De twee-factor authenticatie die banken gebruiken om bankrekeningen tegen cybercriminelen te beschermen, werkt niet, aldus de Duitse politie. Vorig jaar maakte 95% van de Duitse banken gebruik van zogenaamde "iTan codes", willekeurig gegeneerde nummers die een gebruiker bij het inloggen en doen van transacties moet invoeren. De iTan code is eenmalig te gebruiken en moet aanvallen op internetbankieren voorkomen als een aanvaller de overige klantgegevens in handen heeft. Maar volgens politiecommissaris Mirko Manske werkt de techniek niet. “We verliezen nog steeds geld”, zo liet hij tijdens het E-Crime congres in Londen weten.

Man-in-the-browser
Het probleem is dat aanvallers manieren gevonden hebben om transacties in "real time" uit te voeren, door gebruik te maken van de iTan codes. Bij deze Man-in-the-middle aanvallen zit de aanvaller tussen de gehackte computer en bankserver in. Een andere manier is de "Man-in-the-browser" aanval, waarbij een Trojaans paard de transactie aanpast. De presentatie van Manske, die deels gecensureerd werd omdat die gevoelige informatie bevatte, toonde twee scenario’s met het gebruik van iTan codes. In de eerste demonstratie kreeg de klant een bevestiging dat hij 500 euro had overgemaakt, maar in werkelijkheid wijzigde de aanvaller de informatie en maakte 5000 euro naar een andere rekening over.

De tweede demonstratie toonde het gebruik van CAPTCHAs door banken. Een grote Duitse bank toont een CAPTCHA bij de uit te voeren transacties. Aanvallers hadden code ontwikkeld die een perfecte kopie van de CAPTCHAs bij een man-in-the-middle aanval lieten zien. De kopie verscheen dan bij de rest van de transactiesgegevens, waardoor het slachtoffer niet vermoedde dat een ander bedrag naar een andere rekening werd overgemaakt. "Er lopen heel wat getalenteerde programmeurs rond", zo besluit Manske.