Darknet Diaries Deutsch: Die Kunst der Manipulation - Teil 1

Dies ist der erste Teil von „Die Kunst der Manipulation“. Der zweite Teil wird in einer Woche veröffentlicht. Im englischen Original von Jack Rhysider trägt diese Episode den Namen „Rachel“.

Die deutsche Produktion verantworten Isabel Grünewald und Marko Pauli von heise online. Der Podcast erscheint wöchentlich auf allen gängigen Podcast-Plattformen und kann hier abonniert werden.

JACK: Ich hab noch studiert, da hat mich mal'n Betrüger angerufen. Er meinte, ey, ich will dir echt nichts verkaufen oder dir sagen, dass du irgendwas machen sollst oder so. Ich hab nur'n paar heiße Tipps zu ner Aktie und ich wollte die einfach mit jemandem teilen, und du bist einfach der Glückliche, den ich im Telefonbuch gefunden hab. Pass auf – Aktie Z wird nächste Woche steigen. Ich ruf dich nächste Woche wieder an, um dir zu beweisen, dass ich die Wahrheit gesagt habe. Meinte er, und das war's.

Ich dachte mir nur, okay, eigenartiger Anruf, aber egal. Und dann ruft er mich tatsächlich ne Woche später an, und die Aktie, von der er mir erzählt hatte, war wirklich richtig doll gestiegen. Er lag goldrichtig. Er war am Telefon dann total aufgeregt, und erzählte wie viel Geld er damit gemacht hat. Ich meinte: Ey, du hattest einfach nur Glück, lass es dir auszahlen und mach ne schöne Reise.

Er meinte, nein, nein, nein, das ist kein Glück. Es gibt nen Algorithmus, der das präzise vorhersagen kann. Und er wusste auch, welche Aktie als nächstes steigen würde. Ich so, okay, welche wird denn als nächstes steigen? Er sagte es mir und meinte dann, ich soll'n Auge drauf haben. Nächste Woche würde er wieder anrufen. Also, es wieder vergeht eine Woche, und derselbe Typ ruft mich an und meinte: Boom! Siehst du, was ich meine? Er war wieder total aufgedreht, und ich meinte, nee weiß ich nicht, was du meinst, aber lass mich den Kurs checken. Ich hab dann nachgeschaut und wieder hatte er recht. Ich so, krass, gut gemacht, aber ich glaube, du hattest wieder nur Glück. Er meinte, nein, er macht das jetzt seit nem Jahr und liegt jedes Mal richtig. Er hat mir dann mehr über den Algorithmus erzählt, wie er verschiedene Indikatoren analysiert und die Börse extrem genau beobachtet und einfach alles perfekt im Griff hat.

Dann erzählt er mir von ner anderen Aktie, die seiner Meinung nach garantiert steigen würde. Ich so, okay, ruf mich in einer Woche wieder an. Mal sehen, ob du recht hast. Und tatsächlich, nach einer Woche hab ich nachgeschaut, er hatte wieder recht. Dreimal hintereinander lag er richtig. Er rief mich dann an und meinte, Alter! Ich so, Alter! Er so, siehst du das? Ich sagte, ja, ich seh's. Wie machst du das? Er meinte nur, ich hab den Code geknackt.

Dann stellte er seine Falle auf. Er sagte, hör zu, das nächste ist das krasseste, das ich je gesehen hab. Es gibt ne Firma, deren Aktienkurs wird explodieren, aber das Beste ist, die sind in der ersten Investorenrunde, du kannst also ganz am Anfang einsteigen, wenn du willst. Wie viel willst du investieren? Zehntausend? Du hast drei Aktien verpasst. Du willst doch nicht noch eine verpassen, oder? Ich so, ich bin Student, Mann. Ich hab dreißig Dollar auf dem Konto. Ich hab keine zehntausend. Er so, ah, Mist, und legt auf. Aber das hat mich fasziniert. Wer war der Typ, der immer richtig lag? Was war sein Algorithmus? Ich hab's dann recherchiert und dann Börsenmakler gefragt, wie diese richtigen Vorhersagen möglich sind. Er meinte, der Typ ist'n Betrüger. Ich so, eyyyy, ich. Wie bitteschön hat er denn die Aktien jedes Mal richtig vorhergesagt? Und dann hat er's mir erklärt. Der Typ, meint er, hat in der ersten Woche ne ganze Menge Leute angerufen, der Hälfte hat er gesagt, die Aktie würde steigen, der anderen, dass sie fallen würde. Dann hat er die Leute zurückgerufen, bei denen er richtig lag, und der Hälfte von denen hat er von ner anderen Aktie erzählt, die steigen wird, der anderen Hälfte natürlich, dass die Aktie fallen wird. Dann hat er's ein drittes Mal gemacht, die Leute zurückgerufen, bei denen er zweimal richtig lag, der Hälfte gesagt, die Aktie wird steigen, und der anderen, sie wird fallen. Übrig geblieben ist dann nach drei Runden diese kleine Gruppe von Leuten, bei denen er jedes Mal richtig lag. Also: Eigentlich hat er nur ein kleines Mathe-Spiel mit seinen Opfern gespielt, aber ich finde, das ist schon'n super Betrug. Der Typ machte auf mich den Eindruck, als hätte er alles im Griff - er lag ja jedes Mal richtig. Was ich halt nicht wusste, war, dass es überall auch Leute gab, denen er was falsches gesagt hatte. Die wundern sich wahrscheinlich heute noch, was das für'n eigenartiger Geselle war, der sie da angerufen hat.

