Der OTP-Betrug auf Snapchat: Anatomie eines Angriffs, der über 750 Konten kompromittierte

Einleitung

Ein 26-jähriger Mann aus Illinois wurde zu sechs Jahren und vier Monaten Haft verurteilt, weil er zwischen 2020 und 2021 eine massive Kampagne zum Eindringen in Snapchat-Konten orchestrierte. Der Angreifer zielte auf über 4.500 potenzielle Opfer, kompromittierte die Konten von rund 750 Frauen und stahl intime Bilder, oft um sie weiterzuverkaufen oder auf Bestellung Dritter. Der Fall zeigt, wie Social-Engineering-Techniken selbst weit verbreitete Sicherheitsmechanismen wie Einmalpasswörter (OTP) unwirksam machen können.

Technische Analyse

Der Angriff basierte auf einer Kette psychologischen Phishings (Vishing und Smishing). Der Hacker beschaffte sich über soziale Netzwerke und öffentliche Kanäle Telefonnummern oder Benutzernamen von bei Snapchat aktiven Frauen. Anschließend kontaktierte er jede Person über anonymisierte Nummern oder Messaging-Apps und gab sich als offizieller Mitarbeiter von Snap Inc. aus. Unter einem Vorwand – etwa verdächtige Zugriffe oder notwendige Sicherheitsüberprüfungen – brachte er die Opfer dazu, den OTP-Code zu nennen, den die Plattform gerade an ihr Telefon sandte, nachdem der Angreifer selbst einen Zugriffsversuch von einem neuen Gerät aus gestartet hatte.

Sobald der Code übermittelt war, schloss der Hacker die Authentifizierung ab und übernahm die vollständige Kontrolle über das Konto. Sofort lud er alle privaten Bilder herunter (einschließlich Stories und Nachrichten) und aktivierte eine neue Zwei-Faktor-Authentifizierung (2FA) mit einer von ihm kontrollierten Methode (etwa einer Authentifizierungs-App), wodurch die rechtmäßige Besitzerin ausgesperrt wurde.

Der Angreifer beließ es jedoch nicht beim Sammeln von Beute: Auf Kik Messenger – einer verschlüsselten Plattform – bewarb er sein „Hacking-as-a-Service“-Angebot und tauschte das gestohlene Material. Neben Fotos volljähriger Frauen speicherte und verbreitete er auch kinderpornografische Inhalte (CSAM) über Mega-Konten, wo er mehr als 1.100 Dateien anhäufte. In mindestens einem Fall verschaffte er sich Zugang zu den Konten von Studentinnen auf Anfrage eines ehemaligen Trainers, der später ebenfalls verurteilt wurde.

Technisch gesehen ist die Manipulation des menschlichen Faktors das tückischste Element. Eine OTP-basierte 2FA verliert jegliche Wirksamkeit, wenn das Opfer den Code freiwillig preisgibt, und die anschließende Aktivierung einer vom Angreifer kontrollierten 2FA macht die Wiederherstellung des Kontos schwierig, da die rechtmäßige Besitzerin die Verifizierung nicht mehr bestehen kann.

Auswirkungen

Die Auswirkungen auf die Opfer waren tiefgreifend: Neben dem Diebstahl persönlicher Daten und der nicht einvernehmlichen Verbreitung intimer Bilder erlitten viele psychische Schäden und Reputationsverluste. Die erzwungene Aussperrung aus den eigenen Konten verstärkte das Gefühl der Ohnmacht. Strafrechtlich rückte der Fall den Handel mit CSAM, Cyberstalking und Sextortion in den Fokus. Für Snap Inc. bedeutet der Vorfall einen Reputationsschaden und einen Weckruf, die Abwehr gegen gezieltes Phishing zu stärken und die Nutzeraufklärung intensiver voranzutreiben.

Schutzmaßnahmen

Für Nutzer:

• Geben Sie niemals OTP-Codes, Passwörter oder PINs per Telefon oder Nachricht an Dritte weiter – auch dann nicht, wenn der Anrufer behauptet, vom Support zu sein.
• Ersetzen Sie, wo möglich, die 2FA per SMS durch Authentifizierungs-Apps (TOTP) oder Hardware-Schlüssel, die weniger anfällig für Social Engineering sind.
• Überprüfen Sie die Identität von Kontaktpersonen stets über offizielle Kanäle (verifizierte E-Mails, In-App-Benachrichtigungen) und melden Sie verdächtige Versuche umgehend.
• Achten Sie auf Zugriffs- und Sicherheitsbenachrichtigungen; bei unbefugten Änderungen kontaktieren Sie sofort den legitimen Support.

Für Plattformen:

• Verbessern Sie die Erkennung von Anomalien, z. B. Zugriffe von ungewöhnlichen Geräten oder Standorten oder die Aktivierung einer neuen 2FA unmittelbar nach einem Login.
• Senden Sie klare Push- und E-Mail-Benachrichtigungen bei jeder kritischen Änderung (z. B. Passwortänderung, neue 2FA) mit der Möglichkeit, den Vorgang innerhalb weniger Minuten rückgängig zu machen.
• Investieren Sie in dauerhafte Aufklärungskampagnen, die Nutzern vermitteln, dass offizielle Mitarbeiter niemals OTP-Codes erfragen.
• Beschleunigen Sie die Sperrung und Entfernung von Konten, die das Unternehmen vortäuschen.

FAQ

**1