Már több éve tudni, hogy a telefonhálózatok kommunikációja titkosítási szempontból nem biztonságos, mégsem történt azóta semmilyen előrelépés az ügyben. Ennek meg is lett az eredménye: a német O2-Telefonica nevű telekommunikációs cég több ügyfelének bankszámláját is megcsapolták ismeretlen támadók – írja a német Süddeutsche Zeitung napilap.
A hackerek az úgynevezett Signal System No. 7, másnéven SS7 protokoll sérülékenységét használták ki. Ezt a szabványt még 1975-ben alakították ki, ez a távközlési szolgáltatások működéséhez elengedhetetlen, amolyan „mágikus ragasztó”: ezt használják egymás közti hálózati kommunikációra és forgalomirányításra a különféle telekom hálózatok.
Mint korábban kiderült, az SS7 kémkedési célokra is felhasználható: ha valaki kihasználja a sebezhetőséget, hozzáférhet az ügyfelek üzeneteihez, hívásaikat átirányíthatja, továbbá könnyedén
Az még nem ismert, hogy kik lehettek a támadók, vagy miképp fértek hozzá a hálózathoz, de a jelentésekből kiderül, miként károsították meg áldozataikat. A kiszemeltnek először adathalász (phishing) levelet küldtek, amelyekkel kicsalták a bankszámlájukhoz tartozó online bejelentkezési adatokat.
Ez még magában nem volt elegendő ahhoz, hogy pénzt is leemeljenek számlájukról, mivel Németországban kétfaktoros azonosítást használnak. Ez azt jelenti, hogy a bank egy SMS-ben küldött kódot is bekér, mielőtt az ügyfél pénzt szeretne mozgatni.
Itt jött képbe az SS7: a hackerek saját számukra irányították át a megerősítéshez szükséges SMS-eket,jellemzően az éjszaka közepén, amikor az áldozat feltehetőleg az igazak álmát aludta. Ezután jóváhagyták a tranzakciót, és
A biztonsági szakemberek már évek óta próbálják felhívni a figyelmet az SS7 sebezhetőségére, de a szolgáltatók még mindig nem váltottak biztonságosabb protokollra, mivel a folyamat akár évekig is eltarthat. 2016-ban nagy megdöbbenést keltett, amikor a CBS csatorna 60 Minutes című műsorában egy biztonsági szakértő élőben törte fel Ted Lieau kongresszusi képviselő telefonját, méghozzá úgy, hogy mindössze a telefonszámát tudta.
Ehhez szintén a SS7-et használta ki. Azóta bár nem történt súlyos bűncselekmény (vagy nem tudunk róla), de úgy tűnik a kiberbűnözők elkezdték felfedezni és kihasználni a lehetőségeket – ennek riasztó példája a mostani német eset is.
