"Internetbankieren niet veilig"
===============================

NIJMEGEN - Criminele hackers kunnen sinds enkele maanden het systeem achter internetbankieren kraken. "Dit is dramatisch voor de veiligheid van bankieren. De campagne `3x kloppen' helpt hier niet tegen." De strijd tussen banken en criminele hackers woedt al lang. Ook afgelopen jaar waren websites van Nederlandse banken regelmatig het slachtoffer: van oktober 2006 tot maart 2007 waren er maandelijks zo'n negen meldingen. Zo ontvingen klanten van SNS begin december 2007 een nepmail van zogeheten phishers waarin om persoonlijke bankgegevens werd gevraagd. Phishers (van fishing, hengelen) zijn criminelen die grote aantallen berichten versturen die afkomstig lijken van een betrouwbare organisatie. Doel is de ontvanger persoonlijke informatie zoals inlogcodes te ontfutselen, of spyware te installeren op de pc om zo bij de banktegoeden van het slachtoffer te komen. Zo komt het regelmatig voor dat men via e-mail naar een valse website wordt gelokt met het verzoek daar zogenaamd "de inloggevens te controleren."

Alleen al in de Verenigde Staten dupeerden phishers afgelopen jaar 3,6 miljoen mensen en `verdienden' daarmee 3,2 miljard dollar (2,2 miljard euro), bleek vorige maand uit een onderzoek van adviesorganisatie Gartner. In de meeste landen moet de gebruiker van internetbankieren inloggen met een inlognaam en een wachtwoord. "Dit is een tamelijk onveilig systeem", zegt prof. dr. Bart Jacobs, hoogleraar computerbeveiliging aan de Radboud Universiteit Nijmegen.

Internetbankierders in Nederland gebruiken een systeem van tweefactorenauthenticatie, waarbij gebruik wordt gemaakt van een inlognaam, een wachtwoord en een unieke code die door een apparaatje wordt gegenereerd. Jacobs: "We voelden ons hiermee veilig. Sinds een aantal maanden is dit systeem door hackers doorbroken. Dat is dramatisch."

Het internetbankieren heeft sinds een paar maanden last van zogenaamde `man in the browser'-aanvallen, een vorm die veel op phishing lijkt, maar pharming (van farming, oogsten) heet. Bij phishing verstuurt de crimineel mails die een gebruiker naar een nagemaakte site lokt; bij pharming wordt de internetbankierder omgeleid naar een nagebootste site, nadat hij het bekende webadres heeft ingetypt.

De computerkrakers voeren bij de `man-in-the-browser'-aanval een offensief uit met een Trojaans paard, een computervirus dat zich vermomt als onschuldig programmaatje. De kwaadaardige software nestelt zich in de computers van nietsvermoedende internetbankierders. Als zij inloggen op de site van hun bank, opent de software een scherm met een foutmelding. Ondertussen loggen de krakers met de ingevoerde code in op de banksite, waar ze een overboeking klaarzetten. Als het slachtoffer weer probeert in te loggen, gebruiken de criminelen deze code om de transactie te bevestigen. Het systeem van tweefactorenauthenticatie is niet bestand tegen deze aanvallen.

De banken zien de aanvallen op het internetbankieren als een probleem, aldus Michel Noordermeer, woordvoerder van de Nederlandse Vereniging van Banken (NVB). "Dit tast het vertrouwen van de consument in het bankwezen aan. Maar we hielden van tevoren rekening met het kraken van het tweefactorenauthenticatiesysteem. Welke methode er ook wordt bedacht, er komt een moment waarop criminelen gaten in het systeem vinden. Honderd procent veiligheid bestaat helaas niet."

Om de veiligheid van internetbankieren te vergroten, startte de NVB begin november de campagne `3x kloppen'. "Doel hiervan is de consument te wijzen op zijn verantwoordelijkheid en hem bewust te maken van de gevaren die er kunnen zijn", zegt Noordermeer. De campagne wijst de klant erop dat zijn pc-beveiliging, de website van de bank en de bij-en afschrijvingen moeten kloppen.

Volgens hoogleraar Jacobs biedt de campagne geen veiligheid nu hackers de tweefactorenauthenticatie kunnen kraken. "Alles wat een slachtoffer op zijn scherm ziet, klopt. De klant kan niets tegen een aanval doen, behalve achteraf controleren of de transacties die gedaan zijn, kloppen. Maar dan kan het leed al geleden zijn." Noordermeer is het hier niet mee eens. "Wanneer je de instructies uit de campagne opvolgt, ben je veilig bezig en is de kans op problemen zo goed als nul. Mocht er onverhoopt toch geld worden ontvreemd, dan vergoedt de bank de schade, net zoals dit bij problemen met de pinpas gebeurt."

