Thread
Menü

SMS-Abzocke


06.02.2023 15:26 - Gestartet von Tabbs4318
Ich hatte vor einigen Jahren, 2016, ähnliches erlebt.
Eines Tages um die Mittagszeit bekam ich eine Meldung auf meinem Smartphone, dass sich ein neues Gerät auf meinem Benutzerkonto registriert und angemeldet hätte. Keine Ahnung wie dies geschehen konnte. Mein Passwort galt für damalige Verhältnisse schon als sicher und bis dahin gab es nie Probleme.
Daraufhin mein Benutzerkonto überprüft und tatsächlich war dort ein Gerät was ich nicht kannte registriert. Dieses Gerät wurde sofort von mir entfernt. Das alles passierte innerhalb eines Zeitraumes von nicht einmal 15 Minuten. Trotzdem wurden innerhalb dieses Zeitraumes knapp 500 Spamnachrichten für Internetangebote von Wettanbietern mit asiatischen Schriftzeichen an mutmaßlich chinesische Nutzer übermittelt. Ein Großteil der Nachrichten waren durch iMessage und mein Datenvolumen abgedeckt. Es blieben jedoch noch Auslands-SMS in Höhe von knapp 100€ übrig. Passwort geändert und verschärft und das alles auch an die Verbraucherzentrale gemeldet.
Hat aber offensichtlich nicht viel gebracht wenn diese Masche immer noch existiert.
Menü
[1] hotte70 antwortet auf Tabbs4318
07.02.2023 00:27
Problem ist doch, dass man bei den meisten Anbietern zwar fast alles an Diensten sperren kann, aber den SMS-Versand in ausländische Netze eben nicht. Ich für meinen Teil würde sowas sehr begrüßen, aber kenne keinen Anbieter wo man solch eine Sperre aktivieren kann.
Menü
[2] Chris111 antwortet auf Tabbs4318
07.02.2023 06:04

einmal geändert am 07.02.2023 06:07
Benutzer Tabbs4318 schrieb:
Ich hatte vor einigen Jahren, 2016, ähnliches erlebt. Eines Tages um die Mittagszeit bekam ich eine Meldung auf meinem Smartphone, dass sich ein neues Gerät auf meinem Benutzerkonto registriert und angemeldet hätte. Daraufhin mein Benutzerkonto überprüft und tatsächlich war dort ein Gerät was ich nicht kannte registriert. Dieses Gerät wurde sofort von mir entfernt. Das alles passierte innerhalb eines Zeitraumes von nicht einmal 15 Minuten. Trotzdem wurden innerhalb dieses Zeitraumes knapp 500 Spamnachrichten für Internetangebote von Wettanbietern mit asiatischen Schriftzeichen an mutmaßlich chinesische Nutzer übermittelt.

Mir technisch unerklärlich. Um Kosten verursachen zu können, benötigt man doch die SIM Karte. Wenn sich jetzt irgendwie ein anderes Handy in den Android Account gehackt hatte, dann hat diese zweite Handy doch nicht die SIM Karte und kann doch somit auch keine SMS über den Mobilfunkanbieter verschicken. Kapiere Ich technisch absolut nicht. Aus meiner Sicht ist das unmöglich.
Menü
[2.1] niknuk antwortet auf Chris111
07.02.2023 08:12
Es geht nicht um einen Android-Account. "iMessage" ist ein klarer Hinweis auf ein iOS-Gerät. Aber auch damit kann man keine SMS auf fremde Kosten verschicken, solange man nur Kontrolle über den zugehörigen iCloud-Account hat. Das geht nur, wenn man auch Kontrolle über das Gerät hat. Dazu wiederum müsste man heimlich eine bösartige App auf das Gerät schieben. Keine Ahnung, ob das bei iCloud-Accounts geht (bin selbst Android-Nutzer).

