen den 0190-Nummernbetreiber MCN-Tele.com eingereicht. Dieses Unternehmen hatte eine 0190-Nummer an die Schweizer IBS Clearing AG, einen Anbieter von Einwahlprogrammen, vermittelt. Im September verwies eine ganze Welle unverlangt zugeschickter Werbe-Mails einer "Porno Hacker Crew" indirekt auf einen IBS-Dialer, der die entsprechende Nummer zur Einwahl nutzte. Auch Mitarbeiter von heise online hatten jede Menge derartige Spam-Mails erhalten. Der Heidelberger Anwalt Jan Weber hatte im Auftrag von heise online die mcm-tele.com AG über eine "massive unverlangte Bewerbung" informiert und den Dienstleister gemäß Paragraf 13a Satz 2 der Telekommunikations-Kundenschutzverordnung (TKV) aufgefordert, die Nummer zu sperren. Die neue Regelung sieht vor, dass der Betreiber einer Mehrwertdiensterufnummer diese im Falle eines Missbrauchs nach Mahnung zu sperren hat. Voraussetzung dafür ist die sichere Kenntnis des Dienstleisters über das Fehlverhalten sowie eine "wiederholte oder schwerwiegende Zuwiderhandlung" gegen die TKV. MCN-Tele.com sperrte die Nummer darauf hin, will aber bis heute weder die dem Verlag entstandenen Rechtsverfolgungskosten erstatten noch die geforderte Unterlassungserklärung abgeben. In einem Schreiben betonte MCN-Tele.com, dass das Unternehmen seiner Ansicht nach nicht als so genannter Störer in Haftung genommen werden kann. Um zu diesem Thema ein Grundsatzurteil zu erwirken, verlangt der Verlag Heinz Heise jetzt auf dem Klageweg die Erstattung der Abmahnkosten. Damit wird zugleich die am 27. August in Kraft getretene Änderung der TKV auf ihre Wirkung hin getestet. [heise] 22:36 # G! Translate

Auch 2001: Noch mehr Telefon[cedilla]berwachung Pressemitteilung vom 17.10.2002 VAN ESSEN: Erneut deutlicher Anstieg der Telefonüberwachungen BERLIN. Zu den Zahlen der Telefonüberwachungen für das Jahr 2001 erklärt der Parlamentarische Geschäftsführer der FDP-Bundestagsfraktion, Jörg VAN ESSEN: Das Bundesministerium der Justiz hat mir [Jörg van Essen] die aktuellen Zahlen aus dem Jahr 2001 zur Telefonüberwachung in Deutschland mitgeteilt. Danach sind in den Bundesländern und im Geschäftsbereich des Generalbundesanwalts im vergangenen Jahr in 3868 Verfahren Überwachungsmaßnahmen angeordnet worden. Dies bedeutet gegenüber dem Vorjahr (3353 Verfahren) eine Zunahme um 15,4 Prozent. Die größte Verfahrenszunahme verzeichnet erneut das Land Bremen mit einem Plus von 36,8 Prozent (49 Verfahren in 2000 auf 67 Verfahren in 2001), gefolgt von Sachsen mit einer Zunahme von 36,3 Prozent (182 Verfahren in 2000 auf 248 Verfahren in 2001). Auffällig ist auch die Zunahme der Verfahren in Thüringen um 34,6 Prozent (55 in 2000 auf 74 in 2001). Erfreulich ist dagegen die Abnahme der Verfahren in den Ländern Rheinland-Pfalz, Hamburg und im Saarland. Der erneute Anstieg der Telefonüberwachungen ist besorgniserregend. Insbesondere die unterschiedlichen Entwicklungen in den verschiedenen Bundesländern sind erklärungsbedürftig. Ich fordere daher speziell die Landtage von Bremen, Sachsen und Thüringen auf, sich mit dieser speziellen Entwicklung in ihren Ländern zu befassen und Folgerungen aus der Entwicklung zu ziehen. Aufgrund der weiter steigenden Telefonüberwachungen hält die FDP eine Verbesserung der parlamentarischen Kontrolle und der Berichterstattung an den Deutschen Bundestag und an die Landtage für unumgänglich. In den mir übermittelten Statistiken wird auch die Anzahl der Betroffenen im Sinne des § 100 a Satz 2 StPO (Beschuldigte, Nachrichtenermittler, Inhaber der vom Beschuldigten genutzten Anschlüsse) erfasst, gegen die sich Überwachungsanordnungen richteten. Dies waren insgesamt 9122 im Jahr 2001 gegenüber 7512 Betroffenen im Vorjahr und damit eine Zunahme von 21,4 Prozent. Das Bundesministerium der Justiz hat mir des weiteren übermittelt, aufgrund welcher einzelnen Katalogtat des § 100 a StPO die Überwachungen angeordnet wurden. Den Spitzenplatz nehmen mit weitem Abstand erneut Straftaten nach dem Betäubungsmittelgesetz mit insgesamt 2111 Verfahren ein (1994 Verfahren im Vorjahr). Es folgen die Straftaten nach dem Waffengesetz und dem Außenwirtschaftsgesetz (385 in 2001 im Vergleich zu 96 in 2000). Die drittstärkste Straftatengruppe ist die des Raubes oder der räuberischen Erpressung mit 268 Verfahren in 2001 gegenüber 215 Verfahren in 2000. [via Telepolis News] 22:31 # G! Translate

