USA: Hacker umgehen Zwei-Faktor-Authentifizierung mit Sozialversicherungsnummer

So wurde das Twitter-Konto von Aktivist Deray Mckessen entwendet. Die letzten vier Nummern der SSN genügten, um Vollzugriff auf das Verizon-Konto zu bekommen und von dort aus Twitter zurückzusetzen. Immer wieder gelangen Hacker in den USA an Datenbanken mit Millionen dieser Nummern, die schwer zu wechseln sind.

In den USA kann die Sozialversicherungsnummer genügen, um einen Hackerangriff mit Social Engineering durchzuführen. Das musste der Schwarzenrechte-Aktivist Deray Mckesson feststellen, dessen Twitter-Konto auf diese Weise gestohlen wurde – und obwohl er Zwei-Faktor-Authentifizierung aktiviert hatte.

Twitter (Bild: Twitter)Die unbekannten Angreifer riefen schlicht bei Mckessons Mobilfunkanbieter Verizon an. Dort mussten sie nur die letzten vier Stellen der Sozialversicherungsnummer angeben, um Vollzugriff zu bekommen. Sie änderten die SIM, um SMS auf einem anderen Gerät zu empfangen, und das E-Mail-Passwort und bekamen so schließlich auch Mckessons Twitter-Konto @deray mit 385.000 Followern in die Hand. Dazu benötigten sie das Passwort fürs Twitter-Konto nicht, sondern konnten es einfach zurücksetzen.

Buzzfeed weist in diesem Zusammenhang auf Möglichkeiten für US-Mobilfunknutzer hin, ihr Konto providerabhängig durch ein Passwort oder eine PIN zusätzlich abzusichern. Das erscheint dringend geboten, ist es doch oft ein Leichtes, an die Sozialversicherungsnummer (Social Security Number, kurz SSN) einer Person zu kommen.

Beispielsweise enthielten die im Oktober 2015 bei einem Angriff auf den Finanzmakler Scottrade gestohlenen Daten von 4,6 Millionen Kunden die Sozialversicherungsnummern. Gleiches gilt für kurz zuvor entwendete Daten von 15 Millionen Kunden von T-Mobile USA sowie einen Angriff auf eine Kette von US-Krebskliniken mit 2,2 Millionen Betroffenen. Und als der zweitgrößte US-Krankenversicherer Anthem im Februar 2015 Datensätze von bis zu 80 Millionen Menschen verlor, waren ebenfalls Sozialversicherungsnummern enthalten.

ANZEIGE

Open Telekom Cloud: Ressourcen auf Abruf

Von Capex zu Opex: Mit IT-Kapazitäten aus der Cloud statt von eigenen Servern verwandeln Unternehmen gerade verstärkt starre Investitionskosten in dynamische Ausgaben, die sich dem Geschäftsverlauf anpassen – und werden damit flexibler. Immer beliebter: Infrastructure-as-a-Service (IaaS) aus der Open Telekom Cloud.

Hacker (Bild: Shutterstock)Diese Daten dürften auch in Form von Sammlungen mit noch größerem Umfang weiter im Dark Web kursieren. Erschwerend kommt hinzu, dass es in den USA nicht leicht möglich ist, die Sozialversicherungsnummer zu wechseln. Zu den wenigen Bedingungen, die einen solchen Wechsel erlauben, zählt laut einer Informationsseite ein Identitätsdiebstahl – also nachdem etwas passiert ist.

Einen Hack seines Paypal-Kontos trotz Zwei-Faktor-Absicherung musste im Januar 2016 auch Sicherheitsforscher Brian Krebs hinnehmen. Er berichtete damals: „Ich hatte Zwei-Faktor-Authentifizierung aktiviert, und der Angreifer kam daran vorbei. Ich weiß nicht, warum Paypal es nicht für die Rücksetzung des Passworts verlangte. Der Punkt ist, dass Zwei-Faktor-Authentifizierung letztlich nutzlos ist, wenn jemand einfach nur anrufen muss, um ein Passwort mündlich durch Beantwortung von ein paar privaten Fragen mit oft leicht zugänglichen Antworten zurückzusetzen.“

Anders als Paypal in Krebs‘ Fall scheint Twitter aber an der Entführung von Mckessens Konto unschuldig. Vielmehr hätte dieser sein Mobilfunkkonto besser absichern müssen, als der Provider Verizon standardmäßig vorsah.

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Umfrage

Von welchem Hersteller stammt die EMM-Lösung in Ihrem Unternehmen?

Ergebnisse anzeigen

Loading ... Loading ...

Themenseiten: Authentifizierung, Hacker, Telekommunikation, Twitter, Verizon

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Florian Kalenda
Autor: Florian Kalenda
Leitender Redakteur ZDNet.de
Florian Kalenda
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu USA: Hacker umgehen Zwei-Faktor-Authentifizierung mit Sozialversicherungsnummer

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *