Online-Banking | 16-Jähriger findet 17 Banken-Sicherheitslücken
http://www.spiegel.de/netzwelt/web/0,1518,722049,00.html

Hannover - Bei vier von fünf untersuchten Banken fand der Schüler Sicherheitslücken, die eine Manipulation im Browser bei der Nutzung von Online-Banking ermöglichen. "Erstaunlich war auch die Reaktion der Banken", sagt "c't"-Redakteur Jürgen Schmidt.
http://www.heise.de/ct/meldung/16-jaehriger-demonstriert-Sicherheitsluecken-bei-17-Banken-1104841.html
"Es war gar nicht so einfach, die richtigen Ansprechpartner für diese Probleme zu finden." Trauriger Tiefpunkt sei die Deutsche Bank gewesen, bei der über zwei Wochen mehrere Anläufe über verschiedene Kanäle ins Leere gelaufen seien. Positiv sei dagegen die Postbank aufgefallen, die innerhalb weniger Stunden reagiert und das Loch noch am selben Tag zumindest provisorisch geschlossen habe.

... bla ...

Die Cross-Site-Scripting-Technik http://www.spiegel.de/wikipedia/Cross-Site_Scripting.html  funktioniert so:

Dabei wird in einen Link zu einer Bankenseite - der etwa per E-Mail verschickt werden könnte - ein eigener Softwarecode eingebettet. Die Systeme der Banken sollten diesen eingeschmuggelten Code eigentlich erkennen und unschädlich machen, doch das passiert augenscheinlich allzu oft nicht. Die aus anderer Quelle nachgeladene Software kann dann aktiv werden und beispielsweise Passwort-Eingaben aufzeichnen. In der als vertrauenswürdig wahrgenommenen Umgebung der echten Banken-Seite können so heimlich nicht vorgesehene Aktionen durchgeführt werden - eine Gefahr, vor der sich die Entwickler der Banken-Software schützen könnten.