Publikationspflicht für Professoren im Netz gefordert Professoren könnten sich bald gesetzlich gezwungen sehen, der Allgemeinheit ihre staatlich geförderten Forschungsergebnisse über das Internet gratis zur Verfügung zu stellen. Das ist zumindest erklärtes Ziel der Grünen, denen seit langem daran gelegen ist, möglichst viel Informationen frei zugänglich zu machen. "Es gibt eine Pflicht für Leute, die Wissen öffentlich produzieren, ihre Ergebnisse auch öffentlich zur Verfügung zu stellen", sagte Götz von Stumpfeldt, wirtschaftspolitischer Referent der Bündnisgrünen im Bundestag, während der Tagung zur "Zukunft der globalen Güter in der Wissensgesellschaft" der parteinahen Heinrich-Böll-Stiftung in Berlin. Folgerichtig wäre eine Regelung, die eine Publikation in der öffentlichen Domäne vorsieht. [heise] 22:25 # G! Translate

Vietnam jails internet dissident A Vietnamese dissident has been jailed for four years for publishing criticism of the Communist government on the internet. Le Chi Quang, a 32-year-old lawyer, was convicted of "acts of propaganda" against the state during the one-day trial in Hanoi, a court official said. Foreign journalists were not allowed to attend the trial. The conviction came as Vietnam's internet service providers (ISPs) confirmed that the authorities have blocked access to the BBC's Vietnamese language website. Le Chi Quang was arrested and detained in February after being accused of posting several essays on the internet which condemned the government for its land and sea border agreements with China. [BBC News Online] 22:15 # G!

Australia Plans to Censor the Internet The Australian government is planning to block websites used to organize violent protests, as part of a larger effort to prevent crime from being planned on the 'net. [Slashdot: Your Rights Online] 21:45 # G!

Telefon-Abh[^]rpanne soll Konsequenzen haben Ein Sachstandsbericht zur Panne beim Mobilfunkbetreiber O2, durch die den Kunden das Abhören ihrer Gespräche in Rechnung gestellt wurde, wird derzeit im Bundesministerium für Wirtschaft und Arbeit vorbereitet. Der verantwortliche Mitarbeiter beim BMWA sagte, Aktionismus sei dabei nicht angezeigt. Vorerst würden Informationen zusammengetragen und bestehende Widersprüche in der Darstellung der Ereignisse geklärt. Aus gut unterrichteten Kreisen wird allerdings bestätigt, dass dabei auch der Vorab-Check möglicher Software-Updates bei den Kommunikationsdienstleistern durch die Strafverfolgungsbehörden diskutiert wird. Die Panne hat auf allen Seiten Diskussionen ausgelöst. Ein Sprecher des BKA bestätigte, dass auch bei der Bundesbehörde über Konsequenzen nachgedacht wird. Konkrete Forderungen für mögliche Nachbesserungen bei den Anbietern, mit denen das BKA bei seinen Abhöraktivitäten zusammenarbeitet, wollte BKA-Sprecher Christian Brockert nicht erheben. "Natürlich denken wir aber zusammen mit allen beteiligten Behörden, Veranstaltern und Softwareanbietern darüber nach, wie so etwas künftig vermieden werden kann." Beim Anbieter O2 zieht man sich auf die Position zurück, dass der Fehler sofort behoben worden sei und man grundsätzlich mit den zuständigen Behörden kooperiere, um alle Anforderungen zu erfüllen. [heise] 21:37 # G! Translate

Neues Gesetz gegen 0190-Abzocke Die Bundesregierung will mit einer Gesetzesnovelle dem Betrug mit 0190-Nummmern einen Riegel vorschieben, berichtet das Nachrichtenmagazin Focus. So soll in einem neuen Passus des Gesetzes gegen den unlauteren Wettbewerb (UWG) ein "Straf-Schadenersatz" verankert werden. Außerdem sollen in Zukunft auch Verbraucherschutzverbände gegen die Anbieter vor Gericht ziehen dürfen. Das Gesetz soll voraussichtlich ab 2003 in Kraft treten. "Wir sehen die 0190-Problematik als einen Schwerpunkt dieser Legislaturperiode", hatte bereits Ende Oktober Georg Starke erklärt, der Leiter des Referats für den wirtschaftlichen Schutz der Verbraucher im Ministerium von Renate Künast. Weiter gehende Schutzmaßnahmen als bisher sollten laut Starke in die anstehende Novelle des Telekommunikationsgesetzes (TKG) einfließen. Mit der Erweiterung des UWG soll es nun auch möglich werden, "Unrechtsgewinne von schwarzen Schafen unter den Diensten abzuschöpfen", erklärte der Staatssekretär im Verbraucherschutzministerium, Matthias Berninger von den Grünen. Es sei zentraler Bestandteil der umfassenden Reform des UWG. Bisher konnte sich der Konsument kaum gegen die Abzocke der Dialer-Mafia wehren, da selbst dann, wenn eine Firma eindeutig eines Verstoßes gegen das UWG überführt wurde, der Kunde keine Schadensersatzansprüche einklagen konnte. Dies soll sich mit der Novelle nun ändern. [heise] 21:31 # G! Translate

AU - Queensland - Civil libertarians want police use of entrapment on Net to be monitored (Sydney Morning Herald) A new offence is proposed to be added to the Queensland Criminal Code making it illegal to use the Internet to either chase a child for sex or send pornography to somebody under 16. The laws would allow police to pose as a child on-line to track down paedophiles in Internet chat rooms. Queensland police should put strict Internet monitoring measures in place to prevent possible abuses of power in catching paedophiles, a civil liberties group said. Queensland Council for Civil Liberties (QCCL) said proposed new powers for police were an Australian first and may lead to the entrapment of innocent people. [Quick Links Computercrime/Cybercrime] 21:20 # G!

The Waypath Project is "an attempt to network the weblog community, connecting weblogs that share common themes, ideas, and topics." [Scripting News] 7:44 #

"Sensitive" classification still a sensitive issue Presidents from three government science academies have urged the Bush administration not to declare information 'sensitive but unclassified' to withhold it from the public [FCW: Policy] 0:06 # G!