Woche 32: WhatsApp-Hacking via Voicemail

15.08.2023 - Cyberkriminelle haben es weiterhin auf WhatsApp-Kontos abgesehen. Um an den Pin-Code für die Rücksetzung eines Kontos zu kommen, ziehen die Angreifer alle Register. Bei Angreifern besonders beliebt ist, sich den Code über das Telefon vorlesen zu lassen. Wird dieser Prozess in der Nacht durchgeführt, landet dieser Code zumeist auf der Konto, welche dann gehackt wird, um an die Information zu kommen. Aktuell erhält das NCSC viele Meldungen zu gehackten WhatsApp-Konten.

Bereits vor zwei Jahren berichtete das NCSC über die Möglichkeiten, WhatsApp-Konten mittels einem gehackten Anrufbeantworter (Voicemail) übernehmen zu können, siehe Die Woche 30 im Rückblick. Aktuell wurden dem NCSC nun wieder vermehrt derartige Meldungen übermittelt.

Die Betroffenen melden jeweils, dass über Nacht viele unterschiedliche Anrufe eingegangen seien, daraufhin sei der Zugriff auf WhatsApp gesperrt gewesen. Freunde meldeten komische Profilbilder auf dem gehackten Konto, und in gemeinsamen Gruppenchats tauchten fremde Nummern auf. Zudem meldet WhatsApp, dass der Besitzer des Kontos gegen die Nutzungsbedingungen verstossen habe. Durch die Hacker wurde zudem eine Zwei-Faktor-Authentisierung eingerichtet, um die «Rückeroberung» des Kontos durch die wahren Besitzer zu verhindern.

Nach dem Hacking werden auch die vorhandenen Gruppen übernommen (rot umrandet). Dazu werden fremde Nummern dem Gruppenchat zugefügt.

Eigene Tests des NCSC zeigten, wie die Hacker vorgegangen sind: In einem ersten Schritt hat der Hacker bei seinem WhatsApp die anzugreifende Nummer als seine eigene ausgegeben. Daraufhin wurde ein Code an die hinterlegte E-Mail-Adresse des Kontos gesendet, um die Rechtmässigkeit zu überprüfen. Funktioniert diese Methode nicht, ist es möglich, sich anrufen zu lassen und sich den Code vorlesen zu lassen. Dies erfolgt auch, wenn ein Anrufbeantworter den Anruf entgegennimmt. Bei vielen Anrufbeantwortern wurde nach der Installation das Passwort nie geändert. Die bedeutet, dass immer noch das Standardpasswort, z. B. die letzten vier Ziffern der Telefonnummern, gesetzt ist. Hacker machen sich dies zunutze und greifen so auf die abgespeicherte Passwortrücksetzungs-Nachricht zu.

Verdächtige Anrufe mitten in der Nacht. Damit ist die Wahrscheinlichkeit hoch, dass niemand den Anruf entgegennimmt und die Codes auf dem Anrufbeantworter landen. Die verwendeten Rufnummern sind zumeist gespooft (gefälscht).

Nachdem die Hacker das WhatsApp-Konto übernommen haben, aktivieren sie sofort die Zwei-Faktor-Authentisierung, um die einfache Rückgewinnung des Kontos durch das Opfer zu verhindern. Anschliessend versuchen die Hacker häufig, auch Konten aus der Freundesliste anzugreifen.

Ändern Sie alle voreingestellten Passwörter so rasch als möglich. Wählen Sie dabei keine trivialen Kombinationen, die einfach zu erraten sind.
Verwenden Sie, wenn immer möglich eine Zwei-Faktor-Authentisierung. Manchmal wird diese auch zweistufige Authentifizierung genannt. Mehr Informationen finden Sie auf der Webseite der S-U-P-E-R-Kampagne: https://www.ncsc.admin.ch/ncsc/de/home/aktuell/im-fokus/2023/ks-zugang-sichern.html
Falls Sie verdächtige Nachrichten Ihres Telefonanbieters erhalten, sollten Sie den Vorfall schnellstmöglich bei diesem melden.
Allgemein gilt, dass PIN-Codes gleich behandelt werden sollten wie Passwörter. Derartige Informationen dürfen auf keinen Fall an Dritte weitergegeben oder auf unsicheren Webseiten eingegeben werden.

Aktuelle Zahlen und Statistiken

Die Anzahl Meldungen der letzten Woche nach Kategorien sind publiziert unter:

Aktuelle Zahlen