Alles Wissenswerte, nichts Unwissendes.
Wie der Angriff tatsächlich abläuft
Der Angreifer sammelt zunächst genügend persönliche Daten, um die Identitätsprüfung des Sicherheitsteams zu bestehen – häufig aus einem Datenleck oder von einer Phishing-Seite. Anschließend kontaktiert er den Mobilfunkanbieter, gibt vor, sein Handy verloren oder beschädigt zu haben, und bittet um eine Rufnummernmitnahme oder eine Ersatz SIM. Sobald der Tausch abgeschlossen ist, verliert das Handy des Opfers unbemerkt den Empfang, und alle SMS und Anrufe werden an den Angreifer weitergeleitet. Passwortzurücksetzungen, Bank- OTP und Kontowiederherstellungscodes folgen innerhalb weniger Minuten. Das Opfer bemerkt in der Regel erst, dass sein Handy nicht mehr funktioniert – zu diesem Zeitpunkt ist das Geld bereits abgebucht.
Warum sich das Versenden SMS OTP immer noch lohnt
Die Lehre daraus ist nicht, dass SMS OTP wertlos ist – es erreicht jedes Mobiltelefon in jedem Markt, auch ohne installierte App, was sonst nichts schafft. Die Lehre ist vielmehr, dass es eine Telefonnummer authentifiziert, nicht eine Person, und eine Nummer kann den Besitzer wechseln. Betrachten Sie es daher als einen von mehreren Faktoren für alles Unwiderrufliche und kombinieren Sie es mit einem Signal, das der Angreifer nicht mit der SIM übertragen kann.
Die Verteidigung: Prüfen Sie die Leitung, nicht nur den Code.
Ein SIM Kartentausch hinterlässt Spuren in den Aufzeichnungen des Mobilfunkanbieters. Eine Rufnummernabfrage (HLR Abfrage) liefert das Datum des letzten SIM Kartentauschs und ob die Rufnummer kürzlich portiert wurde. Wenn die SIM eines Teilnehmers vor vier Stunden gewechselt wurde und er nun sein Passwort zurücksetzt, handelt es sich um eine zusätzliche Authentifizierung und nicht um eine normale Anmeldung. Direktanbieter können diese Daten einsehen, da sie die Geschäftsbeziehung zum Mobilfunkanbieter pflegen; ein Wiederverkäufer, der mehrere Zwischenstationen entfernt ist, kann dies in der Regel nicht.
Was ist in der Praxis zu tun?
Prüfen Sie den Status der Leitung (z. B. SIM-Kartenwechsel), bevor Sie für eine wichtige Transaktion ein OTP senden. Gewähren Sie eine Bedenkzeit – viele Banken verweigern Passwortzurücksetzungen 24 bis 72 Stunden nach einem festgestellten SIM-Kartenwechsel. Bieten Sie für risikoreiche Transaktionen primäre Authentifizierung per App oder Passkey an und halten Sie SMS als Ausweichmöglichkeit bereit, die auch bei Verlust des Mobiltelefons funktioniert. Benachrichtigen Sie den Kunden über einen zweiten Kanal, z. B. per E-Mail, wenn die SIM seines Kontos geändert wird.