Whatsapp versinkt im Datenchaos

Im Mai 2021 will Whatsapp seine Nutzungsbestimmungen und Datenschutzrichtlinien aktualisieren. Dies stösst unter den Nutzenden auf Unmut und einige wechselten daher zu Konkurrenten wie Threema oder Signal, wie Sie hier lesen können. Der Messenger-Dienst hat unterdessen selbst mit Datenschutz- und Sicherheitsproblemen zu kämpfen.

Vermeintliche Netflix-App versendet Spam

Das Cybersicherheitsunternehmen Check Point warnt vor einer Schadsoftware, die sich über den Messenger verbreitet. Es handle sich dabei um die Applikation "FlixOnline" aus dem Appstore. Sie gibt vor, Userinnen und Usern auf ihrem Smartphone Zugang zum Streaming-Dienst Netflix zu geben. Stattdessen versendet die Software Spam-Nachrichten an andere Kontakte: "2 Months of Netflix Premium Free at no cost For REASON OF QUARANTINE (CORONA VIRUS)* Get 2 Months of Netflix Premium Free anywhere in the world for 60 days. Get it now HERE", inklusive Link. Laut Check Point könne die Schadsoftware über den Link Malware verbreiten, Userdaten stehlen und Nutzende damit erpressen.

Check Point hat übrigens seit Anfang April einen neuen Schweiz-Chef: Alvaro Amato, der auf Sonja Meindl folgt. Lesen Sie hier mehr dazu.

Zwei-Faktoren-Authentifizierung als Schwachstelle

Zwei Forschende haben einen Weg gefunden, wie Hacker Whatsapp auf dem Gerät anderer Personen sperren können. Wie "Forbes" schreibt, liegt die Schwachstelle in der Anmeldefunktion des Messengerdiensts. So könne jede beliebige Person die App herunterladen und bei der Registrierung eine bestimmte Nummer, in diesem Falle jene des Opfers, eingeben. Whatsapp verwendet für die Anmeldung eine Zwei-Faktor-Authentifizierung und sendet einen sechsstelligen Verifizierungscode an die angegebene Telefonnummer. Diese gilt es dann in der App einzugeben. Das Opfer erhält die SMS mit dem Code, hat aber keine Möglichkeit, diesen in Whatsapp einzugeben - der Messenger funktioniert weiter wie gewohnt.

Account aus der Ferne gesperrt

Die hackende Person bekommt den Code nicht zugesandt - auch die Chance, die richtige zu erraten, ist bei einer sechsstelligen Kombination zudem recht gering (Wie gering, erfahren Sie hier). Die Person kann jedoch beliebig viele falsche Codes eingeben und neue anfordern - bis dies nicht mehr möglich ist und der Anmeldedienst für 12 Stunden gesperrt wird. Zu diesem Zeitpunkt funktioniert die App beim Opfer weiterhin normal, lediglich die zahlreichen SMS dürften stutzig machen. Wie Forbes schreibt, könnte die Betrügerin oder der Betrüger daraufhin eine E-Mail an Whatsapp schreiben - mit dem Inhalt, das Handy mit der angegebenen Nummer wäre gestohlen worden sowie der Bitte, die Nummer zu sperren. Bestimmte Keywords in der Nachricht triggern einen Automatismus von Whatsapp, der Account wird vorübergehend gesperrt - sowohl beim Täter als auch beim Opfer. Diesen Vorgang kann die betrügende Person nach Ablauf der 12 Stunden wiederholen. Nach dem dritten Mal ist der Account endgültig gesperrt. Den Forschenden zufolge sei es damit viel zu einfach, den Zugriff auf einen Account aus der Ferne zu sperren.

Laut Whatsapp soll das Ausnutzen dieser Schwachstelle gegen die Nutzungsbedingungen verstossen, Forbes rät daher davon ab, damit zu experimentieren. Den Betroffenen nützt dies jedoch freilich wenig.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den wöchentlichen Newsletter von Swisscybersecurity.net an. Auf dem Portal gibt es täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.