Manipulation beginnt mit Vertrauen

JACK: Hey Leute, in dieser Episode hören wir Geschichten von Rachel Tobac, sie ist eine der besten Social Engineers, die ich je getroffen hab. Rachel, fangen wir mit deiner Geschichte an. Wie bist du - ja schon als Kind - auf diese Art von Arbeit gekommen?

RACHEL: Okay, meine Entstehungsgeschichte. Also, das erste Mal, dass ich je daran gedacht hab, irgendeine Art von Hackerin zu sein, war, als mir klar wurde, dass Spionin ein Beruf ist, den Leute machen, und ein Beruf, den Mädchen machen können. Das hab ich durch den Film Harriet the Spy gelernt. Sie schleicht überall rum, in fremden Häusern und spioniert Leute aus. Sie hat überall ihr Notizbuch dabei. Sie schleicht sich durch den Speiseaufzug im Haus dieser reichen Frau und wird erwischt, und ich dachte nur, krass – ich hatte keine Ahnung, dass ein Mädchen eine Spionin sein kann. Das wurde dann im Grunde meine Persönlichkeit während meiner Kindheit.

JACK: Bist du dann da schon ins Computer-Thema eingestiegen oder erst später?

RACHEL: Nein, da noch nicht, ich wollte ins Thema einsteigen – ich bin in der sechsten Klasse zu meiner Beratungslehrerin gegangen und hab gesagt, hey, ich möchte diese Programmierkurse belegen. Meine Beratungslehrerin meinte, weißt du was, Rachel? Du willst diese Programmierkurse nicht belegen. Da sind vierzig Jungs in dem Kurs. Du wärst das einzige Mädchen dort. Nimm lieber Hauswirtschaft.

JACK: Nicht dein Ernst...

RACHEL: Ich weiß, und ich als Kind war so, ah ja, stimmt. Ich will ihr gar nicht die Schuld dafür geben, dass ich nie programmieren gelernt hab. Ich hätte es ja später im Leben machen können. Leute probieren das die ganze Zeit später im Leben. Aber nein, ich hab tatsächlich nie eine einzige Zeile Code geschrieben. Ich hab am Ende meinen Abschluss in Neurowissenschaften und Verhaltenspsychologie gemacht. Ich war Lehrassistentin für Statistik. Ich bin nie ins Programmieren eingestiegen.

JACK: Neurowissenschaften?

RACHEL: Ja. Also, mein Weg zur Infosec und zum Hacken ergibt auf den ersten Blick überhaupt keinen Sinn. Er ist fast komplett nicht-linear. Wenn ich zurückblicke, passt es für mich trotzdem. Also, ich hab meinen Abschluss in Neurowissenschaften und Verhaltenspsychologie gemacht. Ich hab am Wochenende Impro-Theater gemacht. Ich war Lehrerin. Ich wollte dann in die Tech-Branche einsteigen. Ich bin nach San Francisco gezogen. Ich war Community-Managerin bei einem Tech-Unternehmen. Ich hab dann ein UX-Research-Team geleitet. Während ich bei diesem Tech-Unternehmen war, war mein Mann die ganze Zeit in der Security. Ich hab meinen Mann übrigens in der Highschool kennengelernt, als ich fünfzehn Jahre alt war. Also meinte mein Mann, hey, ich hab von dieser Sache namens Defcon gehört. Ich glaube, das wäre was für dich. Und ich so, äh, nein danke. Ich glaube, das mach ich nicht.

Die Glaskabine: Social Engineering live

JACK: Okay, also die Defcon ist die jährliche Hacker-Konferenz in Las Vegas. Da geht's echt wild zu. Du siehst da Leute, aus deren Rucksäcken kucken komische Antennen raus, es gibt Vorträge darüber, wie man so gut wie alles auf einem Computer umgehen kann, und da sind auch jede Menge Villages, also Ecken, die sich auf bestimmte Bereiche des Hackens konzentrieren. Das Social Engineering Village ist sehr beliebt, und als Rachels Mann da rein ging und sah, was da lief, rief er sie sofort an, um ihr davon zu erzählen.

