Cyber-Betrug in Echtzeit: Kriminelles Umgehen der Multifaktor-Authentifizierung

Passwortlose Authentifizierungsverfahren mit biometrischer Unterstützung werden immer beliebter

[datensicherheit.de, 23.05.2023] Eigentlich gilt die Multi-Faktor-Authentifizierung (MFA) zur Zeit als eine der sichersten Methoden zum Schutz vor Bankkonten-Betrug: Neben herkömmlichen Anmeldedaten wie Benutzername und PIN bzw. Passwort ist dann ein zusätzlicher Faktor erforderlich, um die Anmeldung erfolgreich abzuschließen – dies kann ein Token oder ein Code sein. „Darüber hinaus werden passwortlose Authentifizierungsverfahren mit biometrischer Unterstützung immer beliebter“, betont Wiebe Fokma, „Director EMEA Global Advisory“ bei BioCatch, in seiner aktuellen Stellungnahme. Der Einsatz verhaltensbiometrischer Technologien ergänzt laut Fokma sichere MFA-Verfahren und bietet einen zusätzlichen Schutz vor Echtzeitbetrug: „Gerade Betrugsformen wie ,Law Enforcement Scams’ erfordern zusätzliche Methoden, um einen zusätzlichen Schutz von Banken und deren Kunden zu gewährleisten.“

Foto: BioCatch

Wiebe Fokma: Herkömmliche Lösungen zur Betrugserkennung reichen nicht mehr aus!

Bei passwortbasierter Multi-Faktor-Authentifizierung kommen Social-Engineering-Attacken zum Einsatz

Cyber-Kriminelle verfügten indes über Methoden, um auch das beste MFA-Verfahren zu umgehen, warnt Fokma und erläutert: „Bei ,einfachen’ passwortbasierten MFA-Verfahren nutzen sie gängige Social-Engineering-Attacken wie Phishing, Smishing oder Vishing.“

Bei den als besonders sicher geltenden Authentisierungsverfahren, etwa auf Basis von Public-Key-Kryptographie und Biometrie, verlegten sich die Betrüger auf Social-Engineering-Angriffe in Echtzeit – zum Beispiel „Law Enforcement Scams“.

Auch Law Enforcement Scam zur Aushebelung der Multi-Faktor-Authentifizierung

Beim „Law Enforcement Scam“ geben sich Hacker demnach als vermeintliche Mitarbeiter von Banken oder seriösen Behörden aus und drängen ihre Opfer in Echtzeit – beispielsweise per Telefon – dazu, sich in ihr Konto einzuloggen und eine Überweisung auszulösen. Auch „WhatsApp“ werde für diese Masche immer beliebter:

„Hier gibt sich der Betrüger als Familienmitglied aus, das sein Smartphone verloren hat und deshalb eine Nachricht von einer unbekannten Nummer versendet. Der vermeintliche Familienangehörige muss dringend eine Rechnung begleichen und fordert das Opfer auf, einen den entsprechenden Betrag auf ein bestimmtes Konto zu überweisen“, erläutert Fokma.

Zusätzliche Sicherheit für Multi-Faktor-Authentifizierung durch Verhaltensbiometrie

Das Problem laut Fokma: „Herkömmliche Lösungen zur Betrugserkennung reichen hier nicht mehr aus. Da sich der Bankkunde selbst in sein Konto einloggt und die Transaktion auslöst, kann der Betrüger sogar die MFA umgehen. Es gibt aber Möglichkeiten, solche Betrugsfälle zu erkennen und zu stoppen.“

Ein wirksames Mittel sei hierzu die Beobachtung des Nutzerverhaltens, „insbesondere wenn dieses vom bisherigen Muster abweicht“. Ein für den Bankkunden bislang untypisches Verhalten könne ein Zeichen dafür sein, „dass ein Betrugsversuch in Echtzeit vorliegt“. Mit Hilfe von Verhaltensbiometrie ließen sich daher auch kriminelle Aktivitäten aufdecken, bei denen der Betrüger einen „legitimen“ Dritten für seine Zwecke einspannt.

Multi-Faktor-Authentifizierung wird ergänzt um Erfassung ungewöhnlicher Verhaltensweisen

„Zu ungewöhnlichen Verhaltensweisen kann es kommen, weil der zu überweisende Geldbetrag und die Kontodaten von einer dritten Person diktiert werden.“ Dadurch sei das Opfer verunsichert, was sich in seinem zögerlichen Verhalten während der Kontositzung äußere. Beim „Mobile Banking“ via Smartphone werde der Anruf zudem auf dem Gerät registriert, und die Bewegung des Mobilgeräts erfolge vom Ohr des Bankkunden (Empfang der Anweisung) zum Gesicht (Eingabe beziehungsweise Bestätigung der Eingabe) und zurück. „Analysen von BioCatch zeigen, dass die Opfer bei rund 40 Prozent der weltweit bestätigten Betrugsversuche während der aktiven Kontositzung ein Telefongespräch führten“, berichtet Fokma.

„Erfolgt die Überweisung am PC, können ziellose Maus-Bewegungen ein zusätzliches Indiz für einen Betrugsfall sein. Denn das Opfer befindet sich im Gespräch mit dem Kriminellen und muss gleichzeitig die Live-Sitzung aufrechterhalten.“ Ein weiteres Zeichen für Echtzeitbetrug seien verzögerte Tastatureingaben, „da der getäuschte Bankkunde auf die Anweisungen des Anrufers wartet, während er die Überweisung tätigt“, führt Fokma abschließend aus.

Weitere Informationen zum Thema:

datensicherheit.de, 18.11.2021
Authentisieren, Authentifizieren und Autorisieren: PSW GROUP erklärt Unterschiede / Insbesondere die Begriffe authentisieren und authentifizieren werden gerne synonym verwendet