Een beveiligingsprobleem met de mobiele website van de Rabobank zorgde ervoor dat kwaadwillenden de vijfcijferige inlogde van klanten konden achterhalen. Het probleem werd ontdekt door de 24-jarige student Sander Akkerman, die vervolgens Webwereld tipte. Door het niet goed afhandelen van foute inlogpogingen, was het mogelijk om via een brute force-aanval de inlogcode te raden. Na drie foute inlogpogingen kon een aanvaller nog steeds doorgaan met het proberen van inlogcombinaties. De website gaf steeds dezelfde foutmelding terug, totdat de juiste combinatie werd ingevoerd.

"Bij een verkeerde poging zegt het systeem dat de combinatie van rekeningnummer en code niet klopt. Als de code geblokkeerd is, meldt het ‘Deze code is geblokkeerd. Neem contact op met de Rabobank," aldus Akkerman tegenover Webwereld. Een aanvaller hoeft vervolgens alleen maar te wachten tot de code gedeblokkeerd wordt.

Foutmelding
Via de aanval kan een aanvaller de saldogegevens van de klant zien en geld tussen eigen rekeningen en bekenden overmaken. Voor transacties naar andere rekeningen is de Random Reader nodig, wat het leegplunderen van de rekening voorkomt. “Dit probleem staat precies zo omschreven op onze basischecklist voor webapplicaties. Ze hadden dit makkelijk vooraf af kunnen vinken", aldus beveiligingsexpert Frank van Vliet van Certified Secure.

Akkerman schreef een proof-of-concept om de aanval te demonstreren. De Rabobank heeft het probleem inmiddels opgelost door de foutmelding aan te passen.