Apple-ID übernommen: Schweizer Behörde dokumentiert Fallbeispiel

Das Schweizer Bundesamt für Cybersicherheit (kurz: BACS) macht mit einem kürzlich veröffentlichten Fallbeispiel auf einen Umstand aufmerksam, der durch die starke Verbreitung so genannter Zwei-Faktor-Authentifizierungen beeinflusst wird: Smartphones geraten als zweiter Sicherheitsfaktor bei Logins zunehmend ins Visier von Cyberkriminellen.

Diese suchen gezielt nach Wegen, um über diese Geräte Zugriff auf notwendige Login-Daten zu erlangen. Eine dem BACS gemeldete Phishing-Attacke unterstreicht, dass bereits die Preisgabe nur eines Passworts signifikante Auswirkungen auf die Sicherheit der eigenen, digitalen Identität haben kann.

Falsche eSIM fängt 2-Faktor-Codes ab

So berichtet das BACS über einen kürzlich erfolgten Angriff auf das Kundenportal eines Mobilfunkanbieters, der die Vorgehensweise der Täter illustriert: Durch eine Phishing-Seite wurde einem Nutzer zuerst das Passwort für den Zugang entlockt, in einem zweiten Schritt (unter Vorgabe eines Gewinnspiels) wurde dieser Nutzer dann dazu gebracht, einen SMS-Code preiszugeben.

Mit diesen Informationen konnten die Angreifer dann eine eSIM erstellen und über diese alle SMS und Anrufe abfangen, die eigentlich an die Nummer des Opfers gerichtet waren.

20.000 Euro Schaden

Über die eSIM konnten sich die Angreifer dann auch den Zugang zu anderen wichtigen Konten des Opfers verschaffen, einschließlich der Apple-ID. Nach der Übernahme des Apple-Kontos gelang es den Angreifern, auf dort gespeicherte Backups zuzugreifen und weitere sensible Informationen zu extrahieren. Dies führte dazu, dass die Angreifer schließlich auch Krypto-Wallets des Opfers kompromittieren konnten. Der finanzielle Schaden dieses spezifischen Angriffs belief sich auf über 20.000 Schweizer Franken. Das BACS berichtet:

„[…] Damit hatten die Angreifer Zugriff auf alle Funktionen, die ein Apple-Konto bietet, einschliesslich der in der Cloud gespeicherten Backups. Die Angreifer spielten das Backup auf eines ihrer eigenen Smartphones zurück.

Dadurch erhielten die Angreifer weitere Informationen zu den vom Opfer verwendeten Apps und versuchten dann nach und nach, gezielt andere Konten zu kompromittieren. Normalerweise konzentrieren sich die Angreifer auf Standarddienste wie Facebook, Instagram und andere soziale Medien, welche die Mehrheit der Smartphone Nutzer installiert hat. Durch das Backup hatten die Angreifer aber in diesem Fall einen genauen Überblick über die installierten Apps. So konnten die Angreifer feststellen, dass das Opfer mehrere Apps für die Verwaltung von Krypto-Konten installiert hatte. Mit diesen Informationen gelang es ihnen wiederum, gezielt die Passwörter der Konten zurücksetzen und die Zahlencodes für die Zwei-Faktor-Authentifizierung der Authentificator Apps in ihren Besitz bringen. […]“

Angesichts solcher Vorfälle empfiehlt das BACS, stets kritisch mit Links in E-Mails oder SMS umzugehen, besonders wenn diese zur Eingabe persönlicher Daten auffordern.

Mit Dank an Urs!