Een Amerikaanse bank die volgens de rechter onvoldoende beveiliging aan klanten bood, gaat een slachtoffer van malware 265.000 euro terugbetalen. De Patco Construction Company werd in 2009 het doelwit van malware, waarmee aanvallers een groot bedrag van de rekening haalden. Het bedrijf klaagde de bank aan, omdat die niet voldoende zou hebben gedaan om de transactie te stoppen. Ook zou de gebruikte beveiliging onvoldoende zijn.

Wachtwoord
Een rechter oordeelde vorig jaar nog in deze zaak dat een wachtwoord voldoende is voor internetbankieren. Het bouwbedrijf ging in hoger beroep en een rechter oordeelde in juli van dit jaar dat de aangeboden beveiliging 'commercieel onredelijk' is. De twee partijen kregen het advies om een schikking te treffen.

In de VS zijn consumenten tegen frauduleuze transacties beschermd, maar moeten bedrijven zelf voor de schade opdraaien. De afgelopen jaren raakten talloze bedrijven daardoor miljoenen dollars kwijt. De enige mogelijkheid voor bedrijven om een deel van hun geld terug te zien is een rechtszaak onder de Uniform Commercial Code (UCC) aan te spannen.

Schikking
De bank van Patco is nu akkoord met een schikking gegaan, nadat een andere rechtbank de beveiliging onder de UCC onvoldoende verklaarde. Hoewel de bank een 'challenge-respons' systeem gebruikte, werden er maar drie verschillende vragen gesteld. Aangezien er één of meerdere vragen bij elke transactie werden gesteld en de aanvaller een keylogger gebruikte, beschikte die over de gebruikersnaam, wachtwoord en bijbehorende challenge-antwoorden.

Volgens de rechtbank vergrootte de bank het risico op fraude door voor elke transactie de veiligheidsvragen te stellen, gecombineerd met een aantal andere zaken die niet goed gingen, zo meldt Wired. Naast het gestolen bedrag betaalt de bank ook de misgelopen rente terug.