Gruß

niknuk
Menü
[2.1.1] Tabbs4318 antwortet auf niknuk
07.02.2023 16:34
Benutzer niknuk schrieb:
Es geht nicht um einen Android-Account. "iMessage" ist ein klarer Hinweis auf ein iOS-Gerät. Aber auch damit kann man keine SMS auf fremde Kosten verschicken, solange man nur Kontrolle über den zugehörigen iCloud-Account hat. Das geht nur, wenn man auch Kontrolle über das Gerät hat. Dazu wiederum müsste man heimlich eine bösartige App auf das Gerät schieben. Keine Ahnung, ob das bei iCloud-Accounts geht (bin selbst Android-Nutzer).

Gruß

niknuk


Meine Vermutung war damals, dass es mit iMessage ansich zusammen hing. Diese gehen ja über den Benutzeraccount. Sozusagen über das Datenvolumen. Es wird also nicht zwingend eine SIM benötigt, funktioniert auch im WLAN.
Der Knackpunkt damals war, ich hatte eine Funktion eingeschaltet gehabt, die es erlaubt, dass wenn iMessage nicht verfügbar ist das System versucht über das Gerät mit der dazu gehörigen SIM automatisch diese Nachrichten als SMS zu verschicken. Man braucht also keinen physischen Zugriff auf das jeweilige Gerät. Und schon hat man die Arschkarte.
Kurze Zeit später kam dann die 2-Geräte Authentifizierung, mit der man dies erlauben muss, wenn sich ein neues Gerät auf dem Account anmelden möchte. Funktion aus, Authentifizierung ein. Seitdem ist Ruhe.
Ich könnte mir jedoch vorstellen, dass auch bei Android eine ähnliche Funktion existiert.
Menü
[2.1.1.1] niknuk antwortet auf Tabbs4318
08.02.2023 11:52
Benutzer Tabbs4318 schrieb:

Meine Vermutung war damals, dass es mit iMessage ansich zusammen hing. Diese gehen ja über den Benutzeraccount. Sozusagen über das Datenvolumen. Es wird also nicht zwingend eine SIM benötigt, funktioniert auch im WLAN.

Das ist richtig, aber um iMessages zu verschicken, braucht man meines Wissens physischen Zugriff auf das Handy. Es ist nicht möglich, iMessages z. B. über eine Website zu verschicken. Auch zur Inanspruchnahme irgendwelcher im Handytarif enthaltenen Leistungen (SMS, Datenvolumen) braucht man physischen Zugriff auf das Handy bzw. die zum Tarif gehörende SIM-Karte.

Diesen Zugriff hat man natürlich als Besitzer des Handys, man kann ihn sich aber auch als Fremder verschaffen, indem man z. B. den Benutzer dazu überredet, eine App mit Zugriffsrechten auf SMS und Internetzugang zu installieren (oder ihm diese App heimlich aufs Handy schiebt, was aber speziell bei iOS nicht einfach ist).

Der Knackpunkt damals war, ich hatte eine Funktion eingeschaltet gehabt, die es erlaubt, dass wenn iMessage nicht verfügbar ist das System versucht über das Gerät mit der dazu gehörigen SIM automatisch diese Nachrichten als SMS zu verschicken. Man braucht also keinen physischen Zugriff auf das jeweilige Gerät.

Doch, man braucht ihn. iMessages und SMS kann man nicht verschicken, wenn man keinen Zugriff auf das Handy hat. Man kann sich diesen Zugriff aber verschaffen, s. o.

Gruß

niknuk
Menü
[2.1.1.1.1] Tabbs4318 antwortet auf niknuk
08.02.2023 18:09
Benutzer niknuk schrieb:
Benutzer Tabbs4318 schrieb:

Meine Vermutung war damals, dass es mit iMessage ansich zusammen hing. Diese gehen ja über den Benutzeraccount. Sozusagen über das Datenvolumen. Es wird also nicht zwingend eine SIM benötigt, funktioniert auch im WLAN.

