iOS-Sicherheitslücke ermöglicht Phishing via SMS

18. August 2012, 11:35

SMS-Header kann ausgenutzt werden, um an sensible Informationen zu gelangen

Sicherheit am Smartphone ist ein großes Thema, zumal sich immer mehr Menschen auf ihre Telefone im Alltag verlassen. Das Ausnutzen von Sicherheitslücken auf Smartphones gehört mittlerweile leider zum Alltag und Sicherheitsexperten bemühen sich ständig um neue Methoden zu entwickeln, die dies verhindern. Wie MacRumors nun berichtet, haben Jailbreak-Hacker eine neue Sicherheitslücke in iOS entdeckt, die SMS-Spoofing möglich macht.

SMS-Header verschleiert Antwort-Nummer

Das Prinzip dieses Spoofs ist es, dem iPhone-Nutzer eine SMS einer vertrauenswürdigen Person vorzutäuschen, in Wirklichkeit steckt aber ein Absender mit bösen Absichten dahinter. Schuld daran ist der User Data Header in iOS, der optional gewählt werden kann, um Informationen hinzuzufügen, wie beispielsweise das Ändern der Nummer, zu der die Antwort der Nachricht geht. Diese optionale Information kann für Spoof-Attacken genutzt werden.

Phishing-Versuche

Wie die Jailbreak-Hacker schreiben, sendet der Empfänger eine Antwort auf diese SMS nicht an die eigentliche Nummer, sondern an eine geänderte. Diese Nummer könne nicht nur in andere Handynummern geändert werden sondern auch in Notrufnummern. Wer diesen User Data Header gut ausnutzt, kann Empfänger also beispielsweise mit Phishing-Versuchen konfrontieren. 

Antwortnummer sichtbar machen

Voraussetzung für solch einen Spoof ist aber das Wissen des Angreifenden über Namen und Nummern von vertrauenswürdigen Kontakten, sprich Nummern aus dem Adressbuch. Bekannte Nummern von Banken, die für TAC-SMS  genutzt werden oder über Rechnungsübersichten informieren, könnten so ausgenutzt werden. Ein Weg dieses Problem zu beheben, könnte die Darstellung der Antwortnummer sein. So könnte man auf den ersten Blick sehen, dass der Absender eine andere Antwortnummer eingetragen hat. (red, derStandard.at, 18.8.2012)

Artikel Falsch!

Nicht iOS-Sicherheitslücke ermöglicht Phishing sondern SMS-Protokoll-Sicherheitslücke ermöglicht Phishing!

Warum ist das nicht unter "Innovationen -> Apple"? :D

"Voraussetzung für solch einen Spoof ist aber das Wissen des Angreifenden über Namen und Nummern von vertrauenswürdigen Kontakten"

... wie z.B. Viber! Wer sich dort das EULA durchliest, dem kommt das Grauen!

"Nichtsdestotrotz ist seit kurzem bekannt, dass Viber von Talmon Marco gegründet wurde. Er war vier Jahre in der israelischen Armee und schloss sein Studium an der Universität Tel Aviv mit einem Abschluss in Informatik und Management."

(http://de.wikipedia.org/wiki/Vibe... tenschutz)

Na dann.

Danke für den hint jedenfalls. :)

Die Kommentare von Usern und Userinnen geben nicht notwendigerweise die Meinung der Redaktion wieder. Die Redaktion behält sich vor, Kommentare, welche straf- oder zivilrechtliche Normen verletzen, den guten Sitten widersprechen oder sonst dem Ansehen des Mediums zuwiderlaufen (siehe ausführliche Forenregeln), zu entfernen. Der/Die Benutzer/in kann diesfalls keine Ansprüche stellen. Weiters behält sich die derStandard.at GmbH vor, Schadenersatzansprüche geltend zu machen und strafrechtlich relevante Tatbestände zur Anzeige zu bringen.