Fraude mogelijk bij internetbankieren ABN Amro - update 2

Gebruikers van de internetbankiersite van ABN Amro zijn in sommige gevallen kwetsbaar voor aanvallen. Het apparaat dat wordt gebruikt om de identiteit van een klant te controleren, kan worden gekraakt, blijkt uit onderzoek.

De kwetsbaarheid maakt het mogelijk voor kwaadwillenden om transacties via het internetbankieren van ABN Amro te manipuleren, zodat ze geld kunnen doorsluizen naar hun eigen rekening. Dat hebben onderzoekers van de Radboud Universiteit in Nijmegen ontdekt. De onderzoekers onthulden hun bevindingen in Nieuwsuur.

Klanten zijn alleen kwetsbaar als het apparaat dat wordt gebruikt om hun identiteit te controleren, de e.dentifier2, via een usb-kabel aan de computer is gekoppeld. Via malware op de pc van een slachtoffer kan dan fraude worden gepleegd. Volgens de onderzoekers is er 'geblunderd' bij de ontwikkeling van het apparaat, omdat malware ervoor kan zorgen dat een malafide transactie wordt uitgevoerd en goedgekeurd zonder dat de gebruiker op 'ok' drukt.

De kwetsbaarheid maakt het voor aanvallers mogelijk om een malafide transactie uit te voeren nadat de klant een eigen transactie heeft uitgevoerd en deze heeft goedgekeurd op zijn e.dentifier. Daarvoor onderschepten de onderzoekers het verkeer tussen de pc en de e.dentifier, iets wat bekend staat als een man in the middle-aanval. Daarbij wordt de transactie van de kwaadwillende wel op het display getoond, maar omdat de malware op de pc van het slachtoffer toegang heeft tot dat display, kan de melding binnen een seconde weer worden weggehaald.

Circa 500.000 klanten zouden de kwetsbare e.dentifier gebruiken. Aankoppelen via een usb-kabel is gebruiksvriendelijker, omdat klanten bij een transactie dan slechts hun pincode hoeven in te voeren. Anders moet ook een reeks cijfers worden ingevoerd. Bankklanten die hun e.dentifier2 niet hebben aangekoppeld, zijn niet kwetsbaar, evenals klanten met oudere versies van het apparaat. Die kunnen namelijk niet via usb worden aangekoppeld.

Volgens de onderzoekers is ABN Amro al een halfjaar geleden geïnformeerd over de kwestie, en is de bank begonnen met het ontwikkelen van een veiliger apparaat. De bank heeft zijn klanten echter niet geïnformeerd.

Dat internetbankieren onveilig kan zijn, is overigens al langer bekend. Niet alleen worden de nodige bankklanten het slachtoffer van phishing, ook rouleert er malware die tot doel heeft om logingegevens van banken te onderscheppen. Sommige malware is zelfs in staat tancodes te onderscheppen, die worden gebruikt om betalingen bij ING te bevestigen. Daartoe moet dan wel de telefoon van een slachtoffer zijn geïnfecteerd.

Update, 22:34: Details uit uitzending Nieuwsuur toegevoegd.

Update, vrijdag 8:47: Bevindingen uit research-paper in artikel verwerkt.

Bekijk ook de demonstratie van Tweakers.net over de manier waarop trojans bankgegevens ontvreemden.