Über WhatsApp sollen sich Paypal und Google-Konten hacken lassen

whatsapp

Über ein Lücke in WhatsApp sollen Hacker auf Paypal oder Google Wallet zugreifen können. Die Gefahr resultiere aus der Mischung an verschlüsselten und unverschlüsselten Verbindungen, die bei Whatsapp zum Einsatz kommt, berichtet das deutsche Sicherheitsunternehmen Curesec.

Wenn ein Anwender für eine WhatsApp-Lizenz zahlt, wird Curesec zufolge die Verbindung zwischen WhatsApp-Server und Bezahldienst mit Secure Sockets Layer (SSL) verschlüsselt. Zwischen dem Browser der App, der bei jedem Bezahlvorgang startet, und dem WhatsApp-Server werden die Daten aber im Klartext übertragen.

Ein Angreifer könnte somit herausfinden, dass ein Anwender gerade eine Zahlung vornimmt, die Kommunikation zwischen Browser und WhatsApp-Server abfangen und den User stattdessen mit betrügerischer Absicht auf eine eigene Site umleiten. “Mit einem geeigneten Man-in-the-Middle-Angriff wäre es möglich, einen User, der gerade für WhatsApp bezahlen will, auf eine beliebige Webseite umzuleiten”, heißt es im Blog von Curesec. “Und mit einer falschen Google-Wallet- oder Paypal-Seite ließen sich dann Nutzerkonten sammeln.”

Andere Experten für Security-Fragen weisen darauf hin, dass sich eine solche Attacke zwar leicht realisieren lässt, wenn der Angreifer und sein Opfer sich im gleichen WLAN befinden. Die Wahrscheinlichkeit eines Treffers ist aber nicht sehr hoch, weil WhatsApp eine solche Verbindung ja nur einmal im Jahr für die Begleichung der Jahresgebühr herstellt. Troy Hunt merkte im Gespräch mit TechWeekEurope aber auch an, es handle sich um “extrem schlechte Form” aufseiten von WhatsApp, das nach eigenen Angaben größer als Twitter ist.

“Solche Risiken in Mobil-Apps sind ein wichtiges neues Betätigungsfeld für Sicherheitsforscher, da es so viele Apps gibt, von denen viele schnell gestrickt wurden. Und ihre Kommunikation mit Webservern ist oft nicht so durchschaubar, wie wenn man Inhalte im Browser lädt”, kommentiert Hunt. “Solche Dinge werden wir noch öfter sehen.”

Erst vergangene Woche war ein Fehler in der SSL-Verschlüsselung der Tumblr-App für iOS bekannt geworden, der das Abfangen von Passwörter ermöglichte. Tumblr hat die Schwachstelle mit Veröffentlichung einer aktualisierten Version als “sehr wichtiges Sicherheitsupdate” eingeräumt.

[mit Material von Florian Kalenda, ZDNet.de; via TechWeekEurope.co.uk]

Tags :
  1. scheint wohl so, verstehe nicht wieso im google store nicht auch direkt beim kauf einmal geld verlangt wird. dann gäbe es das problem nicht.

Hinterlasse eine Antwort

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *

Advertising