Mobieltje wordt eldorado voor phishers

In het onderzoek iPhish: Phishing Vulnerabilities on Consumer Electronics kwamen Yuan Niu, Francis Hsu en Hao Chen van de universiteit van Californië tot de slotsom dat de browser van de iPhone gevoelig is voor manipulatie, en dat een doorsnee-gebruiker het niet doorheeft als er geknoeid is met het adres van een website die hij denkt te bezoeken. Alleen personen met een achtergrond in computerbeveiliging hadden het in de regel door als er een malafide verwijzing, popup of webadres werd gebruikt.

Gebruikelijke waarschuwingssignalen ontbreken
Dat het voor ‘gewone’ gebruikers van een smartphone zo lastig is om een ‘phishing’-opzetje te herkennen komt door het ontbreken van de waarschuwingssignalen waar ze op de pc aan gewend zijn geraakt. Zo kunnen websites de adresregel en de statusregel van het scherm vaak naar believen verbergen, of de adresregel verkorten zodat die past in het venster. De controle op adres en statusregel is op het mobieltje daardoor vaak niet zonder meer mogelijk, en de gebruikers ervan raken dat ook ontwend.

Ook het zelf intypen van het webadres – dat voorkomt dat je op een malafide website terechtkomt – is op mobieltjes minder gebruikelijk, omdat het typen zo omslachtig gaat.

Apps, websites geven gelegenheid
Een vervolgonderzoek van Adrienne Porter Felt en David Wagner van de universiteit wijst uit, dat gebruikers niet alleen makkelijk voor het lapje te houden zijn, maar dat apps en websites ook gelegenheid geven voor kwaadaardige opzetjes. De onderzoekers namen 100 mobiele apps voor Android en iOs en 85 websites de maat. Daarbij bleek dat apps en websites in veel gevallen interacteren met andere sites waarbij gevoelige informatie zoals gebruikersnamen, wachtwoorden en pincodes worden gevraagd.

Vervolgens testten de onderzoekers een vijftiental zelf ontwikkelde phishing-methodes. Dertien daarvan bleken bruikbaar zonder dat de eigenaar van de mobiele telefoon kon detecteren dat er van ‘spoofing’ sprake was. Dat betekent dat aanvullende methodes nodig zijn om eigenaren van smartphones te beschermen tegen phishing-opzetjes, concluderen Porter Felt en Wagner in hun onderzoek Phishing on Mobile Devices.