Online bankieren steeds minder veilig?
Trend Micro waarschuwt tegen een nieuwe vorm van phishing: een zogenaamde 'Man-in-the-middle'-aanval die zich vooral richt op gebruikers van two-factor authenticatie. Bij deze vorm van authenticatie wordt gekeken naar wat iemand heeft (bijvoorbeeld een bankpas en een transactiecode) en wat iemand weet (een pin/inlogcode of een antwoord op een specifieke vraag). Dit is - tot nu toe?
Online bankieren steeds minder veilig?
Trend Micro waarschuwt tegen een nieuwe vorm van phishing: een zogenaamde 'Man-in-the-middle'-aanval die zich vooral richt op gebruikers van two-factor authenticatie. Bij deze vorm van authenticatie wordt gekeken naar wat iemand heeft (bijvoorbeeld een bankpas en een transactiecode) en wat iemand weet (een pin/inlogcode of een antwoord op een specifieke vraag). Dit is - tot nu toe? - nog steeds de sterkste beveiliging bij internet-bankieren, maar of dat zo blijft...
Internet-criminelen hebben een methode ontwikkeld om naast de vaste inloggegevens, zoals inlognaam en wachtwoord, ook de unieke transactiecodes te achterhalen. De meeste banken in de Benelux vragen om dergelijke codes om te kunnen inloggen of geld over te maken. Gebruikers hebben hiervoor vaak een apparaatje ontvangen, dat elke keer een unieke code genereert om veilig te kunnen internetbankieren.
Two-factor authenticatie - ook wel krachtige authenticatie gemoemd - wordt momenteel gezien als de meest betrouwbare manier om te kijken of iemand daadwerkelijk is wie hij of zij zegt te zijn. De authenticatie vindt plaats op basis van wat iemand heeft (bijvoorbeeld een bankpas en een transactiecode) en wat iemand weet (een pin/inlogcode of een antwoord op een specifieke vraag). Dankzij deze nieuwe 'Man-in-the-middle'-phishing-methode moeten nu ook gebruikers van two-factor authenticatie op hun hoede zijn. De eerste slachtoffers van deze nieuwe phishing-methode zijn al gemeld.
De 'Man-in-the-middle'-methode gebruikt een klassieke vorm van phishing. Via een e-mailbericht dat afkomstig lijkt van een bank, worden bankklanten naar een webpagina gelokt die een valse kopie is van de echte inlogpagina van die bank. De gebruiker wordt gevraagd zijn/haar inloggegevens, waaronder de uniek gegenereerde code, in te vullen. Wanneer al de benodigde gegevens zijn ingevuld, worden deze direct gebruikt om automatisch in te loggen op de echte site van de bank. De crimineel heeft daarna vrij toegang tot alle bankgegevens en kan (afhankelijk van de verdere beveiligingsmaatregelen bij de betreffende bank) geld overmaken naar andere rekeningen.
Het kan daarom, aldus Trend Micro, geen kwaad om nog eens een aantal tips tegen phishing op een rij te zetten:
1. Pas op met e-mails die vragen om accountgegevens. Phishing-e-mails richten zich op het misleiden van de ontvanger. Banken of andere financiële instellingen vragen in principe nooit via e-mail om privacygevoelige informatie.
2. Ga na of een bankwebsite veilig is voordat u bijvoorbeeld creditcardgegevens intikt. Een aanwijzing dat een site veilig is, is dat de url begint met https://. Adressen die beginnen met http:// zijn onbeveiligd en (dus) verdacht.
3. Klik niet op links in verdacht aandoende e-mailberichten. Beter is het om in de browserbalk zelf het websiteadres van de bankinstelling in te typen en vanuit daar in te loggen.
4. Open geen bijlagen van verdachte e-mailberichten. Er kán namelijk een malware-programma in verstopt zitten
5. Op www.trendmicro.com/en/security/phishing/overview is up-to-date informatie te vinden over nieuwe phishing-bedreigingen.
6. Zorg ervoor dat de browser up-to-date is en beveilgingspatches altijd zijn geïnstalleerd.
7. Installeer software die specifiek beschermt tegen phishing-aanvallen.
8. Zorg ervoor dat geïnstalleerde beveiligingssoftware altijd up-to-date is.