Wie Messenger-Dienste in die Privatsphäre eindringen: Sensible Daten lassen sich mit wenig Aufwand Sammeln

Hacker können sich sensible persönliche Daten von einer Milliarde Nutzern der Messenger-Dienste WhatsApp, Signal und Telegram beschaffen. Das haben Forscher an der Technischen Hochschule Darmstadt gemeinsam mit Kollegen der Universität Würzburg bewiesen. Das gelang den Forschern mit Hilfe von so genannten Crawling-Angriffen – Crawler sind Computerprogramme, die automatisch das World Wide Web durchsucht und Webseiten analysieren.

Angriffe auf Dienste in den USA

Für die umfangreiche Studie haben die Forscherinnen und Forscher zehn Prozent aller Mobilfunknummern in den USA für WhatsApp und 100 Prozent für Signal abgefragt. Dadurch waren sie in der Lage, persönliche Daten zu sammeln, wie sie üblicherweise in den Nutzerprofilen der Messenger gespeichert sind, inklusive Profilbilder, Nutzernamen, Statustexte und „zuletzt online“ verbrachter Zeit.

Wenn Hacker diese Daten längere Zeit verfolgen, können sie genaue Verhaltensmodelle der Nutzer erstellen. Werden die Daten mit sozialen Netzen und anderen öffentlichen Datenquellen abgeglichen, können Dritte auch detaillierte Profile erstellen und beispielsweise für Betrugsmaschen nutzen. Bezüglich Telegram fanden die Forscherinnen und Forscher heraus, dass der Dienst zur Kontaktermittlung auch sensible Informationen selbst über die Besitzerinnen und Besitzer von Telefonnummern preisgibt, die nicht bei dem Dienst registriert sind.

Adressbücher der Nutzer liegen offen

Welche Informationen gesammelt werden können, hängt vom Dienstanbieter und den gewählten Privatsphäre-Einstellungen ab. Beispielsweise übertragen WhatsApp und Telegram das komplette Adressbuch der Nutzenden an entsprechende Server. Messenger wie Signal, die die Privatsphäre besser schützen, übertragen nur kurze Hashwerte von Telefonnummern – sie werden nach einer bestimmten Vorschrift verschlüsselt – oder verlassen sich auf vertrauenswürdige Hardware. Die Forschungs-Teams zeigen jedoch, dass es mit Hilfe neuer und optimierter Angriffsstrategien möglich ist, innerhalb von Millisekunden von den Hashwerten auf die zugehörigen Telefonnummern zu schließen.

Privatsphäre-Einstellungen überprüfen!

„Wir empfehlen bei der Verwendung von mobilen Messengern dringend, sämtliche Privatsphäre-Einstellungen zu überprüfen. Dies ist derzeit der effektivste Schutz gegen unsere untersuchten Crawling-Angriffe“, sind sich Alexandra Dmitrienko (Universität Würzburg) und Professor Thomas Schneider (TU Darmstadt) einig. Sie haben ihre Erkenntnisse mit den jeweiligen Dienstanbietern geteilt. WhatsApp hat seine Schutzmaßnahmen daraufhin derart verbessert, dass großangelegte Angriffe nun erkannt werden, und Signal hat die Anzahl möglicher Abfragen reduziert, um Crawling zu erschweren.

via Universität Würzburg