Lettischer SMS-Dienst ließ 125 Millionen SMS mit Anmeldecodes offen im Netz
Die lettische Niederlassung von CSCTelecom, einem Unternehmen, das SMS im Auftrag von Firmen verschickt, hat eine Datenbank mit mehr als 125 Millionen SMS offen im Internet stehen lassen. Wie Cybernews am 11. November berichtete, stammen die Nachrichten aus der Zeit von Oktober 2022 bis September 2026 und enthalten Einmal-Anmeldecodes, Links zum Zurücksetzen von Passwörtern, Bankbenachrichtigungen und Flugdaten für Menschen in Lettland, Litauen und Estland. Die Datenbank wurde in Echtzeit aktualisiert: Wer sie beobachtete, sah einen Code im selben Moment, in dem er auf dem Telefon des Empfängers ankam.
Kurz gesagt
- Zu den Absendern gehören Swedbank und SEB in Lettland, airBaltic, die lettische Notrufnummer 112, Versicherer und Dutzende baltische Händler.
- Cybernews fand die Datenbank am 28. September. Laut LRT wurde CSCTelecom am 29. September informiert, geschlossen wurde die Datenbank am 27. Oktober.
- Belege dafür, dass Kriminelle die Daten kopiert haben, gibt es nicht. Die Forscher sagen aber, jeder hätte sie vor ihnen finden können.
Was in den Nachrichten stand
Die Datenbank lief auf ClickHouse und speicherte den vollständigen Text jeder Nachricht, den Namen des absendenden Unternehmens, Zeitstempel, den Preis jeder SMS und Routing-Daten aus dem Mobilfunknetz. Cybernews nennt Bestätigungscodes, temporäre Passwörter, medizinische Testergebnisse, Buchungsdetails, Lieferhinweise mit Namen und Adressen, Reisedaten und Hinweise zu Banktransaktionen.
Nachrichten der Swedbank zeigten IBAN-Kontonummern, Beträge, Empfänger, Kontostände und teils das Geschäft, in dem eingekauft wurde. Nachrichten des Versicherers ERGO enthielten Dokumentnummern, Kfz-Kennzeichen und Rechnungsbeträge. Einträge zur Notrufnummer 112 zeigten Telefonnummern und Einzelheiten der Fälle. In den airBaltic-Nachrichten standen Flugdaten und Nachnamen von Passagieren, und der Carsharing-Dienst CityBee sowie die litauische Supermarktkette IKI verschickten Anmeldecodes über das Gateway.
Auf der Absenderliste stehen außerdem die Versicherer Compensa und Artea, Porsche, der Online-Lebensmittelhändler Barbora, EuroCash, DEPO, die Akropolis-Einkaufszentren, PerlasGo, Autoplius und zwei litauische Gesundheitsanbieter. LRT ergänzt, dass unter den EuroCash1-Nachrichten Alarmmeldungen zu bewachten Objekten und Geldautomaten waren.
Warum SMS-Codes die Schwachstelle sind
Am gefährlichsten ist der Live-Strom von Einmalcodes. Ein Angreifer, der jemandes Passwort schon kannte und die Datenbank beobachtete, konnte den Code eingeben oder den Reset-Link öffnen, bevor der echte Nutzer überhaupt aufs Telefon schaute. Vier Jahre Verlauf erlauben zudem ein Profil des Nummerninhabers: welche Bank er nutzt, wo er einkauft, wann er fliegt und wie viel er ausgibt.
Voldemaras Kadys, Leiter für Sicherheit und Plattform-Engineering bei Mediatech, dem Eigentümer von Cybernews, sagte LRT, schon ohne den Nachrichtentext reiche das Wissen, mit welchen Diensten eine Nummer verknüpft ist, für gezielten Betrug. Eine gefälschte SMS, die scheinbar von der eigenen Bank oder Airline kommt, wirkt viel überzeugender. Der Fall werfe außerdem Fragen zur DSGVO auf, die verlangt, personenbezogene Daten nur so lange zu speichern wie nötig.
Was die Unternehmen sagen
CSCTelecom hatte Cybernews bis zur Veröffentlichung nicht geantwortet. SEB Latvia erklärte, CSCTelecom nur „in begrenztem Umfang“ für Werbung zu Pensionsfonds zu nutzen, sensible Informationen über andere Kanäle zu verschicken und vom Anbieter nicht über den Vorfall informiert worden zu sein. airBaltic prüft die Lage nach eigenen Angaben mit dem Anbieter, für Aussagen zur Zahl betroffener Kunden sei es zu früh. Die Airline rät, bei Nachrichten, E-Mails und Anrufen in ihrem Namen vorsichtig zu sein, wenn sie zur Eile drängen, Links enthalten oder nach persönlichen Daten fragen. Auch PerlasGo prüft die Lage.
Was Menschen im Baltikum tun können
- Wenn Sie in den letzten vier Jahren SMS von einem dieser Unternehmen bekommen haben, gehen Sie davon aus, dass Ihre Nummer und die damit verknüpften Dienste anderen bekannt sind.
- Stellen Sie für Bank und E-Mail von SMS-Codes auf eine Authenticator-App oder die Bestätigung in der App um, wo der Dienst das anbietet.
- Ändern Sie Passwörter in Konten, die SMS-Codes oder SMS-Reset-Links genutzt haben.
- Seien Sie misstrauisch bei Anrufen und Nachrichten, die Ihre Flüge, Bestellungen, Arzttermine oder Überweisungen erwähnen, und prüfen Sie sie über die offizielle App oder Website.
