Banken en betaaldiensten die sms gebruiken voor het versturen van eenmalige wachtwoorden om mobiele en online betaaltransacties te verifiëren, stellen hun klanten bloot aan identiteitsfraude. Dat stelt Aspect Software, aanbieder van customer engagement-oplossingen, vooruitlopend op de nieuwe richtlijnen van de Europese Bankautoriteit (EBA).
Deze richtlijnen moeten consumenten vanaf 1 augustus 2015 beter beschermen tijdens mobiele en online banktransacties. Banken en betaaldiensten zijn vanaf deze datum verplicht om multifactorauthenticatie te gebruiken voor complexe transacties, zoals betalingen. Deze vorm van authenticatie houdt in dat op twee onafhankelijke manieren (factoren) een identiteitscheck van de klant plaatsvindt.
Volgens Aspect Software zullen de EBA-richtlijnen betaaldiensten en banken dwingen zich meer op veiligheid te richten bij mobiel en online bankieren. Wel zullen de richtlijnen ten koste gaan van het gebruiksgemak en mogelijk leiden tot nieuwe, geavanceerdere vormen van fraude, zoals SIM-Swap. Op dit moment maken steeds meer banken en betaaldiensten voor het voltooien van betaaltransacties gebruik van eenmalige wachtwoorden via sms of kaartlezers. Met sms is echter eenvoudig te frauderen.
Zo concludeert een rapport van het Amerikaanse softwarebedrijf FICO uit 2013 dat ‘Card not Present’-transacties (telefonische of internetaankopen) de grootste oorzaak zijn van fraude. Banken richten zich volgens het rapport te veel op klantvriendelijkheid en minder op veiligheid. Hierdoor krijgen internetoplichters toegang tot gegevens van klanten. Dat leverde banken en betaaldiensten in 2013 volgens FICO een schadepost op van 357 miljoen euro.
Bij mobiel bankieren is SIM-Swap volgens Aspect hard op weg om de favoriete methode van fraudeurs te worden. Bij deze fraude krijgt iemand onrechtmatig een duplicaat van een mobiele simkaart in handen, waardoor zijn communicatie, ook via sms, onderschept kan worden. Slachtoffers merken hier niets van, totdat het te laat is.
Aspect stelt dat banken nu moeten handelen, willen ze voorbereid zijn op de invoering van de EBA-richtlijn in augustus 2015. Hun aandacht moet zich richten op de risico’s die de keuze van een kanaal (mobiel, internet) met zich meebrengt op het gebied van authenticatie. Betaaldiensten en banken moeten nadenken of ze met een eenvoudige en snelle bank-app geen concessies doen aan de veiligheid. Ze kunnen er ook voor kiezen om een goed evenwicht te creëren. SIM-Swap-checks, detectie-omleidingen, locatiebepaling, zijn eenvoudige controles die een gebruiker ongemerkt kan uitvoeren en tegelijkertijd een krachtig authenticatiemiddel bieden voor het apparaat waarop iemand aan het online bankieren is.
