Weil Online-Banking nach dem herkömmlichen PIN- und TAN-Verfahren zu unsicher geworden war, setzen Banken schon seit längerem auf "indizierte Transaktionsnummern" (iTAN) für Überweisungen. Mittlerweile ist jedoch auch dieses Verfahren für Angreifer überwindbar geworden. Beim iTAN-Verfahren wird der Nutzer bei einer Transaktion aufgefordert, eine bestimmte Nummer aus seiner TAN-Liste einzugeben. Es ist nicht vorhersehbar, welche TAN ausgewählt wird; außerdem ist die TAN an eine bestimmte Transaktion gebunden. Diese Sicherheitsmaßnahme wird bei aktuellen Phishing-Attacken umgangen, indem die Angreifer dem Opfer zunächst ein etwa als PDF-Dokument getarntes Schadprogramm unterjubeln. Dieser Trojaner "lauscht" auf die beim Online-Banking übertragenen Daten und kann selbsttätig die Überweisung auslösen. Dazu nutzt es die aktive iTAN und tauscht für den Nutzer unsichtbar Geldbetrag und Empfänger der aktuellen Überweisung aus. Der Nutzer bemerkt dies im Normalfall erst bei der Kontrolle seiner Kontoauszüge.