SS7-Angriffe und warum die 2-Faktor-Authentifizierung möglicherweise nicht ausreicht, um Lösegeldforderungen zu stoppen

Es ist Monatsende und Sie müssen Ihre Rechnungen bezahlen. Doch anstatt in langen Warteschlangen am Bankschalter anzustehen, melden Sie sich einfach bei Ihrem E-Banking-Konto an. Sie erhalten einen 2-Faktor-Authentifizierungscode, loggen sich erfolgreich ein und bezahlen Ihre Rechnungen online. Aber wie sicher ist Ihre Anmeldung bei Ihrem E-Banking Konto? Lassen Sie uns das ausführlicher diskutieren.

Durch Lockdowns während der Corona Pandemie mussten viele Menschen von zu Hause aus arbeiten. Auch die entsprechenden Anpassung des digitalen Bankwesens waren dramatisch. Diese Entwicklung hat die Aufmerksamkeit von Cyberkriminellen auf sich gezogen.

Einzelpersonen, Finanzinstitute und Organisationen auf der ganzen Welt verwenden meist eine Zwei-Faktor-Authentifizierung (2FA) als Sicherheitsmaßnahme gegen kriminelle Cyberbanden. In der Tat ist die Zwei-Faktor-Authentisierung die am häufigsten eingesetzte Sicherheitsmaßnahme für den Zugang zu einem Onlinekonto.

In der Regel senden Institutionen wie Banken ein kurzes Einmal-Passwort per SMS an Ihre Kunden, um das Einloggen in ihre Kundenkonten zu ermöglichen.

SMS-Nachrichten sind jedoch eines der schwächsten Verfahren bei 2FA-Sicherheitsmaßnahmen. Das liegt daran, dass Textnachrichten von jeder Person, welche über die entsprechende Ausrüstung und das Know How verfügt, ganz leicht abgefangen werden können.

Die Metro Bank in Großbritannien bestätigte zum Beispiel, dass einige ihrer Kunden aus diesem Grund einem 2FA SMS-Text-Hacking zum Opfer gefallen sind. Das Gleiche passierte 2017 den Kunden des O2-Mobilfunknetzes. Die Süddeutsche Zeitung hat darüber berichtet.

Wie werden 2FA-Textnachrichten von Kriminellen abgefangen?

Es gibt viele Möglichkeiten, wie Hacker 2FA-Textnachrichten abfangen können, um damit die Sicherheit einer Organisation anzugreifen. Eine der Möglichkeiten in ein System einzudringen, wird mit der Ausnutzung von SS7-Fehlern eröffnet. SS7 ist ein Protokoll, welches die meisten Telekommunikationsunternehmen verwenden, um Anrufe und Textnachrichten zu koordinieren.

Das Problem bei SS7-Netzwerken besteht darin, dass vertrauliche Daten für jeden zur Verfügung gestellt werden, der eine 2FA-Textnachricht oder einen Anruf anfordert.

Wenn ein Krimineller an Ihre Online-Banking-Daten wie Benutzername und Passwort herankommt, kann er auf Ihr Bankkonto zugreifen und sogar eine Überweisung tätigen. Zu dem Zeitpunkt, an dem Sie erfahren, wohin Ihr Geld transferiert wurde, ist es längst bei einer anderen Bank.

Wenn Sie eine Online-Überweisung vornehmen möchten, erhalten Sie von Ihrer Bank normalerweise eine Bestätigung in Form eines Codes, um sich als Besitzer des Kontos zu identifizieren. Wenn dieser Code als Textnachricht gesendet wird, können Hacker den SS7-Fehler ausnutzen und in Ihr Konto eindringen.

Die Bank wird eine getätigte Überweisung aufgrund Ihres Passworts und Ihres einmaligen Codes als legitim akzeptieren. Auf diese Art verlieren Menschen ihr Geld, durch SS7-Angriffe und Mängel bei der 2FA-Textauthentifizierung.

Wie können Sie sich schützen?

2FA-Textnachrichten reichen als Sicherung gegen Ransomware und Hacking-Versuche möglicherweise nicht aus. Textnachrichten können keine hundertprozentige Sicherheit bieten, sie können leicht zu einem Ransomware-Vorfall führen. Authy oder Authenticator können als sicherere Alternative verwendet werden.

Apps wie Authenticator und Authy sind bei 2FA sicherer als ein Versand per SMS, da sie einen zeitbasierten Einmal-Passcode (TOTP) direkt auf dem Gerät (oder der App), welches die Anfrage gesendet hat, generieren.

Das bedeutet, dass Hacker, selbst wenn sie es schaffen für ihre Zwecke Ihren Telefondienstanbieter zu modifizieren, nicht in der Lage sein werden, Ihre Codes zu erhalten. Die zur Codegenerierung verwendeten Daten befinden sich nicht auf der SIM-Karte, sondern im physischen Gerät.

Banken sollten ihre eigenen Authentifizierungs-Apps entwickeln und verwenden, ähnlich wie Google und Facebook Authenticator. Beim Einloggen sollte die digitale Banking-App eine Benachrichtigung anzeigen. Da diese Kommunikation SMS-Textnachrichten überschreibt und auf mobile Daten oder WLAN angewiesen ist, ist sie viel sicherer. Nach der Authentifizierung kann sich der Kunde dann bei seinen Bankkonten anmelden, ohne hohes Risiko kompromittiert zu werden.

Schlussfolgerungen

Unternehmen handeln äusserst verantwortungsvoll, wenn sie sich für die Nutzung von 2FA für den Zugang zu ihren Arbeitsbereichen entscheiden. Es ist jedoch weiterhin unbedingt erforderlich, dass Sie Ihre Anmeldedaten niemandem zur Verfügung stellen. Verwenden Sie sichere Kennwörter mit Großbuchstaben, Kleinbuchstaben, Zahlen und Sonderzeichen. Führen Sie niemals Transaktionen mit einem offenen WLAN-Hotspot in Cafés und Restaurants durch. Nutzen Sie mobile Daten oder ein sicheres WLAN-Netzwerk und melden Sie sich sofort wieder ab, sobald Ihre Transaktion abgeschlossen wurde.