Ein Einmalkennwort-Bot fordert automatisch Einmalcodes an oder trägt sie ein, um die Anmeldung einer anderen Person zu missbrauchen.
Der Code soll einmal von der Person getippt werden, die ihn gerade erhalten hat, und der Bot versucht, diesen menschlichen Schritt zu entfernen.
So funktioniert es
Der Bot kann die Senden Taste einer Bank so oft treffen, dass die echte Kundin mit Nachrichten überflutet wird, oder er gibt Codes so schnell ein, wie sie erraten oder weitergereicht werden können.
Die Kundin sieht Aufforderungen, die sie nicht gestartet hat, und eine erfolgreiche Eingabe lässt den Bot ins Konto.
Postfach oder Bankkonto können danach geändert werden, bevor die Kundin versteht, welche Aufforderung die echte war.
Callcenter verlieren außerdem Zeit mit Menschen, die glauben, die Bank selbst sende die Flut von Codes.
Konkrete Beispiele
- Ein Webmailkonto erhält Dutzende Codenachrichten in einer Minute, während die Inhaberin schläft.
- Eine Bankanmeldeseite wird von automatischen Versuchen getroffen, die Codes gegen eine Kundin eintragen, die die App nie geöffnet hat.
- Eine Hotline füllt sich mit Anrufenden, die Codes für einen Kauf erhalten, den sie nicht tätigen.
Schutzmaßnahmen
- Begrenzen Sie, wie viele Codes ein Konto in kurzer Zeit anfordern darf, und pausieren Sie nach ungewöhnlichen Schüben.
- Sagen Sie Kundinnen vorher, dass die Bank sie nie bitten wird, einem Anrufer einen Code vorzulesen.
- Bevorzugen Sie eine Freigabe in einer App, die die Kundin schon entsperrt hat, wenn diese Möglichkeit für das Konto besteht.
- Prüfen Sie ein Konto, das plötzlich viele Codes anfordert, und frieren Sie Überweisungen ein, bis die Inhaberin die Aktivität bestätigt.
Wie CDPCaptcha hilft
Eine Proof-of-Work-Prüfung im Browser verlangt vor jeder automatischen Anforderung eines Einmalkennworts Rechenarbeit und verteuert damit geskripteten Missbrauch dieses Anmeldeschritts.
CDPCaptcha ist eine selbst gehostete Proof-of-Work-Prüfung im Browser, ohne Cookies, ohne Tracking und ohne Bilderrätsel.
Entwickelt und gehostet in der EU, in Deutschland, wird der Dienst unter https://cdpcaptcha.com/ beschrieben.