Es ist schon ein besonderer Vorgang, den in tschechische Vodafone-Kunden da gerade erleben. Sie bekommen vom Unternehmen Rechnungen für den Missbrauch ihrer Konten, für die sich nichts können. Vodafone hat ein PIN-Code-System mit numerischen Ziffern eingeführt, wo auch so etwas wie 1234 vorkam.
Anzeige
The Register hat den Vorgang hier aufgegriffen. Zwei Gauner haben Vodafone-Kunden in der Tschechischen Republik um 26.000 Dollar betrogen. Der Coup war dank schwacher PIN-Codes, die Vodafone selbst ausgegeben hat, durchziehbar.
Zum Hintergrund: Vodafone führte wohl Online-Passwörter für seine Kunden mit einer Länge von 4-6 Ziffern vor. Die beiden Gauner starteten einen Brute-Force-Angriff, bei dem Berichten zufolge zufällige Telefonnummern und der Passwortcode 1234 ausprobiert wurden, um Konten zu knacken, die im Kundenportal des Mobilfunknetzes registriert waren.
Aber es kommt noch schlimmer. Die Betrüger konnten an Hand der geknackten Vodafone-Konten neue SIM-Karten anfordern, da sie durch die Angriffe ja die Telefonnummer und den mit diesem Konto verknüpften PIN-Code kannten. Ein Lichtbildausweis oder gar eine E-Mail-Bestätigung war anscheinend bei Vodafone zur Identifizierung nicht erforderlich. Die doppelten SIMs wurden über einen Online-Service bestellt, bevor sie persönlich abgeholt wurden.
Dann finanzierte das Duo Online-Wettkonten, indem es Premium-SMS-Nachrichten über ein Payment Gateway verschickt und von einem kompromittierten mobilen Konto abbuchen ließ. Dann wurde das Geld von diesen Wettkonten abgehoben.
Anzeige
Die Betrüger wurden wohl gefasst. Aber jetzt kommt Vodafone ins Spiel. Die Mobilfunkkonten der 60 betroffenen Kunden wurden mit betrügerischen Transaktionen belastet. Anstatt die aufgelaufenen Summen abzuschreiben, schickte das Unternehmen den Kunden Rechnungen und greift sogar auf Inkassounternehmen zurück, um die Zahlungen einzutreiben.
Die Telefongesellschaft argumentiert, dass die betroffenen Kunden für die betrügerischen Transaktionen haftbar seien, weil sie schwache Passwörter verwendeten. Dabei ignoriert Vodafone, dass diese leicht zu erratenden PIN-Codes als Folge von Sicherheitslücken im eigenen System ausgegeben wurden. Nicht so gerade die feine Art.
Anzeige
