Datenklau bei Verbindung: iPhone - Auto?

[st4ckola]

Guten Tag zusammen,

scheinbar wurde der paypal-Account meines Bruders gehackt. Es wurde hier ein nicht-autorisierter Betrag abgebucht, für zwei Artikel, die er nicht bestellt hat. Die Lieferadresse entspricht auch nicht seiner eigenen sondern der eines Parkplatzes in der Nähe des Frankfurter Flughafens.

Nachdem wir kurz die Möglichkeiten durchgegangen sind, wie jemand anders an seine Accountdaten gelangt sein könnte und wir diesbezüglich keine "Schwachstelle" ausmachen konnten, fiel ihm ein, dass er letzte Woche am Frankfurter Flughafen vorbeigefahren ist. Dabei hatte er sein iPhone mit dem Firmenauto verbunden zwecks Navigation.

Da er Paypal nur über sein Handy nutzt: Besteht die Möglichkeit, dass über die Internetfähigkeit des Autos Handydaten ausgelesen (gestohlen) werden können? Sind solche Fälle bekannt?

 

[Hausbesetzer]

Welcher Shopbetreiber nimmt denn "Parkplatz Flughafen" als valide Lieferadresse?

 

[Apfeleis]

Ich tippe eher darauf, dass ihr nicht alle "Schwachstellen" beleuchtet habt. Phishing? Gleiche Anmeldedaten aus einem Hack eines anderen Dienstes? Keylogger? Zu einfaches Passwort? ...

 

[st4ckola]

Hausbesetzer:
In der Adresse steht natürlich nicht "Parkplatz Frankfurt" aber wenn man die Adresse googelt, wird sie eindeutig dem Parkplatzunternehmen zugeordnet. PS: großer deutscher Sportartikelhersteller

Apfeleis:
Es wurden keine Phishingmails geöffnet, Passwort ist nicht zu einfach. Keine dubiosen Apps auf dem iPhone und paypal wird über kein anderes Gerät genutzt. Daher die Verwunderung.

 

[Hausbesetzer]

Man kann auch über gefakte WLAN Hotspots Daten abgreifen.
Heutzutage sind die Taktiken da grenzenlos
Das mit keiner Phishingmail kann man nicht glauben - wenn die geklappt hat, dann weiß man das ja nicht

 

[Cyv]

Also über Bluetooth die Daten auslesen halte ich für unwahrscheinlich. Dafür ist die Chance für Phishing/Keylogger am PC oder eine gekarperte Email-Adresse zu hoch. Man-in-the-middle per WLAN ist ebenfalls möglich. Nutzt er kostenfreie Hotspots? Wird das Passwort noch woanders verwendet? Ggf ist die Kombination Email-Passwort in einem anderen Hack abgegriffen und nun verwendet worden...
Alles ist wahrscheinlicher als ein "Hack" per Bluetooth. Ich bin mir ziemlich sicher, dass iOS Bluetooth entsprechend kapselt und kein Zugriff auf die Keychain o.ä. möglich ist.

 

[noodyn]

und wir diesbezüglich keine "Schwachstelle" ausmachen konnten

Phishing-Mail? Verbindung mit unsicheren Netzwerken? WLAN Sniffing? Unsicheres Kennwort? Zwei Faktor Anmeldung nicht aktiviert? ... Die Liste ist lang. Würde er die Zwei-Faktor Anmeldung benutzen, hätten die Angreifer keine Chance (zumindest zu 95%)

 

[Impcaligula]

Ich tippe eher darauf, dass ihr nicht alle "Schwachstellen" beleuchtet habt. Phishing? Gleiche Anmeldedaten aus einem Hack eines anderen Dienstes? Keylogger? Zu einfaches Passwort? ...

Also über Bluetooth die Daten auslesen halte ich für unwahrscheinlich.

So schaut es aus....

fiel ihm ein, dass er letzte Woche am Frankfurter Flughafen vorbeigefahren ist. Dabei hatte er sein iPhone mit dem Firmenauto verbunden zwecks Navigation.

Ja natürlich. Während dem Vorbeifahren hat sich jemand genau auf sein iPhone per BT aufgehackt und direkt die PayPal Daten ausgelesen. Ist auch bekannt dafür - die Hacker stehen alle am Flughafen Frankfurt herum... schade das er keinen Aluhut aufhatte....

Jetzt mal ernsthaft. Das kann 1000 wahrscheinlicher Gründe haben, als ein iPhone Hack über BT am Flughafen!
Er könnte einen Trojaner auf dem Rechner haben. Einen Keylogger auf dem Rechner, während er sich bei PayPal ein loggt. Er könnte eine Pishing Mail geklickt haben. Er könnte eine Software installiert haben, von denen er denkt das ist eine normale Software und im Hintergrund ist es aber Spyware. Wer weiß wo er sich auf welchen Webseiten herum treibt. Und zu guter Letzt. Er nutzt doch PayPal. Viele Betrüger kaufen Kleinigkeiten nur um Deine PayPal Adresse heraus zu bekommen und diese später dann zu verwenden. Oder fragen Deine PayPal Adresse an wenn Du was verkaufst - kaufen dann aber nichts. Nur um die Adresse zu bekommen.