Das ist richtig, aber um iMessages zu verschicken, braucht man meines Wissens physischen Zugriff auf das Handy. Es ist nicht möglich, iMessages z. B. über eine Website zu verschicken. Auch zur Inanspruchnahme irgendwelcher im Handytarif enthaltenen Leistungen (SMS, Datenvolumen) braucht man physischen Zugriff auf das Handy bzw. die zum Tarif gehörende SIM-Karte.


Es wurde, wie auch immer dies möglich gewesen ist, ein zusätzliches Gerät auf meinem Benutzeraccount angemeldet. Soweit ich weiß ein iPad mini. Über diesen Anmeldevorgang wurde ich unterrichtet. Eine 2-Geräte Authentifizierung mit dem man einen Anmeldevorgang eventuell blockieren kann, gab es erst später.

Mit diesem neuen iPad wurden innerhalb kürzester Zeit Unmengen an iMessages verschickt.

Auf meinem iPhone war zu diesem Zeitpunkt noch diese Funktion aktiviert, dass wenn eine Zustellung mittels iMessage nicht funktioniert, diese Nachricht alternativ als SMS noch einmal verschickt wird. Dazu benötigt es keinen physischen Zugriff auf mein Endgerät. Es wurde intern innerhalb des Accounts mit den Einstellungen auf meinem iPhone realisiert.
Beides (Passwort und Einstellung) hab ich so schnell wie möglich geändert. Jedoch waren zu diesem Zeitpunkt bereits Auslands-SMS aufgelaufen. Diese kann man, wie beispielsweise Telefonate, über den Anbieter meines Wissens nach, bis heute nicht blockieren.
Hab es als Erfahrung abgehakt und meine Lehren entsprechend daraus gezogen. Wie gesagt das war 2016 passiert, seitdem ist Ruhe. Offensichtlich ist dieses Problem als solches jedoch immer noch nicht gelöst.


Diesen Zugriff hat man natürlich als Besitzer des Handys, man kann ihn sich aber auch als Fremder verschaffen, indem man z. B. den Benutzer dazu überredet, eine App mit Zugriffsrechten auf SMS und Internetzugang zu installieren (oder ihm diese App heimlich aufs Handy schiebt, was aber speziell bei iOS nicht einfach ist).

Der Knackpunkt damals war, ich hatte eine Funktion eingeschaltet gehabt, die es erlaubt, dass wenn iMessage nicht verfügbar ist das System versucht über das Gerät mit der dazu gehörigen SIM automatisch diese Nachrichten als SMS zu verschicken. Man braucht also keinen physischen Zugriff auf das jeweilige Gerät.

Doch, man braucht ihn. iMessages und SMS kann man nicht verschicken, wenn man keinen Zugriff auf das Handy hat. Man kann sich diesen Zugriff aber verschaffen, s. o.

Gruß

niknuk
Menü
[2.1.1.1.1.1] niknuk antwortet auf Tabbs4318
08.02.2023 23:45
Benutzer Tabbs4318 schrieb:

Es wurde, wie auch immer dies möglich gewesen ist, ein zusätzliches Gerät auf meinem Benutzeraccount angemeldet. Soweit ich weiß ein iPad mini. Über diesen Anmeldevorgang wurde ich unterrichtet. Eine 2-Geräte Authentifizierung mit dem man einen Anmeldevorgang eventuell blockieren kann, gab es erst später.

Mit diesem neuen iPad wurden innerhalb kürzester Zeit Unmengen an iMessages verschickt.