Banken blijven investeren in de beveiliging van hun websites. Jacobs:
"Bij sommige banken moet de gebruiker het bedrag op de paslezer intoetsen als die hoger is dan 1000 euro. Ook kunnen banken nog vragen het bankrekeningnummer waarnaar een transactie wordt geboekt te geven, om zo het aantal contolegegevens te vergroten." Noordermeer benadrukt de rol die de banken spelen in de veiligheid van hun sites. "Banken werken hier constant aan met steeds geavanceerdere technieken om het criminelen zo moeilijk mogelijk te maken. Het is en blijft een kat-en-muisspel."

(AB always on top)

Het aantal pogingen van internet fraudeurs is groeiende. Algemene Informatie over dit onderwerp en antivirus, malware en ander zaken, kunnen mensen in de veronderstelling brengen dat inbreuk in hun bank betalingen en handelingen op internet met een antivirus programma is te beschermen, dit volgens een bancaire instelling Apacs.(UK)

In de eerste zes maanden van dit jaar waren er 21000 gevallen van "phishing"-fraude waarbij de banken in Engeland.Dat was een stijging van meer dan 180% ten opzichte van dezelfde periode vorig jaar!

Echter, Apacs zei de mensen toch steeds meer op hun hoede zijn op een poging tot fraude en dus de werkelijke verliezen van dit jaar mee kunnen vallen.

Bij Phishing fraude betrekken fraudeurs een aantal software’s en versturen nep-e-mails naar mensen, en proberen te overtuigen dat het komt van hun banken, en nodigen hen uit voor het klikken op een link naar een nep-bank website. Het doel is het ontlokken van de bankgegevens, als hun pin-nummers en andere bankrekening details. De bank adviseert dus met klem hun klanten om te zorgen dat ze constant op hun hoede blijven voor online oplichting. Het gebruik van antivirus programma’s, wat de pc beschermt tegen virussen, malware, trojans, spyware en ander hier niet genoemde malware. Aldus Sandra Quinn, Apacs

Andere organisaties, zoals HM Revenue & Customs, zijn ook uitgerust met informatie op deze manier met hetzelfde doel. Apacs zei gerapporteerde phishing-aanvallen stegen in 2007 tot bijna 26000 van 14000 het jaar daarvoor.

Maar de door de banken gemelde verliezen door online bankieren fraude daalde het afgelopen jaar met 33% tot £ 34m. De vraag doemt hierbij op hoe dit kan.

"In de toekomst verwachten we dat meer en meer mensen gebruik te maken van online bankieren in plaats van alleen de controle van de saldi, met name in het licht van de recente invoering van de nieuwe snellere betalingen dienst," zei Sandra Quinn van Apacs. "Maar we doen een dringend beroep op klanten van de bank om te zorgen dat ze blijven op hun hoede voor online oplichting, zoals ongevraagde e-mails te beweren dat het van hun bank."

Meer veiligheid
Internet-bankieren is erg populair in de afgelopen jaren, en Apacs zegt meer dan 21 miljoen mensen zijn nu met behulp van een soort van online bankieren.
men verwacht dat het aantal te groeien als online betalingen veel sneller geworden dan voorheen als gevolg van de nieuwe systemen die door de banksector van dit jaar. Op het eerste gezicht zal dit zal leiden tot een grotere kans op succes voor phishing-fraudeurs.

Maar sinds vorig jaar versturen banken als Barclays en de RBS / NatWest groep nieuwe gadgets ( nieuwe betaalmogelijkheden) naar hun online klanten voor het maken van hun internet banking meer veilig. De gadgets als betaalkaarten genereren een unieke code die moet worden ingetypt in de computer van de klant op elk ogenblik dat zij toegang krijgen tot hun online banking systeem.

E.e.a. afgezet in Nederland, geeft in grote lijnen aan, dat een goede antivirus noodzakelijk blijft. Ook de informatieve site van de vereniging van banken in Nederland, met name 3x kloppen, geeft duidelijk aan dat noodzakelijk blijft dat men een antivirus op de computer moet hebben. 3x kloppen geeft dit ook aan in de antivirus test die men op de stie van 3x kloppen kan uitvoeren.

Ook de informatie over malware, spyware, gedeelde virussen, of enkele virussen, is bij de site van 3x kloppen duidelijk.

Panda Internet security, heeft een speciaal onderdeel dat phishing tegen gaat, dan wel herkent. Maar een juiste controle op het moment van banking on line, door de gebruiker zelf, geeft extra zekerheid. Ook is bekend dat phishing software kan zijn verstopt in een virus, malware, trojan of ander een ander stuk malware. Antivirus in het algemeen blijft dus belangrijk.

(2008/08/01 Dit stuk is gedeeltelijk overgenomen uit het artikel van BBC news (24 July 2008 12:52 UK)