Das mTAN-Verfahren wurde und wird von vielen Banken als sicherer Nachfolger des bisherigen TAN oder iTAN-Verfahrens beworben und eingeführt. Bei mTAN sendet die Bank die TAN einschließlich der Transaktionsdaten via SMS an eine vorher hinterlegte Handy-Nummer. Und ein Online-Banking-Trojaner auf dem PC kann diese Informationen nicht manipulieren, so die Theorie.
Auf der Seite von "heise Security" wird erklärt, wie der Trojaner an die mTAN gelangt: "Auf dem infizierten PC blenden sie direkt in die Online-Banking-Seite der Bank eine Nachricht ein, dass ein neues Zertifikat der Bank auf das Handy übertragen werden müsse. Dazu soll der Kunde seine Handynummer und seine IMEI eingeben. Kurze Zeit später erhält er eine Nachricht mit dem angeblichen Installer für das Zertifikat." Statt eines neuen Zertifikates wird jedoch eine Spionage-Software auf dem Handy installiert.
Nun sind PC und Handy vom Trojaner infiziert und die Sicherheit des mTAN-Verfahrens ist dahin.