Trotz des Aufstiegs der Cybersicherheitsinfrastruktur ist die Online-Identität immer noch vielen Risiken ausgesetzt, darunter auch solchen im Zusammenhang mit dem Hacken der Telefonnummern der Benutzer.
Anfang Juli wurde LayerZero-CEO Bryan Pellegrino eines der jüngsten Opfer eines SIM-Swap-Angriffs, der es Hackern ermöglichte, kurzzeitig sein Twitter zu übernehmen.
„Ich vermute, dass jemand meinen Ausweis aus dem Papierkorb geholt hat und irgendwie einen Vertreter dazu verleiten konnte, ihn als Ausweis für den SIM-Tausch zu verwenden, während ich Collision verließ“, schrieb Pellegrino kurz nachdem er seinen Twitter-Account wieder hatte.
„Da stand ‚Bryan Pellegrino – Sprecher‘, einfach Ihr normales Konferenzabzeichen aus Papier“, sagte Pellegrino gegenüber Cointelegraph.
Der Vorfall mit Pellegrinos Missgeschick könnte dazu führen, dass Benutzer annehmen, ein SIM-Swap-Hack sei so einfach wie das Klauen einer Dienstmarke. Cointelegraph hat sich an einige Kryptowährungs-Sicherheitsfirmen gewandt, um herauszufinden, ob das der Fall ist.
Was ist ein SIM-Swap-Hack? Wie groß ist er?
Ein SIM-Swap-Hack ist eine Form des Identitätsdiebstahls, bei der Angreifer die Telefonnummer eines Opfers übernehmen und sich so Zugriff auf Bankkonten, Kreditkarten oder Kryptokonten verschaffen.
Im Jahr 2021 gingen beim Federal Bureau of Investigation mehr als 1.600 Beschwerden über SIM-Swapping ein, bei denen es um Verluste von mehr als 68 Millionen Dollar ging. Dies entspricht einem Anstieg von 400 % gegenüber den drei Vorjahren und deutet darauf hin, dass SIM-Swapping „definitiv auf dem Vormarsch“ ist, sagte Hugh Brooks, Direktor für Sicherheitsoperationen bei CertiK, gegenüber Cointelegraph.
„Wenn es keine Abkehr von der SMS-basierten 2FA gibt und die Telekommunikationsanbieter ihre Sicherheitsstandards nicht erhöhen, werden wir wahrscheinlich eine weitere Zunahme der Angriffe erleben“, erklärte Brooks.
Laut 23pds, Chief Information Security Officer (CISO) von SlowMist, ist SIM-Swapping derzeit noch nicht allzu weit verbreitet, hat aber ein erhebliches Potenzial, in naher Zukunft weiter zuzunehmen. Er erklärte:
„Da die Popularität von Web3 wächst und immer mehr Leute in die Branche lockt, steigt aufgrund der relativ geringeren technischen Anforderungen auch die Wahrscheinlichkeit von SIM-Swapping-Angriffen.“
23pds erwähnte in den letzten Jahren einige Fälle von SIM-Swap-Hacks in Kryptowährungen. Im Oktober 2021 gab Coinbase offiziell bekannt, dass Hacker aufgrund eines 2FA-Verstoßes Kryptowährungen von mindestens 6.000 Kunden gestohlen haben. Zuvor wurde der britische Hacker Joseph O’Connor 2019 angeklagt, weil er durch mehrere SIM-Swap-Hacks Kryptowährungen im Wert von rund 800.000 US-Dollar gestohlen hatte.
Wie schwer ist es, einen SIM-Swap-Hack durchzuführen?
Laut Angaben der CertiK-Führungskraft kann SIM-Swap-Hacking häufig mit Informationen durchgeführt werden, die öffentlich verfügbar sind oder durch Social Engineering erlangt werden können.
„Insgesamt könnte SIM-Swapping für Angreifer als geringere Eintrittsbarriere angesehen werden, verglichen mit technisch anspruchsvolleren Angriffen wie Smart-Contract-Exploits oder Exchange-Hacks“, sagte Brooks.
23pds von SlowMist stimmte zu, dass für SIM-Swapping keine besonderen technischen Fähigkeiten erforderlich sind. Er merkte auch an, dass solche SIM-Swaps „sogar in der Web2-Welt weit verbreitet“ seien, sodass es „nicht überraschend“ sei, dass sie auch in der Web3-Umgebung auftauchen.
„Die Durchführung ist oft einfacher, wenn Social Engineering eingesetzt wird, um die entsprechenden Betreiber oder das Kundendienstpersonal zu täuschen“, sagte 23pds.
Wie kann man SIM-Swapping-Hacks verhindern?
Da SIM-Swap-Angriffe im Hinblick auf die technischen Fähigkeiten der Hacker oft als anspruchslos gelten, müssen Benutzer sorgfältig auf die Sicherheit ihrer Identität achten, um solche Hacks zu verhindern.
Die wichtigste Schutzmaßnahme gegen einen SIM-Swap-Hack besteht darin, die Verwendung von SIM-Karten-basierten Methoden zur 2FA-Verifizierung einzuschränken. Anstatt sich auf Methoden wie SMS zu verlassen, sollte man besser Apps wie Google Authenticator oder Authy verwenden, merkte Budorin von Hacken an.
SlowMist CISO 23pds erwähnte auch weitere Strategien wie Multi-Faktor-Authentifizierung und verbesserte Kontoüberprüfung wie zusätzliche Passwörter. Er empfahl den Benutzern außerdem dringend, sichere PINs oder Passwörter für SIM-Karten oder Mobiltelefonkonten einzurichten.
Eine weitere Maßnahme zur Vermeidung von SIM-Swapping ist der angemessene Schutz persönlicher Daten wie Name, Adresse, Telefonnummer und Geburtsdatum. Der CISO von SlowMist empfiehlt außerdem, Online-Konten auf ungewöhnliche Aktivitäten zu überprüfen.
Plattformen sollten auch für die Förderung sicherer 2FA-Praktiken verantwortlich sein, betonte Brooks von CertiK. Beispielsweise können Unternehmen zusätzliche Überprüfungen verlangen, bevor sie Änderungen an Kontoinformationen zulassen, und Benutzer über die Risiken des SIM-Tauschs aufklären.
Zusätzliche Berichterstattung von Cointelegraph-Redakteur Felix Ng.