Gefahren durch Caller-ID-Spoofing
Fremde Mailboxen per VoIP abhören

NetzwerkeSicherheitSicherheitsmanagementVoIP

Die von ISDN und mittlerweile auch analogen Anschlüssen bekannte Rufnummernübermittlung lässt sich bei VoIP leicht fälschen.

Neue Betrugsmaschen

Gefahren durch Caller-ID-Spoofing

Voice over IP senkt nicht nur die Telefonkosten. Die Nutzung des Internets anstelle der geschlossenen Netze traditioneller Telefongesellschaften ebnet auch neuen Betrugsmaschen den Weg. Der Telefonkunde egal ob Festnetz, Handy oder VoIP muss heute umdenken. Ein Anrufer mit der Vorwahl 030 kann statt aus Berlin in Wahrheit aus Australien telefonieren, indem er einen unter einer Berliner Adresse registrierten VoIP-Account nutzt.

Doch damit nicht genug: Wer sich ein wenig mit den VoIP- und Netzwerkprotokollen auskennt, kann ohne viel Aufwand seine Absenderkennung fälschen. Der Angerufene sieht dann statt der wahren Telefonnummer eine beliebige andere. Dieses so genannte Caller-ID-Spoofing bleibt aber nicht nur versierten Hackern vorbehalten.

In den USA bieten Firmen wie SpoofCard diesen Service für 10 Dollar pro Stunde an, sowohl für Festnetz- als auch für VoIP-Kunden. Firmenmitarbeiter melden sich so mit ihrer offiziellen Durchwahl auf dem Telefondisplay ihrer Kunden, auch wenn sie gerade bei ihrer Oma zum Kaffeetrinken sind. Praktisch dennoch bewegen sich die wenigsten denkbaren Einsatzszenarios im legalen Rahmen, wie die folgenden Beispiele zeigen.


Spam und Phishing betrifft auch Voice over IP

Gefahren durch Caller-ID-Spoofing

Absender von Spam-Mails geben oft vor, alte Bekannte zu sein. Beim unerwünschten Telefonmarketing könnte diese Masche einen ähnlichen Erfolg haben, wenn sich die Anrufer über ihre Rufnummer zunächst als ein Nachbar aus der näheren Umgebung ausgeben. SPIT (Spam over Internet Telephony) profitiert also nicht nur von günstigen Telefonkosten, sondern auch von der möglichen Verschleierung des Absenders.

Einen Schritt weiter gehen Phishing-Angriffe. Beim VoIP-Phishing verwendet der Betrüger als Absenderkennung einfach die bekannte Telefonnummer von eBay oder Ihrer Hausbank, um so leichter an Ihre Daten zu gelangen. Aber auch belästigende Anrufe können dadurch zunehmen bei einer Fangschaltung bekommen die Ermittler dann nur die gefälschte Nummer angezeigt.

Überraschend viele Systeme nutzen die mitgesendete Rufnummer zur Authentifizierung des Anrufers. So ist der Zugriff auf viele Handy-Mailboxen vom eigenen Gerät aus ohne PIN-Abfrage möglich. Dem Hacker genügt also die Mobilnummer seines Opfers, um dann per gespoofter (also gefälschter) Anruferkennung Zugang in dessen Mailbox zu bekommen. Dort kann er Nachrichten abhören, löschen oder Einstellungen verändern. Die großen Netzbetreiber haben diese Sicherheitslücke inzwischen erkannt und setzen auf eine zusätzliche Absicherung über eine PIN-Eingabe.