De online economie vertrouwt op gebruikersnamen en wachtwoorden om te checken dat degene die spullen koopt of geld overmaakt op het internet, echt de persoon is die hij zegt te zijn. Deze beperkte manier van authenticatie is verre van veilig, omdat mensen de neiging hebben hun wachtwoorden te hergebruiken voor verschillende diensten en websites. Dit heeft geleid tot een massale en zeer winstgevende illegale handel in gebruikersgegevens: volgens een schatting uit 2017 worden er elk jaar zo'n 1,9 miljard gestolen identiteiten via ondergrondse websites verkocht.

Banken en andere digitale diensten hebben daarom complexere authenticatiesystemen bedacht, die niet alleen afhankelijk zijn van iets wat de gebruikers weten (hun wachtwoord), maar ook van iets wat ze hebben (bijvoorbeeld een code). Dit systeem staat bekend staat als tweestaps-verificatie en beperkt de kans op cybercriminaliteit flink, maar heeft ook nadelen. Omdat het een extra stap toevoegt, hebben veel mensen geen zin om zich ervoor te ervoor aan te melden, waardoor slechts een minderheid van de mensen er gebruik van maakt.

Fingerprints als eerste check

Om deze reden is de afgelopen jaren een alternatief authenticatiesysteem populair geworden bij bedrijven als Amazon, Facebook, Google en PayPal. Dit systeem, dat bekend staat als Risk-based Authentication (RBA), kijkt naar zogenoemde fingerprints om iemands identiteit te controleren. Fingerprints omvatten technische basisinformatie, zoals het type browser of besturingssysteem, maar ook gedragskenmerken, zoals muisbewegingen, de locatie en de snelheid van de toetsaanslag.

Als de fingerprint overeenkomt met wat - op basis van eerder gedrag - van een gebruiker wordt verwacht, mag die direct inloggen met alleen zijn gebruikersnaam en wachtwoord. Zo niet, dan is aanvullende authenticatie door middel van een token vereist.

Natuurlijk hebben cybercriminelen snel manieren bedacht om ook RBA te omzeilen, door gebruikersprofielen aan te bieden met fingerprints. Tot dusver lukt het hen echter niet goed om hiervan een winstgevende business te maken. Gebruikersprofielen veranderen nogal snel en zijn afhankelijk van de dienst die je gebruikt. Bovendien is vaak een extra phishingaanval nodig om te verzamelen.

Impersonation-as-a-Service

Onderzoekers van de TU/e hebben nu bewijs gevonden van een grootschalige en zeer geavanceerde markt die hiervoor een oplossing heeft gevonden. De in Rusland gevestigde website biedt meer dan 260.000 zeer gedetailleerde fingerprints, samen met andere gebruikersreferenties, zoals e-mailadressen en wachtwoorden. "Het unieke aan deze ondergrondse website is niet alleen de schaal, maar ook het feit dat alle profielen voortdurend worden geüpdatet, waardoor ze hun waarde behouden", zegt Luca Allodi, onderzoeker bij de groep Security van de TU/e-faculteit Mathematics and Computer Science, die samen met promovendus Michele Campobasso verantwoordelijk was voor het onderzoek.

"Bovendien kunnen klanten de database doorzoeken, zodat ze precies de internetgebruiker kunnen vinden die ze willen benaderen. Zo worden heel gevaarlijke spearphishing-aanvallen mogelijk. Ook kunnen ze software downloaden die de aangekochte gebruikersprofielen automatisch laadt wanneer ze willen inloggen op de beoogde websites".

Om het systematische karakter van de website te benadrukken, hebben Allodi en Campobasso de term 'Impersonation-as-a-service' (IMPaaS) bedacht, in navolging van bekende clouddiensten als SaaS (software-as-a-service) en IaaS (infrastructure-as-a-service). "Voor zover we weten, is dit de grootste en meest geavanceerde criminele marktplaats die dit soort diensten systematisch aanbiedt."