RACHEL: Die machen da diese Sache, wo sie dich in eine Glaskabine stecken – die ist schalldicht – vor einem Publikum von fünfhundert Leuten. Du rufst Unternehmen an und versuchst, Informationen aus ihnen rauszuholen, am Telefon. Es ist genau dieselbe Fähigkeit, die du zum Beispiel jeden Monat nutzt, um Rechnungen runterzuhandeln. Wenn du diese Unternehmen anrufst, dann baust du eine Beziehung auf und bekommst einen satten Rabatt auf Sachen wie die Kabelrechnung. Das wird dir gefallen.

JACK: Und sie so, äh nein danke, diesmal nicht.

RACHEL: Er rief mich nochmal an und meinte, ich hab gerade noch mehr von diesen Anrufen gesehen, diese Social-Engineering-Anrufe. Du musst einfach kommen. Ich verspreche dir, wenn's dir nicht gefällt, gehen wir einfach ins Casino. Nebenbei, ich liebe Glücksspiel. Also hab ich gesagt, okay, gut. Ich pack meine Sachen. Ich nehme den ersten Flug am Samstagmorgen. Wie du weißt, wenn du bei der Defcon bist, ist Samstagmorgen – da ist die Defcon zu einem Drittel vorbei, wenn nicht mehr. Also komm ich da an und seh ein paar Anrufe.

JACK: Sie hat sich dann den Social-Engineering-Wettbewerb angesehen. Es gibt da vierzehn Teilnehmer, und die haben im Grunde die Aufgabe, sich genug Informationen zu beschaffen, um sich in ein Unternehmen zu hacken - alles durch Telefonanrufe. Man muss sich also vorbereiten und herausfinden, welche Person vielleicht ein leichtes Ziel wäre und was deren Telefonnummer ist. Man sollte aber auch Backup-Nummern haben, falls die Person, die man anruft, nicht rangeht oder auflegt. Sobald man dann jemanden live am Telefon hat, erhält man Wettbewerbspunkte, wenn Sicherheitsrelevantes verraten wird. Wenn man sie also dazu bringen kann, einem zu sagen, welches Betriebssystem sie nutzen, bekommt man einen Punkt oder eine Flagge. Von da aus kann man vielleicht herausfinden, welchen Browser sie nutzen, man kann Infos über ihre Sicherheitsleute erhalten oder welchen Hausmeisterdienst sie haben.

Man kann solche Fragen natürlich nicht einfach direkt stellen – das wäre viel zu verdächtig, man muss einen Vorwand haben. Das heißt, man muss so tun, als wär man jemand anderes, vielleicht jemand, der in einer anderen Abteilung arbeitet, oder jemand, der ganz neu im Unternehmen ist und nichts weiß und dringend bis zum Ende des Tages einen Bericht fertigstellen muss. Das Ganze ist auf jeden Fall nicht einfach, und es ist intensiv. Es steht viel auf dem Spiel, denn wenn du am Telefon erwischt wirst, bist du verbrannt und bekommst keine Punkte. Das Beste ist, dass das Publikum alles live mitverfolgen kann.

RACHEL: Ich seh also ein paar Anrufe und denk mir, oh krass – das bin ich. Ich kann das. Ich bin dafür geboren. Mein Mann meinte: „Ich weiß, hab ich dir doch gesagt!“

JACK: Und dann hat sie sich gefragt: Okay, wie kann ich da mitmachen? Das ist gar nicht so schnell getan. Du musst eine Bewerbung einreichen, und ein Video von dir erstellen, mit dem du aus der Masse herausstichst.

RACHEL: Ich dachte, hey, ich hab genau das Richtige. Ich hab dieses Video im Twin-Peaks-Stil gemacht, um sie zu überzeugen, mich mitmachen zu lassen, und irgendwie haben sie zugestimmt. Hunderte von Leuten bewerben sich und vierzehn Teilnehmer werden jedes Jahr ausgewählt.

JACK: Dann wird dir mitgeteilt, welches Unternehmen dein Angriffsziel ist, im Voraus, damit du dich informieren kannst – so ausführlich, wie du möchtest. Und tatsächlich will man so viele Informationen wie es nur geht über das Unternehmen sammeln, beispielsweise durch Google-Suchen oder einfach durch das Durchforsten öffentlich zugänglicher Seiten. Vielleicht kommt man dann an ne Liste mit Namen und Telefonnummern, damit du, wenn du dann an der Reihe bist, genau weißt, wen du anrufen und welche Fragen du stellen musst. Es ist echt ziemlich aufwendig, sich auf den Moment vorzubereiten, wenn man dann dran ist, jemanden anzurufen. Man könnte locker nen ganzen Monat damit verbringen, alles über das Zielunternehmen zu erfahren, damit du dann in der Kabine glänzen kannst.

