2FA Verifizierung Amazon?

[reditalian]

Ok, SMS ist Oldschool und wird vermutlich irgendwann abgeschaltet. Bekommt ihr als Amazon Prime Kunde neuerdings diesen 2FA Verifizierungscode über Whatsapp? Es soll tatsächlich Leute geben, die kein Whatsapp nutzen. Hab ich was verpasst?

 

[Pudel17]

Es soll tatsächlich Leute geben, die kein Whatsapp nutzen

Zu denen gehöre ich - die Datenkrake WA kommt mir nicht aufs Handy. Ich nutze den MS Authenticator für einige 2FA, darunter auch Amazon.

 

[rasand79]

ich lasse mir den Code per SMS schicken. Oldschool hin oder her, es funktioniert und geht schnell, warum dann nicht?

wird vermutlich irgendwann abgeschaltet

bis dahin kann man sich was anderes überlegen, wenn's denn so ist.

 

[Smily]

Installier dir sowas wie Google oder Microsoft Authenticator. Und pack da alles rein, was geht. Jede Mail, jeden Shop, alles.

SMS ist halt unsicher, daher wird's abgeschaltet. Dann kommen die Apps, dann konmen die Passkeys.

 

[Darklordx]

Ich nutze den Google Authenticator. Nicht nur für Amazon, auch für Computerbase und mehr.

 

[h2f]

Ich nutze "Authy" ohne Google, MS und co. Kann man auch selbst sichern und mehrere Geräte einbinden...

 

[brianmolko]

Bei mir ist Aegis im Einsatz.

 

[Blackhorse79]

SMS ist halt unsicher

Überall die gleiche Mainstreamparanoia vor Dingen, die Jahrzehnte einwandfrei funktioniert haben. Dann fisch mal die SMS ab und melde dich alternativ damit an. Will ich sehen. Installierst Du dafür extra einen Imsicatcher? Für eine Amazonanmeldung?

Das ist vollkommen absurd, sorry. Da ist selbst der Trojaner auf dem Smartphone eher ein Angriffsvektor als eine PIN per SMS zu missbrauchen.

 

[Incanus]

Das Bessere ist halt des Guten Feind. Wenn es schon einen Angriffsvektor gibt und sei er noch so unwahrscheinlich, aber Alternativen ohne dieses Problem, dann ist es doch sinnvoll diese zu nutzen.

 

[Smily]

Du denkst zu kompliziert.

Installierst Du dafür extra einen Imsicatcher?

Brauch ich nicht. Dafür gibt es social engeneering. Dank eSIM muss ich nur per Phising die Zugangsdaten zu deinem Mobilfunkanbieter klauen. Bzw. du gibst sie freiwillig auf meiner gefälschten Seite ein.

Dann logge ich mich ein, und oftmals kann man dann sagen SIM beschädigt oder verloren. Dann bekommt man einen QR Code und dann kann ich deine SIM auf mein Handy holen.

Oder ich rufe bei deinem Provider an, habe vorher dein Geburtsdatum, Nummer, Name usw. gephisht.
Dann erfinde ich eine Notlage, bin auf Malle, SIM ins Wasser gefallen, bin so lange Kunde, kann meinen Flug nicht buchen usw.
Und vielleicht lässt der Mitarbeiter sich überzeugen und will helfen.

Oder ich gehe in einen Shop im Ort, mit gefälschtem Ausweis und erbitte eine Ersatz-Karte.

Da ist dann natürlich Voraussetzung

• Phishing, ich brauche deine Daten
• Der Mitarbeiter im Shop/am Telefon will helfen

Aber kannst du glauben, das funktioniert!

 

[BlubbsDE]

Dank eSIM muss ich nur per Phising die Zugangsdaten zu deinem Mobilfunkanbieter klauen. Bzw. du gibst sie freiwillig auf meiner gefälschten Seite ein.

Dann logge ich mich ein, und oftmals kann man dann sagen SIM besc

Und da kommst Du wie am 2ten Faktor vorbei?

 

[Blackhorse79]

Wenn es schon einen Angriffsvektor gibt und sei er noch so unwahrscheinlich, aber Alternativen ohne dieses Problem, dann ist es doch sinnvoll diese zu nutzen.

Als wenn ein Smartphone als Hardwareschlüssel eine echte, sichere Alternative sei. Nur doof, wenn er dann kaputt geht oder abhanden kommt. Aber ja, man geht für den Glauben auch in die Kirche. Viel Erfolg. Hab echt keine Lust das jetzt weiter zu diskutieren.

@Smily

Wie wahrscheinlich ist dein Szenario? Und wie willst Du das alles in den wenigen Sekunden zwischen Anfrage der SMS bei Amazon und Eingabe der PIN erledigt haben?

Das ist Schultheorie. Das ist nicht praktikabel.

 

[.one]

Und vielleicht lässt der Mitarbeiter sich überzeugen und will helfen.

Dann gehört er entlassen und für den entstandenen Schaden heranzgezogen. Versuch deine Vorgehensweise mal bei Amazon oder Konsorten. Außer ein müdes Lächeln, wird es keine Reaktion geben.

Ein MA vom Callcenter wird auch gar nicht die entsprechenden Rechte dazu haben, davon mal abgesehen. Neue SIM, komische Geschichte, verschickt an den Urlaubsort, ja? lol

Eine 2FA wird nie vom Anbieter umgangen um dir zu helfen. Nie. Wenn doch, sollte man das publik machen.

 

[Incanus]

Hab echt keine Lust das jetzt weiter zu diskutieren.

Also hast Du einfach keine Argumente, gib es halt zu .

 

[Smily]

Und da kommst Du wie am 2ten Faktor vorbei?

Du gehst davon aus, auch da gibt es den 2. Faktor. Ich habe dutzende Mitarbeiter in der Firma, die haben keinen 2FA. Nirgendwo! Es sei denn, der Anbieter zwingt dazu.

Und ich rede vom SIM Swapping. Und das existiert. Genau so, wie Leute ständig auf Phishing Mails und den berühmten Prinzen reinfallen.
Und ihr dürft nicht Deutschland und deutsche Mobil Provider als Maßstab nehmen, sondern die Welt

Eine 2FA wird nie vom Anbieter umgangen

Ich rede immer noch von der SIM Karte! Nie vom 2. Faktor, darum geht es doch gar nicht. Habe ich die SIM, habe ich den 2. Faktor.

Und ihr müsst sowas global sehen. Wenn ein Anbieter SMS verbietet, dann weil es auf der Welt damit Sicherheitsvorfälle gibt.
Und weil der Anbieter nicht nur private Accounts, sondern natürlich auch seine Business Accounts schützen möchte, wo Angreifer durchaus Energie rein stecken, um da Ran zu kommen!

Und wie willst Du das alles in den wenigen Sekunden zwischen Anfrage der SMS bei Amazon und Eingabe der PIN erledigt haben?

Du hast es ja auch nicht verstanden und meckerst nur. Der Angreifer hat sich deine SIM ergaunert und besitzt damit den 2. Faktor. Und kann auch in aller Ruhe mit den geklauten Amazon Zugangsdaten und dem 2. Faktor per SMS einfach einloggen.

Und das geht mit den Apps halt nicht, und deshalb ist 2FA per Handy mittlerweile in unserem Unternehmen verboten.
Session Token klauen und damit auch die App aushebeln, weil der Angreifer dann ohne Zugangsdaten und 2FA in die Session kommt, ist wieder was anderes.

Deine nicht praktikable Schultheorie funktioniert täglich auf der Welt tadellos. Ob du das willst oder nicht.