Probleem in Google-beveiliging maakt Android kwetsbaar

Onderzoekers van de Vrije Universiteit hebben een beveiligingsprobleem bij Google blootgelegd. Het probleem stelt criminelen in staat om kwaadaardige apps op iemands Android-telefoon te installeren. De onderzoekers van de Vrije Universiteit hebben dat al maanden geleden gemeld aan Google, het bedrijf dat Android maakt, maar er is niets met de melding gedaan.

Het lukte de onderzoekers om een app te installeren op Android-toestellen die al het dataverkeer kan onderscheppen, dus ook bijvoorbeeld de verificatiecodes die bankier- en betaalapps vaak per sms sturen. De app onderschept de code en vervolgens kan geld worden weggesluisd van een rekening of online een betaling worden gedaan.

Volgens hoogleraar systeem- en netwerkbeveiliging Herbert Bos, die het onderzoek begeleidde, zijn daardoor apps als ING Bankieren, Paypal en DigiD kwetsbaar.

Methoden

Het lukte de onderzoekers om een kwaadaardige app de Play Store van Google binnen te loodsen. Normaal zouden alle apps daar veilig moeten zijn.

Vervolgens hadden de onderzoekers het wachtwoord van iemands Google-account nodig. Ze slaagden erin die te achterhalen door Chrome, de browser van Google, te infecteren. Dat Google-gebruikers met dezelfde naam zowel kunnen inloggen op computer, tablet als smartphone wordt door de onderzoekers gezien als achilleshiel van het systeem.

"Google doet niks"

"We hebben eind 2014 al gemeld bij Google dat er een probleem is, maar we zijn van het kastje naar de muur gestuurd. Het team dat gaat over Android zegt dat het een probleem is van browser Chrome en de mensen die gaan over de browser zeggen dat het een probleem van Android is. En intussen gebeurt er niks. Vandaar dat we nu de publiciteit zoeken", zegt de hoogleraar.

Bos heeft ook het Nationaal Cyber en Security Centrum (NCSC) en het Team High Tech Crime (THTC) van de politie ingelicht. Daar zijn hun bevindingen wel serieus genomen. Ook ING vindt het probleem ernstig. De bank zegt aan een oplossing te werken.

Of er ook daadwerkelijk mensen slachtoffer zijn geworden van de methode kan Bos niet zeggen. "Maar als het nog niet gebeurd is, dan kan het niet lang meer duren. Zo ingewikkeld is het nu ook weer niet", meent Bos.