RACHEL: Es war eine große Beratungsfirma, mehr kann ich wirklich nicht sagen.

JACK: Die Unternehmen wissen natürlich nicht, dass sie gleich gehackt werden sollen. Es ist wirklich ganz besonders bei sowas zuzuschauen. Im Grunde ein Live-Hack mit einem unwissenden Ziel. Sie sammelt also so viele Infos wie möglich und fährt dann zur Defcon, um teilzunehmen.

RACHEL: Ich geh in diese Glaskabine.

JACK: Jetzt sind alle Augen und Ohren auf sie gerichtet. Sie muss dann nicht nur eine Person am Telefon dazu bringen, ihr Informationen preiszugeben, die sie ihr eigentlich nicht geben dürfte, sondern sie muss das auch noch vor Publikum tun. Aber sie hat früher Improvisationstheater gespielt, und sie war absolut bereit dafür.

RACHEL: Ich kontaktiere also mein Zielunternehmen. Ich tu so, als wäre ich eine verwirrte Mitarbeiterin, die gerade anfängt, und ich einen Treffer nach dem anderen (für erbeutete Datenpunkte). Ich komm also aus der Kabine raus und denk, vielleicht hab ich's okay gemacht. Und dann: Standing Ovations. Ich so, oh, vielleicht hab ich's besser als okay gemacht. Ich hab am Ende den zweiten Platz belegt, beim allerersten Mal, dass ich jemanden gehackt hab. Dieses erste Mal, jemanden zu hacken, passierte dann auch noch in einer Glaskabine vor fünfhundert Leuten.

JACK: Krass, zweiter Platz. Natürlich will sie jetzt mehr. Das war ziemlich lustig alles zusammen - die Nervosität, das Adrenalin, Hacken und Social Engineering, sie wollte mehr davon. Sie bewirbt sich, um im nächsten Jahr dann wieder teilzunehmen.

Vom Wettbewerb zur Karriere

RACHEL: Dann hab ich im zweiten Jahr den zweiten Platz belegt und im dritten Jahr auch den zweiten Platz.

JACK: Diese drei Jahre Teilnahme am Social-Engineering-Wettbewerb und alle drei Jahre den zweiten Platz zu belegen, das war der Beginn ihrer Karriere im Social Engineering.

RACHEL: Nachdem die Leute angefangen hatten, meinen Erfolg bei der Defcon zu sehen – weißt du, sie sahen mich auf der Bühne und meinten, hey, ich möchte mit dir reden. Kannst du in meinem Unternehmen darüber sprechen, wie du hackst und wie wir dich erwischen können? Ich lebe im Silicon Valley, also hatte ich echt Glück, dass Leute angefangen haben, mich zu bitten, Dinge zu tun, die ein Job sind, oder? Ich so, oh, ich glaub, ich muss ein Unternehmen gründen? Also hab ich 2017 SocialProof Security gegründet. Ich meine, ich lebe im Silicon Valley. Ich hatte so viel Glück – einige meiner ersten Kunden waren Facebook, Snapchat, PayPal, Twitter, und von da an war es US Air Force, NATO, Uber, Google, Cisco. Und ich denk mir so, oh mein Gott. Ich hab das Gefühl, ich hatte einfach echt Glück in diesem Leben.

JACK: Das Verrückte ist, dass ich die Geschichte echt häufiger gehört hab: jemand, der kein Interesse am Hacken hat, geht zur Defcon, sieht da das Social-Engineering-Zeug, will mitmachen, macht es ziemlich gut im Wettbewerb und entscheidet sich dann, das beruflich zu machen und ein eigenes Unternehmen zu gründen. Es ist eigentlich erstaunlich, wie viele Leben sich verändert haben, nachdem Leute bei der Defcon waren.

RACHEL: Es ist total wild. Wenn du mich vor Jahrzehnten gefragt hättest, was denkst du, was du mal machen wirst, wäre das Wort „Hackerin“ nicht mal in den Top-100 gewesen, weil ich nicht wusste, dass es möglich ist und nicht wusste, dass es ein Job sein kann, und ich dachte sicher nicht, dass ich gut darin sein würde. Meine Vorstellung von einem Hacker im Fernsehen oder in Filmen, war normalerweise ein Typ mit einem Hoodie der in einem Keller sitzt. Ich trage Hoodies und Keller sind okay, aber ich hätte nicht gedacht, dass ich gut genug sein würde. Also, ja, du musst dich einfach in der Position sehen, und es gab mehrere Frauen, die zu mir kamen und sagten, hey, ich hab dich in diesem Wettbewerb gesehen, hätte nicht gedacht, dass es für Leute wie mich möglich ist, und jetzt mach ich das beruflich.