Sorry - und dieses "nein er hat nichts gemacht...."... wenn ich als ITler jedesmal 10 Euro bekommen würde für den Satz "ich habe nichts gemacht" - wäre ich heute reich. Ame Ende haben wir / ich dann doch Sachen gefunden die der Anwender gemacht hatte!

 

[Haskelltier]

Ich halte es für ausgeschlossen, dass ein Bluetooth-Signal während einer Autofahrt mitgeschnitten werden kann. Dazu ist die Reichweite des Signals viel zu gering und die Geschwindigkeit des Autos viel zu hoch und zudem schirmt das Blech der Karosserie das Signal auch noch einmal ab. Da müsste ein Hacker schon mit einem anderen Auto kilometerlang eng neben dem eigenen Auto hergefahren sein, damit er überhaupt die Chance hätte da irgendwas mitzuschneiden. Und selbst dann stellt sich die Frage wie er so an die Paypaldaten gekommen sein soll. Zum einen verwendet das Handy auch im Auto den eigenen Mobilfunkchip und zum anderen würde ein Mitschnitt hier auch nichts nutzen, denn dein Bruder wird ja wahrscheinlich während der Fahrt keine Einkäufe mit Paypal bezahlt haben.
Ein Handy per Bluetooth zu hacken halte ich für sehr unwahrscheinlich. Eine solche Lücke wäre viel zu wertvoll und alle Medien würden darüber berichten, wenn das möglich und bekannt wäre.

 

[studibook]

...Und selbst dann stellt sich die Frage wie er so an die Paypaldaten gekommen sein soll. ...

Und das ist die entscheidende Frage. Von daher halte ich das Bluetooth-Szenario von weit hergeholt.

Nur wegen dem merkwürdigen Lieferort kann ich mir folgendes Szenario vorstellen, gestützt durch Hausbesetzer: Der Bruder hat bei seinem iPhone es so eingestellt, dass das Phone sich immer das nächste WLAN-Netz sucht. Ein BetrügerIn setzt einen Hotspot auf und lässt jeden ohne große Probleme darauf zugreifen. iPhone loggt sich ein, Bruder merkt es ja nicht, schon ist es im Netz. Wie es jetzt weitergeht weiß ich nicht. Allerdings wäre das für mich die einzige denkbare Erklärung weshalb der Lieferort so gut zu dem Zeitpunkt der Autofahrt passen könnte. Von daher immer schauen in welche Netze sich euer Phone grad so einloggt und auch im ICE nicht einfach irgendeinen Hotspot auswählen. Mancher "Spaßvogel" kann auch dort einen Hotspot aufbauen und vielleicht ist der gar nicht so ein Spaßvogel wie gedacht.

 

[Impcaligula]

Ich halte es für ausgeschlossen, dass ein Bluetooth-Signal während einer Autofahrt mitgeschnitten werden kann. Dazu ist die Reichweite des Signals viel zu gering und die Geschwindigkeit des Autos viel zu hoch und zudem schirmt das Blech der Karosserie das Signal auch noch einmal ab.

So und nicht anders....

Finde es aber faszinierend welche - nicht böse gemeint - abstruse Räuberpistole die Leute sich zusammen stricken was passiert sein könnte - auch wenn es (technisch) noch so verrückt ist. Aber auf die einfachsten Dinge wie Spyware, besuchte Internetseiten, Trojaner & Keylogger, Trickbetrüger der die PayPal Adresse erfragt hat.... irgendwie nicht kommen und gar ausschließen...

 

[bimbam]

Das wahrscheinlichste Szenario ist, dass eMail- und Passwort-Kombination auch für andere Dienste verwendet werden. Ist dann einer dabei der in der Vergangenheit schon mal "abgefischt" wurde (Adobe, Yahoo, LinkedIn, etc.) und man zwischenzeitlich seine Nutzerdaten nicht geändert hat, erhöht das die Wahrscheinlichkeit eines unbefugten Kto. Zugriffs enorm. Alles andere steht in keinem Verhältnis zum Aufwand, noch dazu wenn dann "nur" Kleinigkeiten über den gehackten Account erworben werden.

Hier kann man prüfen ob man schon mal gepawned wurde und durch welche Dienste dies erfolgte.
https://haveibeenpwned.com/

 

[st4ckola]

Leute Leute, mal ruhig Blut

Impcaligula, mir tut es Leid, dass dieses Thema vielleicht irgendwelche Aggressionen bei dir auslöst, aber irgendwie lese ich das hier:

abstruse Räuberpistole die Leute sich zusammen stricken was passiert sein könnte

eigentlich nur aus deinen Posts raus. Ich schrieb darüber, dass uns keine Schwachstellen aufgefallen waren. Das bedeutet logischerweise nicht, dass es nicht doch eine recht simple (beim Anwender) gegeben haben könnte... Zudem bin ich nicht selbst betroffen - ich kann also nur Dinge wiedergeben, die mir erzählt worden. Soviel dazu.

