Wenn man etwas zurückblickt……SMS-Verfahren galt als unknackbar, absolut sicher. Es gab Banken, die dies als das einzige 2FA für ihre Kunden vorsahen.
Als Alternative war da noch ein Token vorgesehen, der alle 10 Sekunden ein anderer Code zeigte.
Wenn der Benutzer sich damit auf einer Fake-Website einloggte, war der Schadenfall den jeweiligen Kontostand beschränkt.
Es geschah dann das Unglaubliche, Unvorstellbare.
Benutzer loggte sich auf einer Fake-Website ein und wurde dort im Rahmen einer “Sicherheitsüberprüfung” zur Preisgabe allerlei Daten des im Online-Vertrag eingebundenen Handy aufgefordert.
Mit jenen ergaunerten Daten war es den Betrüger möglich, eine Fake-ID-Karte zu erstellen, um sich beispielsweise in einem Swisscom-Shop ausweisen zu können.
So konnte dann ein Handy-Duplikat via Telefongesellschaft erschlichen werden (Stichwort: Multi-SIM).
Dann noch einstellen, dass all die SMS an das andere Handy gesendet werden.
Somit:
1. Login auf der echten Bankwebsite mit den via Fake-Website ergaunerten Daten.
2. Da all die SMS nun an das andere Handy gesendet werden, konnte nun in aller Ruhe das Wertschriftendepot sowie all die Konti leergeräumt werden.
Mit diesem “sicheren” Loginverfahren gab es vereinzelte gigantische Schadenfälle bis zu etwa einer Viertelmillion Franken.
Das gab es mit den anderen zuvor häufigen Loginverfahren von der Streichliste bis zu das mit dem Token nicht - da man nur den jeweiligen Kontostand abgreifen konnte.
Die Banken haben somit inzwischen CrontoSign gepusht - bei einigen Banken wiederum das einzige Loginverfahren für die Kunden.
Was die Betrüger nun machen müssen, wäre das Erschleichen des Aktivierungsbriefes, um ein weiteres Gerät ins Online-Banking des Opfers einzubinden.
Ob das inzwischen gelungen ist? Schadenfall wäre auch hier ebenso so gigantisch wie bei SMS.
Glotzologe
