Manipulierte Nokia-Handys sollen SMS abfangen können

Durch Manipulation am Nokia 1100 soll es möglich sein, das mTAN-Verfahren auszuhebeln
Bild: Nokia Gebote in Untergrund-Foren bis zu 25.000 Euro für das sechs Jahre alte Nokia-Handy-Modell 1100 haben zu Spekulationen geführt, dass es Kriminellen gelungen ist, mit diesen Modellen das mTAN-Verfahren beim Online-Banking auszuhebeln. Beim mTAN- oder SMS-TAN-Verfahren der Postbank, Sparkassen und Volksbanken erhält der Bankkunde eine TAN per SMS und kann diese für die Bestätigung seiner Transaktion eingeben. Der einzige Schwachpunkt des Verfahrens war bisher, dass das Opfer sein Handy aus der Hand geben kann oder verliert und ein Betrüger so in den Besitz einer gültigen TAN gelangt.

Durch Manipulationen der Firmware des Nokia 1100 soll es laut Bericht aber möglich sein, die Telefonnummer des Handys zu fälschen und sich mit der Nummer des Opfers einzubuchen, meint das holländische Unternehmen Ultrascan Advanced Global Investigations. Anlass dafür waren die Beobachtungen der hohen Preise durch Ermittlungsbehörden, die sich hilfesuchend an Ultrascan wendeten. Durch die Manipulation soll die von der Bank verschickte SMS mit der TAN beim Angreifer landen. Allerdings muss der Betrüger zum Einbruch in das Bankkonto immer noch an die PIN seines Opfers gelangen – entweder über Phishing-Seiten oder einen Trojaner.

Grundsätzlich ist es in Mobilfunknetzen ohnehin möglich, eine Telefonnummer mehreren SIM-Karten zuzuordnen. Die Zuordnung der Nummer zur SIM ist aber Sache des Providers. Für eine Manipulation wäre eher ein Hack der SIM-Karte erforderlich, um dem Netz eine der Rufnummer zugeordnete SIM vorzugaukeln. Welches Handy dann bei einem Anruf klingelt, lässt sich in der Regel beim Provider konfigurieren. Ein Hack der Nokia-Firmware dürfte also kaum ausreichen, um die für das Opfer bestimmte SMS-Nachrichten auf das Betrüger-Handy umzuleiten.

Siehe dazu auch:

• Volksbanken und Raiffeisenbanken wollen mobile TANs einführen, Bericht auf heise Security
• Postbank will TAN-Verfahren ändern, Bericht auf heise Security

(Daniel Bachfeld) / (dab/c't)