De IMPaaS-marktplaats biedt klanten een softwarebundel die bestaat uit een browser en een browserextensie waarmee criminelen gekochte gebruikersprofielen op het betreffende platform kunnen gebruiken. De geleverde software imiteert de omgeving van het slachtoffer. Via proxydiensten wordt de gebruikelijke locatie van het slachtoffer gespooft, zo laten de onderzoekers weten. Op deze manier kan de crimineel, die ook het wachtwoord van het slachtoffer bezit, het RBA-systeem omzeilen en op het account van het slachtoffer inloggen, zonder dat hiervoor tweefactorauthenticatie is vereist. Een methode om dit te frustreren is het gebruik van een VPN (waarbij je steeds een andere server instelt) bijvoorbeeld in combinatie met het gebruik van andere profielen, zoals een ander mac-adres die je steeds aanpast. Hierdoor kan men bij de bad guys niet inloggen met het gekaapte profiel en is tweefactor-authenticatie noodzakelijk. Aangezien ze de tokens niet in bezit hebben, is inloggen voor hen niet meer mogelijk. Een tweede ...