D. h. ein iOS-Gerät kann ein anderes, völlig fremdes iOS-Gerät fernsteuern? Genau so hätte es nämlich sein müssen: das fremde iPad mini hätte *dein* iPhone fernsteuern müssen, um auf *deine* Rechnung SMS zu verschicken und *dein* Datenvolumen zu nutzen. Das fremde iPad alleine kann jedenfalls nicht auf deine SIM-Karte und damit auch nicht auf deinen Handytarif zugreifen. Es braucht zwingend dein Gerät als "Komplizen". Auch der ersatzweise Versand von SMS (statt iMessages) auf deine Kosten funktioniert nur auf *deinem* Handy.
Ich glaube allerdings nicht, dass Apple eine solche Fernsteuerung, die ja ein großes Sicherheitsrisiko darstellt, zulässt. Daher erscheint mir ein anderes Szenario viel wahrscheinlicher: auf deinem iPhone wurde eine bösartige App installiert, die nicht nur auf deine Kosten SMS versandt und Datentraffic verursacht, sondern auch die Zugangsdaten zu deinem iCloud-Account gestohlen hat. Mit den geklauten Zugangsdaten hat dann jemand versucht, sich in deinen Account einzuloggen. Die geklauten Zugangsdaten waren aber nicht die Ursache für die mysteriösen iMessages und SMS, sondern die hat die App (auf deinem Handy!) unabhängig davon verschickt. Der iCloud-Account sollte für andere Dinge missbraucht werden, z. B. für Käufe auf deine Rechnung.

Ich würde in solchen Fällen sofort das Handy auf Auslieferungszustand zurücksetzen und dann manuell nur noch die Apps installieren, die ich unbedingt brauche und denen ich vertraue. Auf Apps, die auch nur ansatzweise dubios erscheinen, würde ich verzichten.

Gruß

niknuk
Menü
[2.1.1.1.1.1.1] foobar99 antwortet auf niknuk
21.02.2023 11:03
Benutzer niknuk schrieb:
Benutzer Tabbs4318 schrieb:

Es wurde, wie auch immer dies möglich gewesen ist, ein zusätzliches Gerät auf meinem Benutzeraccount angemeldet. Soweit ich weiß ein iPad mini. Über diesen Anmeldevorgang wurde ich unterrichtet. Eine 2-Geräte Authentifizierung mit dem man einen Anmeldevorgang eventuell blockieren kann, gab es erst später.

Mit diesem neuen iPad wurden innerhalb kürzester Zeit Unmengen an iMessages verschickt.

D. h. ein iOS-Gerät kann ein anderes, völlig fremdes iOS-Gerät fernsteuern? Genau so hätte es nämlich sein müssen: das fremde iPad mini hätte *dein* iPhone fernsteuern müssen, um auf *deine* Rechnung SMS zu verschicken und *dein* Datenvolumen zu nutzen.

Fernsteuern geht etwas weit, aber es gibt tatsächlich eine Möglichkeit SMS (über iMessage) an einen Mac/iPad weiterzuleiten und umgekehrt dann auch die Antworten. Dazu müssen sie nur mit demselben Account bei iMessage angemeldet sein.

Damit ist das leicht zu erklärende Szenario, dass das iCloud-Passwort doch nicht so sicher wie gedacht oder mehrfach verwendet wurde, sodass es in einem Passwort-Leak aufgetaucht ist.
Menü
[2.1.1.1.1.2] Tabbs4318 antwortet auf Tabbs4318
09.02.2023 00:50
Benutzer Tabbs4318 schrieb:
Benutzer niknuk schrieb:
Benutzer Tabbs4318 schrieb:

Meine Vermutung war damals, dass es mit iMessage ansich zusammen hing. Diese gehen ja über den Benutzeraccount. Sozusagen über das Datenvolumen. Es wird also nicht zwingend eine SIM benötigt, funktioniert auch im WLAN.

Das ist richtig, aber um iMessages zu verschicken, braucht man meines Wissens physischen Zugriff auf das Handy. Es ist nicht möglich, iMessages z. B. über eine Website zu verschicken. Auch zur Inanspruchnahme irgendwelcher im Handytarif enthaltenen Leistungen (SMS, Datenvolumen) braucht man physischen Zugriff auf das Handy bzw. die zum Tarif gehörende SIM-Karte.


