Vorige week is een aanval op Nederlandse belastingbetalers ontdekt die niet alleen bankgegevens, maar ook creditcardgegevens, Sofi-nummer en pincode probeerde te stelen. De aanval, mogelijk het werk van een Nederlandse virusschrijver die eerder via MSN toesloeg, bestond uit twee delen, waarbij malware de startpagina van het slachtoffer wijzigde. Die pagina linkte weer door naar een gehackt .nl domein, volgens de cache van Google het domein tt-ribbons.nl.

Op deze pagina stond de volgende tekst: "Momenteel is google.nl doorverwezen naar de belastingdienst serviceses in samenwerking met google.nl en uw ISP. U bent verplicht om de gevraagde gegevens in te voeren. Uw voordeel is dat u de komende jaren geen aangiftes moet toezenden omdat dit geautomatiseerd wordt door de nieuwe systeem van de belastingdienst.

Het is belangrijk dat u de volgende producten onder de hand hebt: identiteitskaart, pinpas (van de bankaccount waarop uw salaris wordt gestort) en kredietkaart. Dit geldt alleen voor de persoon in een gezin / relatie met de hoogste inkomen."

Verder werd slachtoffers nog gedreigd dat "Uw IP-adres wordt opgeslagen in de database van de belastingdienst," waarbij de site daadwerkelijk het IP-adres van de bezoeker toonde. Om het geheel legitiem te laten lijken was er ook nog een "Hacker Proof" certificaat en Microsoft Certified Professional logo geplaatst. De malware verspreidt zich via Windows Live Messenger en is een variant van een eerdere worm die bankrekeningen probeerde te plunderen. Microsoft MVP Miekie Moes maakte deze analyse van de malware.