Trojans en zombies

Dat het aantal aanvallen op het internet toeneemt, constateert ook internetexpert dr. Michel van Eeten van Techniek Bestuur en Management. De afgelopen drie jaar is het aantal succesvolle criminele activiteiten op het internet volgens hem exponentieel toegenomen. “En de technieken worden steeds geavanceerder”, zegt hij desgevraagd.

De onderzoeker constateert dat er veel meer trojans op het net circuleren. Dat zijn programma’s die zich nestelen in computers en de pc’s allerlei taken laten uitvoeren. Zo laten ze geïnfecteerde computers als servers optreden van phishing sites. Die sites bootsen officiële pagina’s na, bijvoorbeeld van banken. Op die manier ontfutselen ze gevoelige informatie van bezoekers. Tot enkele jaren terug lieten de internetcriminelen hun phishing site draaien op hun eigen server of bij officiële hostingbedrijven. Nu gebruiken ze als servers zogenaamde ‘botnets’, netwerken van duizenden geïnfecteerde computers van onwetende consumenten. De phishing sites zijn hierdoor moeilijker te bestrijden en de schade neemt dan ook toe.

In opdracht van het OESO (de Organisatie voor Economische Samenwerking en Ontwikkeling) onderzocht Van Eeten hoe bedrijven omgaan met cyberveiligheid en wat overheden zouden moeten doen om de zekerheid op het net te verbeteren. Volgens hem nemen veel bedrijven voor lief dat hun websites en transacties niet waterdicht zijn, omdat het nemen van veiligheidsmaatregelen nog kostbaarder is. “Banken zouden op allerlei manieren het internetbankieren veiliger kunnen maken, maar de gebruiker zou dan een extra handeling moeten verrichten voor zijn transactie. Banken zijn bang dat dit klanten afschrikt. Dat zou een veel grotere kostenpost zijn dan de frauduleuze geldstromen.”

Meer criminaliteit zorgt voor hogere kosten en dus moeten we meer investeren in veiligheid. Zo luidt ongeveer de redenering van consultancybureaus die zich bezig houden met internetbeveiliging. Van Eeten vindt dat onzin. “Typisch een redenering van de consultancyindustrie”, reageert hij geprikkeld. “Ik klink misschien een beetje cynisch, maar ik constateer nu eenmaal dat die adviesbedrijven gretig aan de grote klok hangen hoe erg het gesteld is met de veiligheid en tot de conclusie komen dat hun producten meer gebruikt zouden moeten worden.”

Waar het volgens de onderzoeker om gaat is de vraag of er marktfalen plaatsvindt in de internetbeveiliging. Daarvan is sprake als bedrijven of particulieren schade veroorzaken door hun computersystemen onvoldoende te beveiligen maar daar zelf niet onder lijden. “Neem nou grote winkelketens die de gegevens van creditcardhouders in hun systemen opslaan. Als die systemen gehackt worden kan dat vooral rampzalig uitpakken voor banken. Die moeten gedupeerde klanten terugbetalen. Winkelketens zelf hebben onvoldoende belang bij een waterdichte beveiliging. Overheden zouden zulk marktfalen tegen moeten gaan door partijen aansprakelijk te stellen voor hun beveiliging. De winkel kan dan kiezen om meer in veiligheid te investeren of om veel minder data op te slaan en zo de mogelijke schade van een aanval te verkleinen.”

Hetzelfde geldt voor particuliere pc-gebruikers die hun computers onvoldoende beschermen tegen virussen. Ook daar loopt het systeem volgens de Delftenaar spaak. “Meestal ondervinden zij nauwelijks hinder van de infectie. Ze hebben niet door dat hun computer veranderd is in een zogeheten ‘zombie’ die door anderen gebruikt wordt om criminele taken uit te voeren. Moeite en geld steken in goede beveiliging is in zo’n geval weinig aantrekkelijk.”

Dat het aantal aanvallen op het internet toeneemt, constateert ook internetexpert dr. Michel van Eeten van Techniek Bestuur en Management. De afgelopen drie jaar is het aantal succesvolle criminele activiteiten op het internet volgens hem exponentieel toegenomen. “En de technieken worden steeds geavanceerder”, zegt hij desgevraagd.

De onderzoeker constateert dat er veel meer trojans op het net circuleren. Dat zijn programma’s die zich nestelen in computers en de pc’s allerlei taken laten uitvoeren. Zo laten ze geïnfecteerde computers als servers optreden van phishing sites. Die sites bootsen officiële pagina’s na, bijvoorbeeld van banken. Op die manier ontfutselen ze gevoelige informatie van bezoekers. Tot enkele jaren terug lieten de internetcriminelen hun phishing site draaien op hun eigen server of bij officiële hostingbedrijven. Nu gebruiken ze als servers zogenaamde ‘botnets’, netwerken van duizenden geïnfecteerde computers van onwetende consumenten. De phishing sites zijn hierdoor moeilijker te bestrijden en de schade neemt dan ook toe.

In opdracht van het OESO (de Organisatie voor Economische Samenwerking en Ontwikkeling) onderzocht Van Eeten hoe bedrijven omgaan met cyberveiligheid en wat overheden zouden moeten doen om de zekerheid op het net te verbeteren. Volgens hem nemen veel bedrijven voor lief dat hun websites en transacties niet waterdicht zijn, omdat het nemen van veiligheidsmaatregelen nog kostbaarder is. “Banken zouden op allerlei manieren het internetbankieren veiliger kunnen maken, maar de gebruiker zou dan een extra handeling moeten verrichten voor zijn transactie. Banken zijn bang dat dit klanten afschrikt. Dat zou een veel grotere kostenpost zijn dan de frauduleuze geldstromen.”

Meer criminaliteit zorgt voor hogere kosten en dus moeten we meer investeren in veiligheid. Zo luidt ongeveer de redenering van consultancybureaus die zich bezig houden met internetbeveiliging. Van Eeten vindt dat onzin. “Typisch een redenering van de consultancyindustrie”, reageert hij geprikkeld. “Ik klink misschien een beetje cynisch, maar ik constateer nu eenmaal dat die adviesbedrijven gretig aan de grote klok hangen hoe erg het gesteld is met de veiligheid en tot de conclusie komen dat hun producten meer gebruikt zouden moeten worden.”

Waar het volgens de onderzoeker om gaat is de vraag of er marktfalen plaatsvindt in de internetbeveiliging. Daarvan is sprake als bedrijven of particulieren schade veroorzaken door hun computersystemen onvoldoende te beveiligen maar daar zelf niet onder lijden. “Neem nou grote winkelketens die de gegevens van creditcardhouders in hun systemen opslaan. Als die systemen gehackt worden kan dat vooral rampzalig uitpakken voor banken. Die moeten gedupeerde klanten terugbetalen. Winkelketens zelf hebben onvoldoende belang bij een waterdichte beveiliging. Overheden zouden zulk marktfalen tegen moeten gaan door partijen aansprakelijk te stellen voor hun beveiliging. De winkel kan dan kiezen om meer in veiligheid te investeren of om veel minder data op te slaan en zo de mogelijke schade van een aanval te verkleinen.”

Hetzelfde geldt voor particuliere pc-gebruikers die hun computers onvoldoende beschermen tegen virussen. Ook daar loopt het systeem volgens de Delftenaar spaak. “Meestal ondervinden zij nauwelijks hinder van de infectie. Ze hebben niet door dat hun computer veranderd is in een zogeheten ‘zombie’ die door anderen gebruikt wordt om criminele taken uit te voeren. Moeite en geld steken in goede beveiliging is in zo’n geval weinig aantrekkelijk.”