Es wurde, wie auch immer dies möglich gewesen ist, ein zusätzliches Gerät auf meinem Benutzeraccount angemeldet. Soweit ich weiß ein iPad mini. Über diesen Anmeldevorgang wurde ich unterrichtet. Eine 2-Geräte Authentifizierung mit dem man einen Anmeldevorgang eventuell blockieren kann, gab es erst später.

Mit diesem neuen iPad wurden innerhalb kürzester Zeit Unmengen an iMessages verschickt.

Auf meinem iPhone war zu diesem Zeitpunkt noch diese Funktion aktiviert, dass wenn eine Zustellung mittels iMessage nicht funktioniert, diese Nachricht alternativ als SMS noch einmal verschickt wird. Dazu benötigt es keinen physischen Zugriff auf mein Endgerät. Es wurde intern innerhalb des Accounts mit den Einstellungen auf meinem iPhone realisiert.
Beides (Passwort und Einstellung) hab ich so schnell wie möglich geändert. Jedoch waren zu diesem Zeitpunkt bereits Auslands-SMS aufgelaufen. Diese kann man, wie beispielsweise Telefonate, über den Anbieter meines Wissens nach, bis heute nicht blockieren.
Hab es als Erfahrung abgehakt und meine Lehren entsprechend daraus gezogen. Wie gesagt das war 2016 passiert, seitdem ist Ruhe. Offensichtlich ist dieses Problem als solches jedoch immer noch nicht gelöst.


Diesen Zugriff hat man natürlich als Besitzer des Handys, man kann ihn sich aber auch als Fremder verschaffen, indem man z. B. den Benutzer dazu überredet, eine App mit Zugriffsrechten auf SMS und Internetzugang zu installieren (oder ihm diese App heimlich aufs Handy schiebt, was aber speziell bei iOS nicht einfach ist).

Der Knackpunkt damals war, ich hatte eine Funktion eingeschaltet gehabt, die es erlaubt, dass wenn iMessage nicht verfügbar ist das System versucht über das Gerät mit der dazu gehörigen SIM automatisch diese Nachrichten als SMS zu verschicken. Man braucht also keinen physischen Zugriff auf das jeweilige Gerät.

Doch, man braucht ihn. iMessages und SMS kann man nicht verschicken, wenn man keinen Zugriff auf das Handy hat. Man kann sich diesen Zugriff aber verschaffen, s. o.

Gruß

niknuk


Was die Zugangsdaten, sprich die eMail-Adresse des Benutzeraccounts bei Apple angeht, stimme ich zu. Die muss ja irgendwo in Erfahrung gebracht worden sein.

Man benötigt jedoch nur ein Gerät mit SIM um den Account zu aktivieren. Später reicht es wenn weitere Geräte auf diesen Account bei Apple angemeldet werden. Dazu ist in dem neuen Geräten noch nicht mal eine aktive Mobilfunkschnittstelle mehr nötig. Dies ist nur zur erstmaligen Registrierung des Gerätes bei Apple notwendig. Der weitere Betrieb mit iMessage geht ûber den Apple-Account. Und dafür reicht auch WLAN. Wenn dann, aus welchen Gründen auch immer, Nachrichten nicht direkt zugestellt werden können, zum Beispiel der Nutzer kein iOS nutzt sondern Android, kommt die Rückfallebene SMS ins Spiel. Und wenn dann im Account ein Gerät mit aktiver SIM und eingeschalteter Funktion existiert geht die Nachricht als SMS über dieses Gerät nochmal raus. Abhilfe schafft dann diese Weiterleitungsfunktion abzuschalten, was ich getan hab, oder ganz auf Mobilfunk zu verzichten und zur Nutzung nur auf eventuell vorhandenes WLAN zurück zu greifen was die Sache erheblich einschränkt.

Wie bereits erwähnt ist diese Geschichte schon einige Zeit her und seitdem sind nach den entsprechenden Vorkehrungen bei mir keinerlei Auffälligkeiten mehr zu beobachten.
Jedoch der Sachverhalt als solcher offensichtlich immer noch aktuell.