Hotspots blijken achilleshiel internetbankieren

Bij de hotspots bleek het mogelijk een betaling die iemand doet te onderscheppen en het bankrekeningnummer te veranderen zodat het bedrag kon worden weggesluisd. In sommige gevallen was het ook mogelijk het bedrag aan te passen, blijkt uit onderzoek van SecureLink dat het nieuws samen met beveiligingsjournalist Brenno de Winter en het Vara-programma Kassa zaterdag naar buiten bracht.

Redactie AG ConnectMeer van deze auteur

Inmiddels hebben de banken maatregelen genomen, maar het advies van SecureLabs is geen wifi-netwerken te gebruiken voor het doen van online-betalingen en zeker niet met Internet Explorer. Bovendien is het zaak altijd te controleren of er 'https' in het adresveld van de browser staat in plaats van 'http', zodat er de zekerheid is dat er een beveiligde verbinding tot stand is gekomen.

Bewijslast ligt nu bij de klant

Het probleem voor gedupeerden is dat zij sinds januari dit jaar zelf verantwoordelijk zijn voor het aanleveren van het bewijs dat er gemanipuleerd is met hun betalingen. Tot dan toe vergoedden banken het schadebedrag veel makkelijker. Omdat met de werkwijze die SecureLabs liet zien, er geen bewijs achterblijft dat het bedrag niet bewust naar de verkeerde rekening is overgemaakt, is het voor de bankklant lastig de schade te claimen.

De zwakte van het internetbankieren die hier aan de orde is, heeft te maken met de implementatie van HSTS-technologie, waarmee de banksite het gebruik van een https-verbinding kan afdwingen. Veel banken gebruikten die technologie tot dit weekend nog niet en de Internet Explorer-browser kan er niet mee omgaan. Andere browsers zoals Firefox, Chrome, Safari en Opera ondersteunen wel HSTS.

De apps van de banken hebben geen last van dit probleem.