JACK: Sie hat ein Unternehmen namens SocialProof Security gegründet, das im Grunde Social Engineering auf Auftragsbasis anbietet. Dann ging's los, dass die Unternehmen sie beauftragten, herauszufinden, ob sie selbst anfällig für Social-Engineering-Angriffe sind und was sie tun können, um die zu verhindern. Ich bin ganz klar fasziniert von Social-Engineering-Geschichten. Wie schafft man es, sich nur mit seiner Stimme oder seinem Charme in ein Unternehmen einzuhacken?

Der Angriff auf die Bank

RACHEL: Also, eine Bank hat mich beauftragt, um einen Penetrationstest bei ihnen zu machen. Im Grunde haben sie mich angeheuert, um sie zu hacken, und sie sagten mir, dass ich per Telefonanruf, E-Mail oder Chat hacken kann, und meine Aufgabe war es, mehrere Konten zu übernehmen und den Zugriff zu stehlen – im Grunde Geld von den Konten zu stehlen.

JACK: Du willst das Geld von Kundenkonten klauen?

RACHEL: Ja, und wenn wir einen Penetrationstest machen, ist das sehr speziell. Ich will kein Geld von normalen Leuten stehlen. Das wäre schrecklich und echt beängstigend für Bankkunden, einfach zufällig Geld gestohlen zu bekommen wegen eines Pen-Tests. Also erstellen wir gefälschte Bankkonten. Wir arbeiten mit einem Team im Hintergrund zusammen, sodass die Support-Organisation für alle Zwecke einen echten Kunden sieht. Aber wir haben gefälschte Bankkonten erstellt, damit ich sie stehlen kann, ohne echten Leuten zu schaden, aber das Support-Team weiß nicht, dass sie gefälscht sind.

JACK: Okay, das Unternehmen ist eine Bank und ihr wird gesagt, sie dürfe den Kundensupport kontaktieren, um zu sehen, ob sie dann auf ein Kundenkonto zugreifen kann. Sie hat die Wahl zwischen einem Telefonanruf, einer E-Mail oder einem Chat, um Kontakt aufzunehmen.

RACHEL: Genau. Also hab ich mit der Chat-Funktion angefangen und mich als Kundin ausgegeben, um zu sehen, ob ich ein Kundenkonto nur durch Chatten übernehmen kann. Also hab ich den Bank-Support-Leuten meine Leidensgeschichte erzählt – ich hab den Zugang zu meinem Telefon, meiner E-Mail, meinem Laptop verloren. Ich hab mich verlaufen und hatte eine durchzechte Nacht und bin im Ausland unterwegs. Die ganze Geschichte also. Und ich brauch wirklich dringend Zugang zu meinem Bankkonto, weil ich festsitze und kein Geld hab. Als erstes versuche ich bei einer Kontoübernahme normalerweise zu sehen, ob ich sie dazu bringen kann, die E-Mail-Adresse oder die Telefonnummer im Konto zu ändern, denn wenn ich das schaffe, dann kann ich im Grunde den Admin im Konto ändern. Einfach durch das Ändern der E-Mail-Adresse kann ich dann das Passwort zurücksetzen oder auf eine Telefonnummer zurücksetzen, die ich kontrolliere. Es gibt SIM-Swapping und all das, was danach passieren könnte, aber so funktioniert es im Grunde. Sie meinten, oh, naja, das können wir nicht machen, weil wir das Passwort-Reset nur an die E-Mail-Adresse schicken dürfen, die bereits in Ihrem Konto ist.

JACK: Gut gemacht. Das ist das Protokoll, an das sie sich halten sollen.

RACHEL: Genau richtig, also, gute Arbeit, Bank – schrecklich für mich als Pen-Testerin. Oft muss ich beide Seiten des Spiels spielen. Ich muss das Unternehmen trainieren und ihre Protokolle aktualisieren, um Leute wie mich davon abzuhalten, reinzukommen. Aber wenn ich sie zuerst angreife, ist es so frustrierend. Also versuche ich, mit mehreren anderen Support-Leuten zu chatten. Ich versuch's immer wieder. Sie machen keine Ausnahmen für mich. Egal welcher Pretext – also wer ich vorgebe zu sein – egal wie ich sie kontaktiere, was ich sage, meine Geschichte, nichts. Ich entscheide mich, zu telefonbasierten Angriffen zu wechseln, weil ich da tendenziell viel erfolgreicher bin. Also wechsle ich zu Telefonanrufen. Die hinterlassen weniger Papierspuren. Leute werden tendenziell weniger misstrauisch, weil ich Vertrauen aufbauen kann, sie können meine Stimme hören, sie können hören, wie vertrauenswürdig ich klinge, und wenn ich anrufe, kann ich auch Telefonnummern-Spoofen, und das hilft mir oft, Zugang zu bekommen.

