Ein SIM-Swap verschiebt Ihre Telefonnummer auf eine SIM, die ein Angreifer kontrolliert. Wenn eine Anwendung ein SMS-Einmalpasswort (OTP) an diese Nummer sendet, kann der Angreifer den Code empfangen und die Prüfung der Anwendung bestehen. Die Anwendung braucht daher einen anderen Weg, um festzustellen, ob die Person der rechtmäßige Kontoinhaber ist.
Wie funktioniert SIM-Swap-Betrug?
Der Angreifer zielt zunächst auf das Konto beim Mobilfunkanbieter, oft indem er sich als Inhaber der Nummer ausgibt oder anderweitig offengelegte Informationen nutzt. Der Anbieter verschiebt die Nummer auf die SIM des Angreifers. Der Dienst auf dem Telefon des Inhabers wird daraufhin unterbrochen. Anrufe und Nachrichten für die Nummer erreichen den Angreifer. Der Angreifer nutzt einen SMS-Code der Anwendung, um eine Kontoübernahme zu versuchen.
Dieser Angriffsweg zielt auf die Nummernzugehörigkeit beim Anbieter. Er knackt nicht das OTP. Der Code kann korrekt generiert, zugestellt und geprüft werden. Er kann trotzdem die falsche Person erreichen.
Was beweist ein SMS OTP?
Ein SMS OTP beweist, dass die Person, die es eingibt, Nachrichten an der mit dieser Verifizierung verknüpften Nummer empfangen kann. Es beweist nicht, dass die Person der rechtmäßige Inhaber des Anwendungskontos ist. NIST, die US-Normungsbehörde, stuft PSTN-basierte Authentifizierung als eingeschränkte Option ein. Sie empfiehlt Verifizierern, Signale wie SIM-Wechsel, Gerätewechsel und Nummernportierung zu berücksichtigen, bevor sie sich darauf verlassen. Siehe NIST SP 800-63B für das Sicherheitsrahmenwerk.
| Nachweis oder Aktion | Was er belegt |
|---|---|
| SMS OTP | Kontrolle über die aktuelle Empfangsnummer |
| Zuvor registrierter Authenticator | Kontrolle über einen unabhängigen Authenticator, sofern die Anwendung ihn mit dem Konto verknüpft hat |
| Kontowiederherstellung | Eine Anwendungsentscheidung auf Basis der Wiederherstellungsnachweise und -richtlinie |
Zwei SMS-Zustellungen sind weiterhin ein Kanal. Das Senden eines weiteren Codes macht eine kompromittierte Nummer nicht zu einem unabhängigen Faktor.
Auf welche Signale sollten Sie achten?
Behandeln Sie einen unerwarteten Verlust des Mobilfunkdienstes als möglichen Vorfall, insbesondere zusammen mit einer Anbieterwarnung, einer geänderten Kontoangabe oder einem nicht angeforderten Passwort-Reset. Eine Anbieter-PIN und ein Übernahmeschutz können eine unbefugte Nummernänderung erschweren. Sie ersetzen nicht die Authentifizierung der Anwendung.
Wenn Sie einen Swap vermuten, kontaktieren Sie den Anbieter über einen vertrauenswürdigen Weg und bitten Sie ihn, die Kontrolle über die Nummer wiederherzustellen. Sichern Sie betroffene Anwendungs- und E-Mail-Konten über einen Wiederherstellungspfad, der nicht von der kompromittierten Nummer abhängt. Testen Sie diese Bedrohung nicht, indem Sie eine echte SIM verschieben.
Behebt ein Wechsel des Zustellkanals einen SIM-Swap?
Nein. Ein anderer Kanal kann die Zustellung verbessern. Er zeigt nicht, dass die kompromittierte Nummer sicher ist. Die Next-Channel-Operation von Bird sendet einen neuen Bestätigungscode. Frühere Bestätigungscodes bleiben gültig. Ein Wechsel weg von SMS widerruft keinen Code, der bereits an den Angreifer zugestellt wurde. Behandeln Sie Fallback als Zustellungswahl, nicht als SIM-Swap-Behebung oder automatische Sicherheitsaufwertung. Lesen Sie was OTP bedeutet und was Zwei-Faktor-Authentifizierung ist für die Unterscheidung zwischen einem Code und einem unabhängigen Faktor.
Wie sollte eine Anwendung reagieren?
Nutzen Sie Risikosignale, um zu entscheiden, ob eine SMS-Prüfung ausreicht. Ein kürzlicher SIM- oder Gerätewechsel, eine Nummernportierung, eine ungewöhnliche Anmeldung oder eine Anbieterwarnung können einen stärkeren Authenticator oder einen anwendungseigenen Wiederherstellungsablauf auslösen. Die NIST-Richtlinie beschreibt diese Signale als Eingaben für Risikoentscheidungen des Verifizierers. Sie macht nicht jede SMS-Anmeldung unzulässig.
Halten Sie Authentifizierung und Wiederherstellung getrennt. Eine stärkere reguläre Anmeldung kann trotzdem unterlaufen werden, wenn die Kontowiederherstellung nach einer Nummernübernahme nur einen SMS-Code akzeptiert. Verlangen Sie unabhängige Nachweise, bevor Sie den Zugang wiederherstellen oder Sicherheitseinstellungen ändern.
Wie passt Bird Verify in diesen Ablauf?
Bird Verify sendet und prüft Bestätigungscodes. Ihre Anwendung trifft die Sicherheitsentscheidung. Erstellen Sie eine Verifizierung mit dem vorgesehenen Empfänger, erfassen Sie den Code und prüfen Sie ihn mit demselben Empfänger. Autorisieren Sie die Anmeldung oder sensible Aktion erst, wenn die Prüfung success: true zurückgibt. Nachrichtenzustellung allein ist keine Verifizierung. Siehe den Verify-Leitfaden, die Create-Operation und die Check-Operation.
Der Plan des Empfängers bestimmt, welche Kanäle verfügbar sind. options.channels kann diesen Plan kürzen oder neu ordnen. Es kann keinen nicht verfügbaren Kanal hinzufügen. Wenn die Zustellung fehlschlägt, fordern Sie den nächsten zulässigen Kanal nur an, wenn Ihre Risikorichtlinie die Verifizierung weiterhin erlaubt. Die Next-Channel-Operation setzt die Zustellung fort. Sie erkennt keine SIM-Übernahme und widerruft keine früheren Codes. Für einen Kanal, der bereits kompromittiert wurde, nutzen Sie stattdessen eine anwendungseigene Wiederherstellungsentscheidung.
Ein SIM-Swap ändert, wer Nachrichten für eine Nummer empfängt. Ein SMS OTP kann diese geänderte Kontrolle bestätigen. Kombinieren Sie es mit Anbieterschutzmaßnahmen, Risikosignalen und einem unabhängigen Wiederherstellungspfad, wenn das Konto es erfordert.