Tatsächlich brachte uns der Lieferort der Artikel auf die Idee, dass es eventuell irgendetwas mit der Koppelung iPhone-Auto zu tun gehabt haben KÖNNTE. Ich schrieb nirgendwo, dass es so gewesen sei sondern fragte genau genommen danach, ob dies technisch möglich wäre und eventuell Fälle bekannt sind.
Da die Frage ja jetzt geklärt ist (technisch also nahezu unmöglich), bedanke ich mich für die Einschätzung!

 

[Impcaligula]

dass dieses Thema vielleicht irgendwelche Aggressionen bei dir auslöst

Die vielen Smileys hast Du aber in meinem Beitrag übersehen?

dass es eventuell irgendetwas mit der Koppelung iPhone-Auto zu tun gehabt haben KÖNNTE

Aber mal ehrlich. Wie kommt man als erstes auf die Idee, dass es so passiert sein könnte? Dass es wahrscheinlich ist, dass der Hack der so kompliziert aus zu führen wäre - wahrscheinlicher ist - als Pishing, Trojaner, Keylogger oder PayPal Betrug, welche millionenfach täglich vorkommen?

Ich meine.... wenn mir der Kopf brummt denke ich auch nicht - he Leute ist es wahrscheinlich, dass ich von einem 1mm Asteroiden getroffen wurde, als ich gestern spazieren war? Da suche ich doch auch nach den wahrscheinlichen gründen wie Wassermangel, Wetterumschwung, HWS oder Saufgelage von gestern... oder?

Ohne Aggressionen jetzt

 

[Haskelltier]

Aber auf die einfachsten Dinge wie Spyware, besuchte Internetseiten, Trojaner & Keylogger, Trickbetrüger der die PayPal Adresse erfragt hat.... irgendwie nicht kommen und gar ausschließen...

Das konnte der Bruder doch aber kategorisch ausschließen. Dass solche Angriffe meist getarnt sind, sodass der Angriff von möglichst vielen potentiellen Opfern nicht bemerken und somit das Ziel (geldbringende Login-Daten zu erbeuten) erreicht wird, wird dann meist unterschätzt.
Kurzum, ich halte ein unentdecktes Schadprogramm, das diese Daten unbemerkt mitgeschnitten hat, oder ein Man-in-the Middle Angriff per vorgestäuschtem freiem W-Lan usw. ebenfalls für sehr viel wahrscheinlicher.

 

[Hausbesetzer]

Sorry - und dieses "nein er hat nichts gemacht...."... wenn ich als ITler jedesmal 10 Euro bekommen würde für den Satz "ich habe nichts gemacht" - wäre ich heute reich. Ame Ende haben wir / ich dann doch Sachen gefunden die der Anwender gemacht hatte!

"Mein Konto wurde gesperrt aber ich habe das richtige Kennwort eingegeben"
"Soll ich es zurücksetzen?"
"Nein, ich weiß es ja noch, einfach nur entsperren... *tipp*tipp*tipp*"
"Jetzt ist mein Konto wieder gesperrt"
"Soll ich.."
"NEIN, ich kenn mein Kennwort, ich bin ja nicht blöd"

 

[st4ckola]

Impacaligula, die Smileys habe ich vermutlich wirklich übersehen

Du hast natürlich recht mit dem was du schreibst. Wahrscheinlich ist es letztlich auch etwas von dem gewesen, was du als Optionen genannt hast.

Tatsächlich war die "Auto-Sache" aber gar nicht unsere erste Idee sondern wurde durch die (vermutlich) zufällige Überschneidung der Standorte erst 'auffällig'.
Darüber hinaus wurde das Paypalkonto monatelang nicht für Zahlungen genutzt. Die einzigen Einträge letzter Zeit sind halt die unrechtmäßigen Bestellungen. Das verblendet einem dann unter Umständen die klare(re) Sicht.

 

[Impcaligula]

Darüber hinaus wurde das Paypalkonto monatelang nicht für Zahlungen genutzt.

Monatelang ungenutzte PayPal und Ebay Konten sind übrigens das beliebteste Ziel für solche Angriffe.
Die Angriffe selbst erfolgen übrigens schon Monate voraus! Wenn heute ein PayPal Konto Fremd genutzt wird - hat der eigentliche Hack übrigens schon lange Monate zuvor im Stillen statt gefunden.

 

[bjoern07]

... wenn ich als ITler jedesmal 10 Euro bekommen würde für den Satz "ich habe nichts gemacht" - wäre ich heute reich. Ame Ende haben wir / ich dann doch Sachen gefunden die der Anwender gemacht hatte!

Ich frage da immer: "Und was haben Sie gemacht, bevor Sie nichts gemacht haben?"
Sorry für OT.

 

[Keek]

Welcher Shopbetreiber nimmt denn "Parkplatz Flughafen" als valide Lieferadresse?

Na irgendeine Adresse muss man schließlich angeben wenn man sich eine neue Boeing bestellt

Habt ihr mal mit PayPal Kontakt aufgenommen und was sagen die zu dem Fall? Können die vielleicht angaben dazu machen von wo und von was für einem Gerät die Zahlung in Auftrag gegeben wurde?
Inzwischen wurde PW und die zwei Faktor Authentifizierung aber aktiviert?