JACK: Das Call-ID-Spoofing, das Fälschen von Telefonnummern – wie ist das überhaupt noch möglich? Man kann sich im App Store eine App herunterladen und mit nur wenigen Fingertipps die Nummer ändern, von der aus man anruft, sodass sie eine beliebige Nummer eurer Wahl anzeigt. So kann man den Anschein erwecken, dass der Anruf nicht tatsächlich von dem Ort stammt, von dem aus man tatsächlich anruft. Als ich jung war, habe ich das mit E-Mails gemacht. Ich fand's super, meine Freunde zu foppen, indem ich ihnen E-Mails vom FBI schrieb oder gleich als Präsident der Vereinigten Staaten, und geschrieben hab ich dann sowas wie: „Bill, du steckst in ernsthaften Schwierigkeiten. Wir kommen dich holen“ und mein Freund Bill flippte total aus. Das hat riesigen Spaß gemacht. Doch dann wurde das E-Mail-Protokoll aktualisiert. Irgendwann um 2006 herum wurden SPF-Einträge eingeführt, die sicherstellen, dass die E-Mails tatsächlich von der Adresse stammen, von der aus sie versendet werden. Damit war dem E-Mail-Spoofing ein Ende gesetzt. Natürlich konfigurieren nicht alle Unternehmen ihre SPF-Einträge ordnungsgemäß, und man könnte das Spoofing immer noch umgehen, aber zumindest gibt es die Möglichkeit, jemanden daran zu hindern, deine E-Mail zu fälschen. Bei Telefonen jedoch - die es schon viel länger gibt als E-Mails -, handelt es sich meiner Meinung nach um eine ungepatchte Sicherheitslücke. Telefonnummern lassen sich nach wie vor fälschen.

RACHEL: In den USA ist es im Moment noch möglich, weil alle Telekommunikationsanbieter zur gleichen Zeit dieselben Entscheidungen treffen müssen, und solange nicht alle Unternehmen zusammenkommen und dieselben Entscheidungen treffen, ist es wirklich schwer, die passende Lösung umzusetzen. Also ist Spoofing zumindest in den USA für mich immer noch möglich.

JACK: Da die Telefongesellschaften sich weigern, das Problem zu beheben, bestand die Lösung darin, die Verabschiedung eines Gesetzes voranzutreiben, das das Fälschen von Telefonnummern unter Strafe stellt. Es scheint so, als würden sich die Telefongesellschaften einfach auf die Polizei verlassen, um Menschen vom Spoofing abzuhalten. Aber das ist doch eigentlich ne komische Art, Sicherheit zu gewährleisten, oder? Die Telefongesellschaften könnten das Problem beheben, wenn sie wollten. Doch während ich es als Sicherheitslücke betrachte, haben die Telefongesellschaften in der Vergangenheit immer wieder gesagt: „Moment mal, warum nutzt ihr Telefonnummern überhaupt als Identifikatoren? Dafür waren sie nie gedacht.“ Und damit weisen sie uns die Verantwortung zu. Lange Zeit hatten unsere Telefone halt keine Displays, bis die Telefongesellschaften die Anrufer-ID eingeführt haben, sodass unsere Telefone anzeigen, wer anruft. Sie haben diese Funktion in den Neunzigern eingeführt und dafür noch einen Aufpreis berechnet, heute sind alle Mobiltelefone standardmäßig damit ausgestattet. Deshalb sage ich: Telefonanbieter, schaltet die Anrufer-ID aus, wenn ihr nicht wollt, dass wir sie als Identifikationsmerkmal nutzen. Oder passt das System so an, dass Telefonnummern nicht mehr gefälscht werden können.

Wie auch immer, Rachel versuchte, sich Zugang zum Konto einer Kundin zu verschaffen – nennen wir die Kundin Kelly –, und sie fand heraus, welche Telefonnummer Kelly hatte. Dann fälschte Rachel ihre Nummer so, dass es so aussah, als würde sie von Kellys Telefon aus anrufen.

RACHEL: Ich spoofe meine Telefonnummer. Ich lass es so aussehen, als wäre ich Kelly auf dem Konto. Übrigens, auf Datenbroker-Seiten, wenn wir OSINT machen, also systematisch öffentliche Informationen sammeln, können wir normalerweise die Telefonnummern der meisten Leute innerhalb von ein oder zwei Minuten finden. Also wenn wir suchen, wissen wir einfach, okay, das ist Kelly. Das ist Kellys Telefonnummer. Ich werde die spoofen. Ich richte das ein. Es kostet mich normalerweise ungefähr einen Dollar mit den Tools, die im App Store verfügbar sind. Und die sind nicht stark reguliert. Man kann sie einfach im App Store finden. Also ruf ich an.

