Eind juli werden Postbankklanten vier keer doelwit van een phishingaanval, toch zou er geen sprake van een trend zijn, maar "een verdwaalde Roemeen". De afgelopen maanden verschijnen er af en toe aanvallen op Nederlandse banken, aldus Roel Schouwenberg van Kaspersky Lab. Toch zijn hier nog geen Amerikaanse taferelen zichtbaar waarbij bankklanten dagelijks het doelwit zijn. De senior virus-analist vermoedt dat één persoon of één groep voor de aanvallen verantwoordelijk is. De aanval van afgelopen juli was echter minder dan professioneel. "Het is voor het menselijke ras te hopen dat er niemand is ingetuind."

De eerste phishingaanvallen waren van dit kaliber, vol met spelfouten en een aanhef als "lieve klant". Daarna werd het beter, maar in dit geval is het "waardeloos", aldus Schouwenberg. "Dit lijkt een uitzondering, overal genomen wordt het beter. Waarschijnlijk is het een Roemeen die Babelfish gebruikte." Dat is nog altijd het grote probleem voor computercriminelen, de Nederlandse taal. "We hebben betere gezien, hoewel het Nederlands nooit perfect is. In ieder geval stukken beter dan de recente aanvallen." Schouwenberg deed eerder de voorspelling dat we meer phishingaanvallen zouden zien, toch wil het aantal incidenten niet doorzetten. "Het is nog steeds allemaal low profile."

Banking Trojans

Een andere tactiek waar klanten van de ABN Amro vorig jaar mee te maken kregen was een Trojaans paard dat als bijlage met een e-mail werd meegestuurd en noodzakelijk zou zijn om te internetbankieren. Uiteindelijk installeerden zo'n 200 mensen de malware. Ook in het geval van de atoomexplosie in Amsterdam en de naar sex zoekende Polina ging het om banking Trojans. Het versturen van dit soort malware is niet populair, omdat de verstuurde binary hetzelfde is, veel meer aandacht genereert en uiteindelijk eenvoudiger door anti-virusbedrijven is op te lossen.

Bankrover Sinowal is daarom voornamelijk actief als drive-by download. Inmiddels zijn alle grote banken het doelwit van banking trojans, waaronder ook Nederlandse banken. Het komt echter vaker voor dat mensen met deze malware zijn besmet, maar dat die dan geen Nederlandse bank "ondersteunt". Sinowal zou inmiddels 900 banken kunnen herkennen. Met name Amerikaanse en Zwitserse banken zijn populair. Toch staat Schouwenberg niet vreemd te kijken als hij een Trojan voor een Nederlandse bank ziet. "Het is niet meer bijzonder."

Verantwoordelijkheid

Nederland mag er dan nog enigszins ongeschonden vanaf komen, banken neigen wereldwijd naar meer verantwoordelijkheid voor de gebruiker. Zo stellen Nieuw-Zeelandse en Britse banken dat klanten over een up to date virusscanner en firewall moeten beschikken, anders kan men in het geval van fraude naar de centen fluiten. De verharding van het beleid komt doordat de schade die banken leiden steeds groter wordt. "Daarom gooien ze het over een andere boeg."

Schouwenberg vindt ook dat banken hun verantwoordelijkheid hebben, bijvoorbeeld in het geval van two-factor authenticatie. "Veel hangt af van de implementatie." Zo is het verstandig om verschillende crypto-algoritmen voor het het inloggen en het doen van transacties te gebruiken. Sommige banken vereisen een extra challenge of code bij een bepaald bedrag, maar dat is zinloos, zegt Schouwenberg. "Daar kijken Trojaanse paarden naar, dan passen ze alleen de rekening aan. Dan weet je nog steeds niet of die 100 euro naar oma of naar Brazilië gaat."

De virusbestrijder is te spreken over de methode die de Rabobank toepast. Daar moet als extra challenge het bankrekeningnummer worden ingevoerd waar de klant het geld naar wil overmaken. "Dat is de ultieme verificatie." Nog steeds niet waterdicht, want als de klant niet oplet is die te omzeilen. Sommige banken in Frankrijk gebruiken bijvoorbeeld een whitelist van rekeningen. Alleen naar rekeningen die in de lijst staan kan men geld overmaken. Wie dan een rekeningnummer wil toevoegen moet dit eerst per post opsturen. Ook het gebruik van SMS-codes zoals de Postbank doet is een zeer veilige manier en zou ten onrechte bekritiseerd worden.

Wat betreft het delen van verantwoordelijkheid vindt Schouwenberg het gebruik van beveiligingssoftware voor bankklanten een goede maatregel, maar de banken zouden het niet moeten verplichten. Hij wijst daarbij als voorbeeld op het DNS-lek. "Wat als een gerichte DNS poisoning aanval tegen jouw IP-adres plaatsvindt. Waar ga je het zien? er is geen lokale malware, geen phishing, niets in de logs te vinden. Dat wordt een lastig verhaal."

ARP poisoning

Een andere techniek die aanvallers kunnen toepassen en die voornamelijk binnen (bedrijfs)netwerken een probleem is, is ARP poisoning. Aanvallers spoofen dan het mac adres, waarbij een machine zegt dat hij de gateway is. Zo gaat uiteindelijk al het webverkeer via de besmette machine, die dan een iframe kan toevoegen om andere machines op het netwerk te infecteren. Bijvoorbeeld een bedrijfs- of hotelnetwerk zou zich hier goed voor lenen.

Boot CD

Een andere optie die weleens wordt genoemd is het gebruik van boot CD's. Dan leg je de drempel te hoog, laat de virus-analist weten. "Mijn ouders zouden gillend wegrennen." Hij ziet dan ook meer in het verhogen van het bewustzijn dan mensen te leren omgaan met boot CD's, die hij zelf ook niet voor het internetbankieren zou gebruiken.

Wat hij wel als een probleem ziet is als banken gaan beslissen welke virusscanner iemand moeten gebruiken. Sommige banken bieden hun klanten anti-virussoftware aan, dat is een goed initiatief, maar je moet het niet verplichten." Daarnaast zouden aanvallers zich specifiek op deze aanbieders kunnen richten.

Afschriften

Volgens het motto van 3xkloppen moeten bankklanten als extra check altijd hun bij- en afschrijvingen controleren. Op een besmet systeem sorteert dit geen enkel effect. "Geavanceerde Trojaanse paarden manipuleren de pagina's met afschriften. Het slachtoffer kan dan uitloggen en inloggen en er staat nog steeds oma en niet Brazilië. Ze spoofen het niet alleen in de sessie, maar permanent."

Het malware-landschap is zich continu aan het evolueren, Nederlandse bankklanten lijken voorlopig nog de dans te ontspringen. Dat geldt echter niet voor creditcardhouders en PayPal-klanten. Bijna alle malware is vandaag de dag voorzien van een formgrabber. Dit zijn geen keyloggers die alle toetsaanslagen opslaan, maar alleen de informatie stelen die in invulvelden wordt ingevoerd. "Alles loggen is niet te overzien," merkt Schouwenberg op. De formgrabbers slaan vaak ook zoekopdrachten op, maar die zijn eenvoudig weg te filteren, waarna de gestolen informatie meestal wordt doorverkocht aan andere criminelen.