Hacker räumen Konten von O2-Kunden leer

Wie die Süddeutsche Zeitung (SZ) berichtet, ist es Hackern gelungen, über eine Sicherheitslücke im Mobilfunknetz etliche Bankkonten leerzuräumen. Telefónica hat bestätigt, dass auch einige deutsche Kunden Opfer der Kriminellen wurden.

Besonders gravierend ist die Tatsache, dass das Sicherheitsproblem bereits seit Ende 2014 bekannt ist. Laut der SZ hätten sich Vertreter der Telekommunikations- und Bankenindustrie erst im April 2017 in Berlin getroffen, um über eine Lösung zu sprechen. Die Banken hätten sich stets auf die Mobilfunkanbieter und deren System-Sicherheit verlassen.

Die Angreifer gingen bei ihren Attacken in zwei Schritten vor: Zunächst mussten sie Daten wie die Kontonummer, das Passwort zur Banking-App sowie die Handynummer ausspähen. Diese Informationen werden in der Regel mit Hilfe von Phishing-Mails erbeutet. Unaufmerksame Kunden übersehen einen solchen Betrug oft und geben ihre Login-Daten unbedacht preis.

Im zweiten Schritt des Angriffs nutzen Hacker nun eine Schwachstelle im Signalling System 7 (SS7). Das SS7 ist eigentlich ein Signalisierungsprotokoll für ISDN und Mobilfunknetze. Provider nutzen das Protokoll,  um etwa Kundeninformationen (Gültigkeit der SIM-Karte und ähnliches) auszutauschen. Außerdem ermöglicht es Kunden, uneingeschränkt im Ausland zu telefonieren. Über das Netzwerk ist es allerdings auch möglich, etwa ein mobiles Gerät zu orten oder die Rufnummer umzuleiten. Einen Zugang zu diesem Netzwerk gibt es laut SZ schon ab rund 1.000 Euro. Das habe das Geschäft für zwielichtige Anbieter eröffnet.

Die Hacker nutzen die ergaunerten Bankdaten, um eine Überweisung zu tätigen. Die dafür erforderliche mobile Transaktions-Nummer (mTAN) wird dank der SS7-Lücke dann auf eine von den Angreifern gewählte Nummer umgeleitet. So ist es den Kriminellen möglich, im schlimmsten Fall das gesamte Konto zu leeren.

Laut SZ hat Telefónica nun bestätigt, dass diese Rufnummernumleitung bis vor Kurzem auch in Deutschland möglich war. Mitte Januar habe der Konzern festgestellt, dass vereinzelte Rufnummern in Deutschland auf einen ausländischen Provider umgeleitet wurden. Den entsprechenden Anbieter hat Telefónica daraufhin gesperrt.

Kritiker warnen seit geraumer Zeit vor diesem Risiko. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät daher beim Online-Banking einen TAN-Generator anstatt des mTAN-Verfahrens zu nutzen.