Die Anmeldeseite war echt, der Code nicht, und 12.000 Postfächer standen offen
Der Code kommt per E-Mail. Sie klicken auf die Schaltfläche, landen auf microsoft.com/devicelogin, also auf Microsofts echter Seite, und tippen den Code ein. Das ist der ganze Angriff.
Microsofts Digital Crimes Unit teilte am 22. September mit, EvilTokens zerschlagen zu haben, einen über einen Telegram-Laden verkauften Phishing-Dienst mit 1.500 Dollar Aufnahmegebühr und 500 Dollar im Monat. Mit einem Gerichtsbeschluss aus dem Eastern District of Virginia beschlagnahmte sie 50 Websites und schaltete mehr als 150 weitere Domains ab. Die Londoner Metropolitan Police nahm am 11. September zwei Männer im Alter von 32 und 38 Jahren fest; beide kamen gegen Kaution frei, die Ermittlungen laufen weiter. Zwischen Februar und Juni gelangten Kunden des Dienstes in mehr als 12.000 Postfächer bei über 10.000 Organisationen, am häufigsten in den USA, Kanada, Großbritannien, Australien, Indien und Frankreich.
Gerätecode-Phishing funktioniert, weil nichts daran falsch aussieht. Die Anmeldeseite ist echt, die Adresszeile stimmt, und die Zwei-Faktor-Abfrage verhält sich genau wie sonst, denn Sie melden sich tatsächlich an. Gelogen ist nur, wer gefragt hat. Den Code hat der Kriminelle erzeugt, und wenn Sie ihn bestätigen, geht das Zugriffstoken an ihn und nicht an Sie. Ein Passwort wechselt dabei nie den Besitzer, weshalb es hinterher auch nichts bringt, Ihres zu ändern.
Die Regel, die Sie schützt, ist kurz. Ein Gerätecode dient der Anmeldung an etwas, das nur schwer ein Passwort entgegennehmen kann, etwa eine Fernseh-App oder eine Spielkonsole, und der Code muss zuerst auf diesem Gerät erschienen sein. Wenn Sie einen Code in einer Nachricht erreicht und Sie selbst keine Anmeldung gestartet haben, tippen Sie ihn nirgends ein. Microsoft hat einen harten Satz über die Folgen ergänzt, den man sich merken sollte: Gehen Sie davon aus, dass ein übernommenes Postfach innerhalb von Minuten gelesen wurde, nicht von Tagen. Die Datenschutz- und Kontenprüfung von Tendvane geht die Anmelde- und Kontoeinstellungen Ihres PCs durch und sagt Ihnen klar, was offenliegt.