Bij computervereniging HCC heerst grote twijfel over de veiligheid van mobiel bankieren apps, maar de banken zeggen dat ze zich van de risico's bewust zijn. Dat werd duidelijk tijdens een discussie over het onderwerp in de Amsterdamse Bazel, waar ook Security.nl aanwezig was. Mobiel bankieren apps worden inmiddels door honderdduizenden consumenten gebruikt. Volgens Michael Samson, adviseur informatica bij de Nederlandse Vereniging van Banken (NVB), zijn de huidige apps niet te vergeleken met internetbankieren op de pc. "Ten eerste is op mobiel de beveiliging lager. De functionaliteit is over het algemeen ook lager." Het gaat dan om het bedrag van de transacties en de rekeningen waar het geld naar over is te maken. "Zo heeft iedereen wel wat aan beveiliging er om heen gebouwd."

Samson benadrukt dat er op de smartphone veel minder malware is, omdat de telefoon nog niet voor transactieverkeer wordt gebruikt. "Dat begint nu hard op te lopen." De huidige oplossingen zouden volgens hem dan ook voldoen. "Je moet het wel in de gaten houden."

Onveilig
Bij de HCC, de grootste computerhobby-vereniging van Nederland, is men niet overtuigd van de veiligheid van de apps. "Je kijkt over de schouders van iemand mee en je hebt de hele wereld", zegt Arda Gerkens, directeur van de HCC. "Hoe kan het in deze tijd dat banken dit soort zaken toestaan." Gerkens zou van leden signalen krijgen dat ze het mobiel bankieren onveilig vinden en de app vaak weer verwijderen.

Samson merkt op dat de NVB niet over de veiligheid van bankieren apps gaat, maar stelt dat als het echt de spuigaten uit zou lopen, De Nederlandsche Bank of interne auditors bij de bank in kwestie wel op zullen treden. "Het onderwerp staat ook bij banken op de agenda", gaat Samson verder. "Het gebruik van mobiel gaat heel hard." Consumenten zouden veel vaker hun saldo via een smartphone app controleren dan via hun computer. "Op dit moment is er nog geen schade."

Twee-factor authenticatie
Sommige critici vinden het storend dat de smartphone apps geen twee-factor authenticatie gebruiken. Een extra apparaatje om een code te genereren om vervolgens op de smartphone in te voeren, is volgens Samson niet erg praktisch en gebruiksvriendelijk. De schade die potentieel met de huidige banking apps kan worden aangericht valt volgens hem mee en zou een maatregel zijn om grootschalige fraude tegen te gaan. "Het lukt me niet als ik iemands telefoon jat om zijn volledige saldo in ene naar Rusland over te maken."

Samson merkt op dat ook banken tegenstrijdige belangen hebben. "Er zijn commerciële mensen en er zijn beveiligingsmannen. Je moet uitkijken dat er niet onder een veel lager beveiligingsniveau alle functionaliteit van internetbankieren plotseling ook mobiel kan. Dat iemand mijn hele spaarrekening naar een privérekening kan leegtrekken, en vervolgens naar een willekeurig adres in Nederland kan overboeken met alleen een wachtwoord. Dat is niet de bedoeling en ik denk ook niet dat dat gaat gebeuren."

Keuze
Volgens Gerkens moeten consumenten de keuze krijgen. "Ik denk dat het voor de consument prettig is als die zelf voor de meest of veilige optie of minder veilige optie kan kiezen, dan dat er dingen door zijn strot worden geduwd." Samson vindt dat banken al hun verantwoordelijkheid nemen, maar dat het laten instellen van klanten hoeveel ze willen kunnen overmaken geen echte oplossing is.

"Ik wil als klant überhaupt de keuze hebben of ik geld naar een andere rekening kan overboeken. Ik zou zeggen dat je dat nooit zou moeten willen op een mobiel. Je zou nooit moeten willen dat je mobiel geld kunt overboeken naar een andere rekening dan je eigen rekening", stelt Gerkens.

Eddy Willems van G Data denkt dat er uiteindelijk toch iets van multi-factor authenticatie zal komen. "Dan zitten we iets beter. Ik zeg niet dat we veilig zitten, dat is een andere zaak." Wat betreft de veiligheid van smartphones zijn anti-virusbedrijven op dit moment machteloos, merkt Willems op. Zowel Google als Apple zouden de noodzakelijke API's niet vrijgeven, waardoor een virusscanner niet op hetzelfde niveau kan werken als op een normale computer.

Toekomst
Wat betreft de toekomst houden banken de veiligheid van het mobiele platform en bankieren apps in de gaten. "Laat ik eerlijk zijn, er zit wel een risico aan voor de toekomst", laat de NVB-adviseur weten. Steeds meer consumenten zouden echter via hun mobiel willen bankieren, "waardoor banken gewoon moeten", aldus Samson. "Als de een het doet, doet de ander het ook. Je moet alleen zien hoe de veiligheid van de mobiel zich ontwikkelt en ook hoe de commerciële druk zich ontwikkelt."

Het donkerste scenario dat Samson zich voor kan stellen is dat straks alles kan op de mobiele telefoon, waardoor fraude groeit. Maar banken zouden de beveiliging niet verder kunnen laten gaan dan alleen een gebruikersnaam en wachtwoord. "Dat is een onwerkbare situatie dan gaat de fraude echt oplopen. Dat scenario zal niet gebeuren." Als oplossing kunnen banken volgens de adviseur kiezen om het transactiebedrag te beperken of wachten totdat mobiele telefoons veel veiliger worden.