JACK: Kannst du mir ein Beispiel geben, wie du bei diesen Anrufen klingst?

RACHEL: Du willst, dass ich schauspielere.

JACK: Ja.

RACHEL: Okay. Okay, eine Sekunde. Ich muss in die Rolle kommen. Ich werde meine Klamotten wechseln, damit ich in die Rolle komme. Warte kurz. Okay, bin bereit. Klingelingeling...

JACK: Danke, dass Sie die Bank anrufen. Wie kann ich Ihnen helfen?

RACHEL: Hi. Es tut mir so leid – mein Name ist Kelly Smith. Also, ich bin gerade unterwegs und hab gerade meinen Laptop verloren. Mein Telefon funktioniert nicht. Ich kann auf keins meiner Gelder zugreifen. Ich dreh hier durch. Können Sie mir bitte, bitte helfen?

JACK: Das war gut. Du brauchst nicht weiterzumachen.

RACHEL: Danke.

JACK: Also, ja, die haben da so ein Skript, das sie durchgehen, und fragen dann einfach: „Okay, hast du die letzten vier Ziffern deiner Telefonnummer oder was auch immer nötig ist, um dich zu verifizieren?“ War das deine Herausforderung, oder was ist dann passiert?

RACHEL: Nein. Diese Bank kannte KBA, also wissensbasierte Authentifizierung, Sachen wie, was ist deine Adresse? Was sind die letzten vier Ziffern deiner Telefonnummer? Diese Bank weiß, dass diese Informationen sehr leicht online zu finden sind, also nutzen sie keine KBA, wissensbasierte Authentifizierung, um deine Identität zu bestätigen. Sie nutzen normalerweise MFA, Multi-Faktor-Authentifizierung. Das ist gut. Das ist genau das, was ich empfehle. Schick einen Code an die E-Mail-Adresse, die hinterlegt ist, und lass sie ihn dir vorlesen, anstatt diesen Prozess durchzugehen, die Identität mit Informationen zu verifizieren, die ein Angreifer in fünf Minuten online finden kann. Das ist also gut, aber als Angreiferin ist das eine Herausforderung, weil ich keinen Zugang zu dieser E-Mail-Adresse hab. Wenn ich eine Telefonnummer spoofe, kann ich keine Textnachrichten empfangen, und wenn sie zurückrufen, werde ich nicht diejenige sein, die diesen Anruf beantwortet. Ich spoofe nur. Es sieht so aus, als würde ich anrufen, aber ich hab keinen Zugang. Jetzt könnte ich natürlich SIM-Swapping machen und viele Kriminelle tun das auch, aber für diesen Pen-Test ist das nicht das, was ich teste. Also sagen sie, okay, wir haben hier einen Sonderfall. Lassen Sie mich sehen, ob ich mit meinem Manager sprechen kann und Sie ein Foto von Ihrem Führerschein, Ihrer Sozialversicherungskarte und einer Stromrechnung einschicken können. Ich denk sofort, okay, Jackpot. Wir sind drin. Die andere Hälfte von unserer Firma SocialProof Security ist mein Mann, Evan. Er macht das ganze technische Zeug. Ich mach das ganze Human-Hacking-Zeug.

JACK: Das ist großartig, ich brauch nämlich einen gefälschten Führerschein. Ich kann's kaum erwarten zu hören, wie du einen gefälschten Führerschein bekommen hast.

RACHEL: Okay, also mein Mann Evan, macht sich an die Arbeit, einen Führerschein, eine Sozialversicherungskarte und eine Stromrechnung zu bearbeiten, mit den genauen Informationen, die sie für dieses Konto erwarten, die wir wiederum über eine Datenbroker-Seite finden können. Also hoffen wir, dass dieses Unternehmen die tatsächliche Führerscheinnummer und Sozialversicherungsnummer nicht kennt, und sie nur sicherstellen, dass der Name und die Adresse, die im Konto sind, mit diesen Dokumenten übereinstimmen. Ich kann diese Informationen durch OSINT finden, und hab oft bemerkt, dass wenn sie nach dieser Art von Dokumenten fragen, sie die richtigen Infos selbst nicht kennen. Sie hoffen nur, dass es übereinstimmt, und hören an der Stelle auf. Also...

JACK: Also brauchtest du keinen echten Führerschein, keine Sozialversicherungskarte – du brauchtest nur ein JPEG, richtig?

RACHEL: Richtig.

JACK: Das ist der Trick. Photoshop macht das für dich.

