Cybercrime en witwassen

26 Cybercrime en witwassen
maakt de ZeuS-malware het mogelijk om de webbrowser van besmette computers
te manipuleren (Sandee, 2015, p. 16-18). 25 Op het moment dat het
slachtoffer bijvoorbeeld de naam van een grote Nederlandse bank invoert,
herkent de malware de URL en wordt het slachtoffer doorgestuurd naar een
website die door de crimineel is gebouwd (zie ook Bernaards, Monsma &
Zinn, 2012, p. 43). Deze websites zijn nauwelijks te onderscheiden van de
echte websites voor internetbankieren (online bankieren). 26 Op het moment
dat het slachtoffer geld overmaakt, worden op de achtergrond het geldbedrag
en de ontvanger door de crimineel gewijzigd. 27 Dit type aanval wordt ook wel
een ‘man in the browser’-aanval genoemd. 28 Met een wachtscherm wordt het
slachtoffer virtueel aan het lijntje gehouden, terwijl de criminelen een andere
transactie klaarzetten en uitvoeren met de afgevangen inloggegevens. Daarbij
kunnen zelfs authenticatiecodes worden gestolen door criminelen. Naast
een inlognaam of wachtwoord is ook een tweede ondertekeningscode noodzakelijk
om in te loggen op de online bankieromgeving bij Nederlandse banken.
De ondertekeningscode verschilt per bank. Het kan bijvoorbeeld een
sms-code betreffen of een cijfercode die wordt gegenereerd op een speciaal
daarvoor bestemd apparaat. 29 Om het afvangen van de extra authenticatie te
bewerkstelligen moet daarbij soms wel direct contact worden gezocht met de
slachtoffers. De criminelen maken daarvoor gebruik van een chatscherm of
een ander pop-upscherm, teneinde het slachtoffer zo ver te krijgen de benodigde
authenticatiegegevens over te dragen aan de criminelen (Sandee, 2015,
p. 17-18). 30 De webinjects en nep-e-mails zijn vaak lastig van echt te onderscheiden
wanneer mensen gaan internetbankieren.
Net als veel andere banking malware was ZeuS niet alleen gericht op het
afhandig maken van inloggegevens voor online bankieren (Binsalleeh et al.,
2010, p. 31). De software kon ook andere persoonsgegevens vergaren door
het uitvoeren van aanvallen op basis van bepaalde sleutelwoorden, zoals de
namen van populaire elektronische communicatiediensten en betalingsdiensten
(Binsalleeh et al., 2010, p. 32). 31 Bovendien bood ZeuS de functionaliteit
om – tegen betaling – andere malware van andere criminelen op de besmette
computer te plaatsen voor verdere exploitatie van de slachtoffers (Sandee,
2015, p. 4-5).
25 Zie voor de werking van de ZeuS-malware ook Tajalizadehkoob, 2013.
26 Vaak is de URL (het webadres) in de adresbalk wel een aanwijzing of een internetgebruiker op de juiste website
zit, maar verschillen kunnen erg klein zijn, bijvoorbeeld robobank.nl versus rabobank.nl.
27 Deze werkwijze wordt in twee recente uitspraken over banking malware bevestigd. Zie: Rb. Zeeland, 29 juni
2016, ECLI:NL:RBZWB:2016:3877 en Rb. Rotterdam, 20 juli 2016, ECLI:NL:RBROT:2016:5814, Computerrecht
2016/175, m. nt. J.J. Oerlemans.
28 Zie meer uitgebreid Tajalizadehkoob, 2013, p. 25.
29 Bij ING gaat het bijvoorbeeld om een TAN-code via de sms en bij de Rabobank om een code via een random
reader of raboscanner: een apparaatje waarin de pinpas wordt gestoken.
30 Mensen bewegen zulke informatie te verstrekken kan onder andere plaatsvinden door hen te misleiden, hen
te bedreigen, medelijden op te wekken of hen nieuwsgierig te maken.
31 Zie voor de selectie van de diensten die worden aangevallen ook uitgebreid Tajalizadehkoob (2013).