Forscher haben ein Android-Toolkit identifiziert, das gespeicherte Fotos, vorab aufgezeichnete Videos oder entfernte Video-Feeds so erscheinen lassen kann, als würden sie von der Live-Kamera eines Smartphones stammen. Das Tool könnte Risiken für Dienste schaffen, die zur Verifizierung von Nutzern auf Selfie-Prüfungen und Dokumentenscans angewiesen sind.
Das Android-Toolkit zur Umgehung von KYC scheint darauf ausgelegt zu sein, Identitätsprüfungen auf Geräteebene zu manipulieren. Es kann sowohl die Front- als auch die Rückkamera beeinflussen und könnte es einem Betrüger dadurch ermöglichen, während desselben Verifizierungsversuchs ein gefälschtes Dokumentenbild und ein separates Gesichtsvideo zu präsentieren.
Forscher fanden keine Hinweise darauf, dass ein Anbieter für Identitätsverifizierung mithilfe des Toolkits betrügerische Identitäten akzeptiert hat. Die Technologie zeigt jedoch, warum der Zugriff auf eine Kamera allein nicht beweisen kann, dass ein Nutzer ein Bild tatsächlich live aufgenommen hat.
Toolkit kann Kameraeingaben imitieren
Viele Finanzdienstleister, Onlineplattformen und Dienste mit Altersbeschränkungen verwenden Know-Your-Customer-Prüfungen, kurz KYC. Bei diesen Prüfungen werden Nutzer häufig aufgefordert, ein Ausweisdokument zu fotografieren und ein Live-Selfie oder einen Liveness-Test durchzuführen.
Forscher zufolge kann das Toolkit ausgewählte Medien in eine App einspeisen, als hätte die Kamera des Smartphones sie in Echtzeit aufgenommen. Es kann außerdem bestimmte Geräteinformationen manipulieren, darunter das angegebene Modell, den Standort, Browsereigenschaften und den Sicherheitsstatus.
Das Android-Toolkit zur Umgehung von KYC kann Berichten zufolge die Front- und Rückkamera getrennt verarbeiten. Diese Funktion könnte es einem Angreifer ermöglichen, unterschiedliche Medien für einen Dokumentenscan und einen Live-Selfie-Schritt zu verwenden.
Modifizierte Geräte begrenzen die breite Nutzung
Das Tool scheint auf einem gewöhnlichen Android-Smartphone ohne umfangreiche Änderungen nicht zu funktionieren. Ein Betreiber würde ein Gerät mit erweiterten Systemrechten und zusätzlichen Modifikationen benötigen, die verändern, wie Android und installierte Apps Kamerafunktionen verarbeiten.
Diese Voraussetzung macht das Toolkit für gewöhnliche Nutzer weniger zugänglich. Gleichzeitig schwächt sie die eigenen Sicherheitsmechanismen des modifizierten Geräts.
Ein entsprechend vorbereitetes Gerät könnte jedoch potenziell gegen mehrere Identitätsverifizierungsdienste eingesetzt werden. Organisationen sollten die Erkennung kompromittierter Geräte daher als wichtigen Bestandteil ihrer Maßnahmen zur Betrugsbekämpfung betrachten.
Forscher fanden keine bestätigte KYC-Umgehung
Die Existenz eines Tools zur Manipulation von Kameraeingaben bedeutet nicht, dass jede Identitätsprüfung anfällig ist. Anbieter von Verifizierungsdiensten können Kameraeingaben mit Dokumentenprüfungen, Liveness-Tests, Geräteinformationen, Betrugsbewertungen und manuellen Überprüfungen kombinieren.
Forscher fanden keine Beweise dafür, dass ein Anbieter mithilfe dieses speziellen Toolkits eine falsche Identität akzeptiert hat. Sie identifizierten auch keinen bestätigten Exploit gegen einen namentlich genannten KYC-Dienst.
Diese Unterscheidung ist wichtig. Die Forschung identifiziert eine potenzielle Technik und liefert keine Beweise für eine erfolgreiche Kampagne gegen ein bestimmtes Unternehmen oder eine bestimmte Plattform.
Identitätsdienste benötigen mehrschichtige Schutzmaßnahmen
Unternehmen sollten sich bei der Identitätsprüfung nicht auf ein einzelnes Signal wie Kamerazugriff oder Geräteattestierung verlassen. Angreifer können versuchen, einzelne Signale auf modifizierten Geräten zu manipulieren.
Starke Verifizierungssysteme können unvorhersehbare Liveness-Prüfungen, Kontrollen der Dokumentenechtheit, serverseitige Risikoanalysen und die Überwachung des Kontoverhaltens kombinieren. Verdächtige Fälle können außerdem manuell überprüft werden, insbesondere bei Konten mit hohem Wert.
Sicherheitsteams sollten ihre KYC-Prozesse in einer kontrollierten Umgebung gegen realistische Szenarien zur Kameraeinspeisung testen. Sie sollten außerdem auf ungewöhnliche Geräteprofile, wiederholt verwendete Medien und inkonsistentes Verifizierungsverhalten achten.
Nutzer sind einem höheren Betrugsrisiko ausgesetzt
Wenn Kriminelle die Manipulation von Kameraeingaben erfolgreich mit gestohlenen Ausweisdokumenten und überzeugenden Gesichtsbildern kombinieren, könnten sie versuchen, betrügerische Konten zu eröffnen, bestehende Konten zu übernehmen oder sich als andere Personen auszugeben.
Das Android-Toolkit zur Umgehung von KYC beweist nicht, dass solche Angriffe stattgefunden haben. Es verdeutlicht jedoch die zunehmende Notwendigkeit für Identitätsdienste, sowohl die Echtheit eines Dokuments als auch die Vertrauenswürdigkeit des Geräts zu überprüfen, mit dem es erfasst wurde.
0 Kommentare zu „Android-Toolkit kann Live-KYC-Kameraprüfungen umgehen“