Hacker tricksen die Zwei-Faktoren-Authentifizierung aus

Hackern ist es offenbar gelungen, Hunderte Google- und Yahoo-Konten zu knacken – obwohl diese per Zwei-Faktoren-Authentifizierung gesichert waren. Wie Amnesty International berichtet, nutzten die Angreifer dafür eine Phishing-Attacke.

Die Opfer hatten zunächst eine Nachricht erhalten, wie sie auch Google oder Yahoo in ähnlicher Art verschicken. In der Mail wurde den Nutzern mitgeteilt, dass verdächtige Zugriffe oder Login-Versuche bei dem jeweiligen Konto registriert wurden. In der Mail direkt mitgeliefert wurde ein Link, der vermeintlich zum Google- oder Yahoo-Login führt.

Nach dem Anklicken landeten die Opfer auf täuschend echten Login-Seiten. Die Angreifer wiegten die Nutzer sogar mittels https-Verschlüsselung in vermeintlicher Sicherheit. Neben Account-Name und Passwort wurden auf diese Weise auch die erforderlichen Authentifizierungs-Codes erbeutet. Damit erhielten die Angreifer sämtliche Zugangsdaten, die für den Zugriff das jeweilige Konto benötigt wurden. Um den Nutzer weiterhin in Sicherheit zu wähnen, wurde er auf der Fake-Seite sogar noch dazu aufgefordert, sein Passwort für den Google- oder Yahoo-Login zu ändern.

Wie Amnesty International berichtet, richteten sich die Attacken vor allem gegen Ziele im Nahen Osten und in Nordafrika. Ausserdem identifizierte die Menschenrechtsorganisation noch eine weitere Angriffswelle auf Nutzer der verschlüsselten Mailing-Dienste Tutanota und ProtonMail.

Diese werden insbesondere von Nutzern verwendet, die viel Wert auf Datenschutz legen. Meist handelt es sich dabei um Journalisten, politische Akteure und Menschenrechtsaktivisten. Sie wurden auf eine ganz ähnliche Vorgehensweise von den Angreifern auf gefälschte Klone der jeweiligen Anbieterseite gelockt. Die URLs unterscheideten sich dabei nur minimal. Bei Tutanota etwa gelang es den Kriminellen, der Domain «Tutanota.org» habhaft zu werden. Die echte Seite endet hingegen auf «.com».

Auch wenn es den Hackern durch diese Vorgehensweise gelungen ist, die Zwei-Faktoren-Sicherung der Konten zu umgehen, bietet eine zusätzliche Sicherheitsebene dennoch deutlich mehr Schutz als herkömmliche Passwörter.

In der Praxis müssen Nutzer aber trotzdem auf Details achten: Landet eine Benachrichtigung bezüglich auffälliger Login-Aktivitäten im Postfach, sollte niemals der mitgelieferte Link verwendet werden, um auf die Anmeldeseite zu gelangen. Vielmehr ist es ratsam, diese stets separat in einem neuen Browser-Fenster aufzurufen. So kann sich der Nutzer in der Regel gefahrlos anmelden.