Aanvallen op internetbankieren zullen de komende jaren toenemen, waardoor banken andere oplossingen moeten zoeken. Digitale bankrovers zullen namelijk steeds vaker op de computer de communicatie kapen, Man-in-the-Endpoint (MitE), dan de communicatie via een andere machine laten lopen (Man-in-the-Middle (MitM). Daarbij maakt het niet uit of er twee-factor authenticatie wordt gebruikt, zegt Roel Schouwenberg, senior virusanalist bij Kaspersky Lab. "Het fundamentele probleem met twee-factor authenticatie is dat de sessie wel veilig kan zijn, wat er tijdens de sessie gebeurt wordt niet gecontroleerd."

Om de beveiliging te verbeteren gebruiken banken cryptografische tokens of SMS-berichten. SMS-berichten kunnen de levensduur van TAN-codes (Transactie Autorisatie Nummers) beperken, die nodig zijn om een transactie uit te voeren, de gebruikte rekeningnummers en het maximale bedrag van een transactie. Volgens Schouwenberg is de methode niet waterdicht, omdat virusschrijvers malware kunnen maken die de SMS-berichten onderscheppen. "Een cryptografische token is daarom een betere oplossing en het is niet mogelijk om op zo'n token extra software te installeren."

Op dit moment hoeven consumenten die een SMS ontvangen zich nog geen zorgen te maken, maar dat kan veranderen. "Het is aannemelijk dat over een tijd banker malware zich meer op de mobiele telefoon gaat richten, dus hoewel het momenteel nog geen problemen oplevert, zou ik daar over een paar jaar niet meer zo zeker van zijn. Op de lange termijn gaat SMS dus niet het antwoord zijn," zo laat de virusonderzoeker tegenover Security.nl weten.

Een ander probleem dat de banken moeten oplossen is dat de challenge die consumenten bij het tekenen van een transactie moeten opgeven, geen betekenis hebben. "Daarom zou er een extra challenge voor elke aparte transactie moeten komen." Het gebruik van het over te maken geldbedrag als extra challenge biedt ook geen soelaas, aangezien er al Trojaanse paarden zijn die dit mechanisme kunnen verslaan. Een challenge die wel veilig is, laat consumenten de details van de rekening invoeren waar ze het geld op willen storten, aangezien malware en virusschrijvers dit niet kunnen voorspellen. Daarnaast gebruikt de consument actief het rekeningnummer als challenge, wat in theorie betekent dat hij of zij eerder een verkeerde transactie opmerkt dan bij het lezen van wat er in een SMS-bericht staat.

Anti-virus essentieel voor internetbankieren
Waar banken niet op moeten hopen is dat consumenten actief hun systemen gaan beveiligen. "De ervaring van de anti-virus industrie laat zien dat het onderwijzen van gebruikers een beperkt effect heeft en dat beveiligingsmaatregelen van financiële instellingen een 'hit of miss' kunnen zijn." Schouwenberg, die de aanvallen op banken in kaart bracht, preekt in dit geval voor eigen parochie. "Als het gaat om aanvallen op banken, loopt de anti-virus industrie nog steeds voorop als het gaat om het beschermen van zowel gebruikers als financiële instellingen."