Sicherheitsforscher von SRLabs haben neuerlich eine Lücke in SIM-Karten gefunden. Ähnlich wie beim "Simjacker" Mitte September reicht es dabei dem Angreifer, eine speziell präparierte, unsichtbare SMS ("Over the air"- oder OTA-SMS) mit Anweisungen an das Handy des Opfers zu senden. Die SIM-Karten-Applikation wird dann aufgefordert, bestimmte Befehle auszuführen, kann etwa die Positionsdaten an den Angreifer senden. Der Nutzer bekommt davon nichts mit, weil die Attacken außerhalb des regulären Betriebssystems Android oder iOS vonstattengehen.

Diese Art des Angriffs hat den Namen WIMattack erhalten. Ausgenützt wird dabei eine falsch konfigurierte Schwachstelle in der SIM-Karten-App Wireless Internet Browser (WIB). WIB ist aber nicht auf allen SIM-Karten installiert. Die Gefahr ist zudem nur gegeben, wenn das Sicherheitslevel auf die niedrigste Stufe gesetzt ist.

Zahlen schwanken

Wie oft dies in der Realität vorkommt, darüber sind sich die Experten uneinig. Die Sicherheitsforscher von "Security Research Labs" haben 800 SIM-Karten untersucht. Etwa jede zehnte davon sei anfällig für eine der beiden Lücken. Lakatos, Chefforscher von Ginno Security Laboratory, meint, dass hunderte Millionen von Handys betroffen seien.

SRLabs sieht vor allem die Netzbetreiber in der Verantwortung, diese Sicherheitslücken zu schließen. Für technisch-affine Menschen haben die Forscher zwei Tools herausgegeben, die Schlupflöcher beziehungsweise Angriffe aufspüren. (red, 1.10.2019)