Was ist SIM-Swapping?
Eine SIM-Karte (Subscriber Identity Module) ist die physische Karte, die eine Mobiltelefonnummer einem bestimmten Gerät zuordnet. Telefonnummern sind mit einer bestimmten SIM-Karte verknüpft, sodass Benutzer ihre Telefone wechseln oder Upgrade können, indem sie einfach die Karte von einem Gerät auf ein anderes übertragen.
Bei einem SIM-Swapping-Angriff überträgt ein Angreifer ein Mobiltelefonkonto und eine Telefonnummer auf eine neue SIM-Karte. Da diese neue SIM-Karte unter der Kontrolle des Angreifers steht, kann er sie in ein Gerät einlegen und an das Opfer gerichtete SMS-Nachrichten und Telefonanrufe senden oder empfangen.
Ein SIM-Swapping-Angriff kann erhebliche Auswirkungen auf die Sicherheit des Opfers und seiner Freunde, Familienangehörigen und Kollegen haben. Zu den möglichen Auswirkungen eines SIM-Swapping-Angriffs gehören:
- MFA-Bypass: Bei Konten, die SMS-Nachrichten für MFA verwenden, bietet der SIM-Austausch dem Angreifer die Kontrolle über den zweiten Faktor, der für den Kontozugriff verwendet wird. Wenn der Angreifer das mit dem Konto verknüpfte Passwort erraten oder sich einen Link zum Zurücksetzen per SMS zusenden lässt, kann er das Konto des Benutzers übernehmen.
- Identitätswechsel: Einige Organisationen, beispielsweise Finanzinstitute, verwenden eine vertrauenswürdige Telefonnummer, um die Identität eines Benutzers zu überprüfen. Beispielsweise kann eine neue Kreditkarte nur von einem bestimmten Telefon aus aktiviert werden. Ein SIM-Swapping-Angriff könnte es dem Angreifer ermöglichen, sich als Opfer auszugeben, was Möglichkeiten für Betrug und Diebstahl schafft.
- Smishing und Vishing: Nach einem SIM-Swapping-Angriff kann der Angreifer von der Nummer des Opfers aus Anrufe tätigen oder Textnachrichten senden. Dies kann bei Smishing- und Vishing-Angriffen genutzt werden, um Kollegen dazu zu verleiten, vertrauliche Informationen preiszugeben oder schädliche Dateien zu öffnen.
Wie funktioniert der SIM-Tausch?
Das Mobilfunkkonto eines Benutzers ist mit einer bestimmten SIM-Karte verknüpft, sodass der Besitz dieser SIM-Karte der Kontrolle über dieses Konto gleichkommt. Allerdings besteht die Möglichkeit, dass Geräte (und SIM-Karten) sowie Telefon-Upgrades verloren gehen oder gestohlen werden. Dies bedeutet jedoch, dass Mobilfunkanbieter die Übertragung eines Kontos auf eine andere SIM-Karte zulassen.
Vor der Übertragung eines Mobilfunkkontos auf eine neue SIM-Karte sollte der Mobilfunkanbieter eine Identitätsprüfung durchführen. Dazu kann die Bitte um Vorlage eines Führerscheins oder die Anforderung einer Konto-PIN-Nummer oder der letzten vier Ziffern der Sozialversicherungsnummer (SSN) des Besitzers oder anderer persönlicher Informationen gehören.
However, sometimes this verification is not performed by a trained specialist. A story about forgetting the account PIN number and asking for an alternative form of verification is likely to succeed. Since the last four digits of a person’s SSN, their past addresses, and other identifying information have likely been leaked in a data breach, the attacker can presumably answer the question and successfully authenticate as the user.
After identity verification, the mobile provider will swap the victim’s account over to a new SIM card. Once the attacker has inserted this card into their mobile phone, they now own the victim’s phone number.
Wie können Sie feststellen, ob Sie getauscht wurden?
Nach einem SIM-Swapping-Angriff wird die Telefonnummer des Opfers an den Angreifer übertragen. Das bedeutet, dass sie keine Anrufe oder SMS mehr an diese Nummer erhalten.
Wenn dieser Mangel an Anrufen und SMS nicht ausreicht, um den Angriff offensichtlich zu machen, kann ein SIM-Swapping-Angriff anhand von E-Mails über geänderte Konten erkannt werden. Ein Angreifer wird wahrscheinlich die ausgetauschte SIM-Karte ausnutzen, um MFA zu umgehen und Passwörter für Online-Konten zurückzusetzen, und diese Konten werden wahrscheinlich Benachrichtigungen per E-Mail senden.
So verhindern Sie einen SIM-Austausch
Mobilfunkanbieter verfügen möglicherweise über Schutzmaßnahmen gegen SIM-Swapping-Angriffe. Der beste Weg, sich vor diesen Angriffen zu schützen, besteht darin, Ihren Anbieter anzurufen und zu fragen, welche Lösungen verfügbar oder bereits vorhanden sind. Oftmals können Sie eine PIN festlegen, die zum Ändern Ihres Kontos erforderlich ist.
Beyond protecting against the SIM swapping attack itself, it is also possible to mitigate the effects of these attacks. Some ways to do so include:
- Alternative MFA: SMS-based MFA has many security issues that are not limited to its vulnerability to SIM swapping attacks. When possible, choose an MFA option that does not rely on SMS messages.
- Stärkere Passwörter: Der SIM-Tausch hilft einem Angreifer lediglich dabei, den per SMS versendeten Einmalcode abzufangen. Durch die Verwendung eines zufälligen, eindeutigen Passworts wird es für einen Angreifer schwieriger, in ein Konto einzudringen, selbst wenn er über den Einmalcode verfügt.
- Sichere soziale Medien: Die Antworten auf die Fragen, die während eines SIM-Swapping-Angriffs gestellt werden, können in sozialen Medien öffentlich sichtbar sein. Sperren Sie die Freigabeeinstellungen für soziale Medien und begrenzen Sie die Online-Offenlegung öffentlicher Informationen.
Feedback