Het allerbelangrijkste gereedschap van cybercriminelen draait al gewoon op jouw desktop, laptop of notebook. Ik heb het natuurlijk over de browser software die jij gebruikt, zoals Microsoft Edge, Google Chrome, Mozilla Firefox, etc. In de meeste gevallen zijn het namelijk browsers die cybercriminelen toegang verschaffen tot persoonlijke data of bankrekeningen.
Dat zit namelijk zo, browsers kunnen even makkelijk verbinden met valse servers of websites die in alle opzichten op jouw favoriete accounts lijken. Oké, behalve de desbetreffende domeinnamen dan, maar daarnaast kan letterlijk de volledige omgeving van jouw favoriete accounts feilloos worden gekopieerd. Dit is slechts een kwestie van scripts en afbeeldingen van de oorspronkelijke webpagina’s downloaden en deze vervolgens hier en daar te tweaken om te compenseren voor de valse domeinnamen. Verder stelt het weinig voor.
En zie daar, een exacte kopie van jouw favoriete account. Als je met een link via email, sms of social media app wordt verleid daarop in te loggen dan kunnen cybercriminelen vervolgens realtime jouw volledige account of bankrekening overnemen. Rechtstreeks of via de minder opvallende tussenstap van een malafide webwinkel.
Je geeft cybercriminelen in dat geval jouw inloggegevens door op een presenteerblaadje via jouw eigen browser. Het klinkt doodeng en het is ook doodeng. Door een browser te blijven gebruiken om in te loggen op de meest privacygevoelige accounts doe je jezelf ernstig tekort. Je biedt criminelen potentiële toegang tot jouw persoonlijke data of bankrekeningen.
Populaire gebruikte tweestapsverificaties blijken in dat geval overigens volstrekt nutteloos, al voelt het nog zo veilig. De gegevens van jouw tweestapsverificatie geef je immers door op hetzelfde presenteerblaadje via jouw eigen browser. Bij ‘mobiel bevestigen’ accordeer jij in zo’n geval met jouw mobiel een inlog middels een QR-code die cybercriminelen even daarvoor via de valse bankwebsite naar jou hebben doorgesluisd. Hiertegen kan geen enkele bank je beschermen met de huidige niet-valide methoden van tweestapsverificatie.
Zelfs als je alle domeinnamen voorafgaand aan het inloggen of betalen goed controleert, bestaan er geen garanties. Het in de loop van 2023 opgerolde Genesis Market registreerde bijvoorbeeld uitvoerige ‘fingerprints’ van door hen geïnfecteerde browsers inclusief de cookies die voor de verschillende inlogsessies werden gebruikt. Hiermee konden cybercriminelen jouw sessie doodsimpel op een andere computer overnemen of voortzetten. Browsers blijken letterlijk een zegen voor cybercriminelen. Een eenvoudig te manipuleren interface die zich bovendien al op de computers van de potentiële slachtoffers bevindt.
Apps op tablets of smartphones zijn vanwege hun architectuur wel inherent veilig. Allereerst zijn de operating systemen van tablets of smartphones vele malen geavanceerder dan die van computers, welke historisch gezien zijn ontworpen in de jaren 70-80 van de vorige eeuw.
Daarnaast zijn de te verbinden servers of websites ingebakken in de codering van de apps en niet aan te passen of te manipuleren door derden. Cybercriminelen kunnen legitieme apps daarom simpelweg niet misbruiken om jouw inloggegevens af te vangen. Legitieme apps verbinden namelijk bij uitstek alleen met de servers van jouw account of bank.
Ook voor browserapps op tablets of smartphones geldt overigens dat ze onveilig zijn, net zoals browsers op computers. Dit constaterende, is het mij een raadsel waarom legio mensen nog steeds internetbankieren door in te loggen en/of te betalen via hun browser. Blijkbaar hebben ze geen idee van hun relatieve kwetsbaarheid, terwijl media toch met enige regelmaat berichten over de talloze slachtoffers van cybercriminele praktijken!
