IdentifyMobile: Sicherheitsvorfall
Fast 200 Mio. 2FA-SMS ungeschützt im Netz einsehbar.

Laut einem Bericht des Chaos Computer Clubs (CCC) entdeckte dieser eine AWS-S3-Instanz des britischen Dienstleisters IdentifyMobile. Dieser versendet Zwei-Faktor-Authentifizierungs-SMS im Auftrag von diversen Unternehmen weltweit. Die vom CCC gefundene Instanz enthielt über 198 Millionen ebensolche SMS von über 200 Konzernen, die ohne Passwort im Netzt abrufbar waren.

Unter anderem ließen sich 2FA-SMS im Auftrag von Google, Amazon, Microsoft, FedEx und DHL, aber auch AirBnB und Telegram einsehen. Auch der erst kürzlich von einem Datenleck betroffene Anbieter Twilio ist Nutzer von IdentifyMobile. Die Daten umfassten die Zeit bis August 2023.

Diese SMS allein reichen zum Eindringen in Fremdkonten nicht aus, da dazu auch das dem Account zugehörige Passwort notwendig ist. Es waren aber auch Telefonnummern der Empfänger, Namen von Absendern und teils noch weitere Konto-Daten gespeichert.