RACHEL: Ja, Photoshop. Wir haben die ganze Nacht an diesen Führerscheinen, Sozialversicherungskarten und Stromrechnungen der Konten gearbeitet, die wir hacken wollten. Ich schicke der Bank also um 8:00 Uhr morgens am nächsten Tag eine E-Mail. Ich erzähle ihnen meine Geschichte. Ich erzähle ihnen den Sonderfall, den wir mit dem Support vereinbart haben. Ich schicke ihnen den Führerschein und die Sozialversicherungskarte und die Stromrechnung. Um 9:00 Uhr morgens hab ich vollen Admin-Zugang zum Bankkonto. Ich hab es so geändert, dass es von meiner Angreifer-E-Mail-Adresse kontrolliert wird, und ich kann das ganze Geld auf dem Konto stehlen. Also, sobald ich endlich drin bin, hab ich Zugang zu allem. Ich nutze dieselbe Methode immer wieder. Ich bekomme im Laufe des Tages noch Zugang zu zwei weiteren Konten. Ich verteile die Anfragen am Ende, damit wir keinen Verdacht erregen mit immer derselben Angriffsmethode. Am Ende haben wir jedes Bankkonto übernommen, das wir hacken sollten, und das innerhalb von zwei Tagen.

JACK: Das ist wirklich beeindruckend: Es ist die schiere Kraft der menschlichen Stimme, ihre Fähigkeit, zu überzeugen, zu bewegen, zu manipulieren – und das alles mit einem einfachen Telefonanruf. Es macht auch deutlich, wie anfällig vor allem der Kundenservice für diese Art von Betrug ist. Wenn man da einer sanften Stimme begegnet, die einem eine traurige Geschichte erzählt, diese aber in Freundlichkeit verpackt ist, rührt das das Herz. Man ist sofort bereit zu helfen, besonders wenn man gerade erst mit einem echten Miesling telefoniert hat, der einen wegen zehn Cent zu viel angebrüllt hat. Im Gegensatz dazu fällt es bei einer freundlichen Stimme, die wirklich um Hilfe bittet, sehr schwer, Nein zu sagen.

RACHEL: Ich weiß, dass es in vielen dieser Organisationen Sonderfälle gibt, also helfe ich Unternehmen zu sagen, okay, wir haben diesen Pen-Test gemacht. Wir haben herausgefunden, was der Sonderfall ist. Wir haben herausgefunden, wie wir Zugang bekommen haben. Wie stellen wir sicher, dass wir das nächste Mal nicht wieder in diese Falle tappen, wenn die echten Kriminellen hier ankommen? Also helfe ich ihnen dann mit – okay, lassen Sie uns ein paar Sonderfälle hintereinander einrichten, damit wir so was wie einen Rückruf haben. Das würde Spoofing vereiteln. Wenn Sie das nicht nutzen wollen, können Sie die E-Mail-Verifizierung nutzen, Einmal-Passwörter, einen Code oder einfach ein Wort an die E-Mail senden, die hinterlegt ist, und es vorlesen lassen, SMS-Verifizierung. Okay, sie behaupten, sie rufen dich von dieser Telefonnummer an, aber vielleicht spoofen sie die nur. Schauen Sie, ob sie eine Textnachricht vorlesen können. Rückrufe vereiteln Spoofing. Service-Codes, PINS oder mündliche Passwörter – wenn es irgendeine Art von internem Support-Ticket ist, können Sie einen Manager einbeziehen. Es gibt so viele Wege, das richtig zu machen, dass ein riesiger Teil des Pen-Tests nicht nur ist, das Unternehmen zu hacken, sondern dem Unternehmen zu helfen herauszufinden, was ist ein praktischer Weg, wie wir diese Sonderfälle in Zukunft lösen können, um die Identität richtig zu verifizieren und es schwerer für dich zu machen, das nächste Mal reinzukommen. Denn ich geh rein, ich mach es schwerer für mich, als Angreiferin reinzukommen, und dann im nächsten Jahr bin ich so, oh mein – das ist so schwer für mich reinzukommen bis zu dem Punkt, an dem ich nicht mehr reinkomme, und das ist, wenn ich sage, okay, Sie haben alles getan, was Sie tun können.

JACK: Und hier endet Teil 1 – an dem Punkt, an dem ein Pen-Test nicht nur Schwachstellen aufdeckt, sondern dazu beiträgt, die Sicherheitsprozesse eines Unternehmens dauerhaft zu verbessern. In Teil 2 hört ihr, wie Rachel mit Vertrauen, Impro und überzeugenden Geschichten selbst dort Wege findet, wo Unternehmen sich längst gut geschützt glauben.

Diese Episode wurde im englischen Original von Jack Rhysider erstellt. Den Text haben Judith Hohmann und Marko Pauli übersetzt und gesprochen.