Vor zwei Tagen habe ich drarüber berichtet, dass ich mir mit meinem iPhone ein WAP-Premium-SMS-Abo der Firma CCT24 aus Zypern eingehandelt hatte, welches von der Firma BillInfo in Düsseldorf über die Telekom und meine Mobilfunkrechnung mit 4,99 Euro / Woche abgerechnet wurde. Inzwischen scheint einigermaßen klar zu sein, wie es zu diesem Abo kommen konnte:
Mobiler Hotspot für Androidgerät
Während der Konferenz sollte ein MobileDeviceManagement-System (MDM) vorgestellt werden. Der Vortragende hatte Probleme, sein Android-Tablet über das WLAN des ZfsL Dortmund mit dem MDM zu verbinden – offensichtlich waren dort Ports gesperrt. Um auszuhelfen habe ich angeboten, das Android-Tablet über den privaten Hotspot meines iPhones ins Netz gehen zu lassen. Nach allem, was ich in Erfahrung bringen konnte, war das der Anfang einer Kette von Unglaublichkeiten, die schließlich das illegale Buchen des Abos auf meine Handyrechnung ermöglichte.
Zunächst ist wichtig zu wissen, dass es mit
WAP-Billing einen Service gibt, bei dem Geld über die Mobilfunkrechnung abgebucht werden kann, ohne dass eine TAN eingegeben werden muss. Das ist praktisch – wenn man z.B. per Handy Parkgebühren bezahlt. In diesem Fall möchte man ja nicht immer auf eine TAN warten. SMS abgeschickt, bezahlt, fertig. Also, merken: WAP-Billing ermöglicht das Belasten der Handyrechnung alleine durch Bekanntgabe der zu belastenden Handynummer.
Android-Trojaner lösen WAP-Billing aus
Wer sich mit einem Smartphone, das ja das „echte“ Internet nutzt, auf der sicheren Seite wähnt, weil „WAP“ ja ein Standard ist, der vor vielen Jahren zuletzt auf Nokia- und Siemenstelefonen genutzt wurde, der irrt: Offensichtlich existieren Android-Trojaner, welche im Hintergrund und für den Benutzer unsichtbar WAP-Billing-Vorgänge auslösen können. Eine recht aktuelle Variante so eines
Schadprogramms wurde erst vor kurzem entdeckt. Möglicherweise war das Android-Tablet mit diesem oder einem ähnlichen Schadprogramm infiziert. Jedenfalls handelte es sich um ein Privatgerät des Vortragenden.
Handynummer aus der IP ermitteln
Doch wie soll die Schadsoftware auf einem Android-Tablet an die Mobilnummer meines iPhones kommen, schließlich war das iPhone doch nur der HotSpot? Dachte ich.
Bis ich las, dass es offensichtlich gar nicht so schwer ist, einer IP-Adresse die korrekte Handynummer zuzuweisen:
Die Mobilfunkanbieter, die an jedem Abo kräftig mitverdienen, leisten den Anbietern solcher Mehrwertdienste bereitwillig technische Unterstützung, indem sie die Handynummer des mobilen Surfers weiterleiten: Wer mit einem Smartphone auf einer Werbeseite unbedacht etwas anklickt, hinterlässt zunächst nur eine IP-Adresse. Doch die Mobilfunkanbieter können dieser IP-Adresse eine Handynummer zuweisen und geben sie dann weiter an Firmen wie die Net Mobile AG, die unter anderem für Bob Mobile und Guerilla Mobile die technische Abwicklung besorgt. Das bestätigte etwa die Pressestelle der Telekom: „Wir bieten Anbietern eine Schnittstelle an, damit sie Handynummern aus IP-Adressen entschlüsseln.“
Ich gehe also zum gegenwärtigen Zeitpunkt davon aus, dass das Androidtablet des Vortragenden kompromittiert war. Die Schadsoftware auf dem Tablet hat die IP-Adresse, mit der es durch die Verbindung mit meinem iPhone online war, in meine Mobilfunknummer auflösen lassen und dann mit meiner Handynummer schließlich das „PREMIUM ZUGANG“-Abo der Firma CCT24 aus Zypern gebucht. BillInfo dient als Zwischendienstleister um mit der Telekom abzurechnen. Ende, Gelände. Ich hab 4,99 Euro verloren. Und gelernt, dass
- man niemanden seinen Hotspot benutzen lässt
- man Drittanbietersperren setzen muss
- man nie davor gefeiht ist, verarscht zu werden
Quelle des Beitragsbildes:
https://commons.wikimedia.org/wiki/File:Computer_virus_illustration.jpg CC by Zunter
Danke, war sehr interessant und spannend zu lesen.
Ja, das waren auch sehr spannende Tage. Aber mal im Ernst – ich hab ja bisher gedacht, ich wüsste schon über nahezu jeden Trick im Internet Bescheid. Aber DAS? Hätte ich nicht für möglich gehalten.
Hätte ein VPN davor geschützt?
Ich würde vermuten: Ja. Wenn die öffentliche IP nicht die IP ist, die die Telekom meinem Telefon in dem Moment zugewiesen hatte, sondern die IP meines Heimnetzwerkes, dann hätte das helfen müssen, denke ich.
Ich hatte exakt das gleiche Problem.
Als ich dann „arglistige Täuschung“ ins Spiel brachte und mit Strafanzeige drohte, hat CCT 24 dann doch endlich die Rückbuchungs bestätigt. Die werden schon wissen, das dies nicht legal sein kann. Glaube es erst wenn ich die Rückbuchung auf meiner Abrechnung sehe.
Mfg