Dieser Artikel dient rein zu Demonstrationszwecken und somit nicht als Anleitung für einen solchen Angriff. Ebenfalls wurden zum Schutze der Person alle persönlichen Daten unkenntlich gemacht.

1. Die Suche

Da dieser Artikel zu Demonstrationszwecken dient bin ich der Angreifende und suche mir zunächst ein passendes Opfer heraus. In meinem Falle ist es mein Freund, dessen Google Konto ich gerne mal unter einen Stresstest stellen möchte. Ich wusste bis jetzt nur den Namen des Kontos bzw. die E-Mail Adresse meines Freundes und musste mit dem was ich hatte weiterarbeiten.

2. Informationen sammeln

Da ich nicht viel über sein Konto wusste fang ich an Informationen über ihn zu sammeln, das viel mir nicht mal schwer da wir Freunde waren. Die folgende Liste stellt Informationen da die ich über ihn innerhalb einer Woche gesammelt hatte.

• Name : Peter Neubach
• Telefonnummer : 0571 2563443
• Wohnort inkl. Hausnummer : Im Graben 5, Hamburg
• Kennzeichen : D FC 253
• Anderes : Wann und wo er zu Schule gegangen ist, Geburtsdatum, alte Passwörter ...

Die echten Daten wurden hier durch falsche Informationen ersetzt.

3.  Probieren geht über Studieren 

Ich probierte nun mit den gesammelten Information Passwörter zu erstellen die (so glaubte ich) mein Freund als Passwort für sein Google Konto gewählt haben könnte. Doch nach dutzenden Anmeldeversuchen sperrte Google den Account meines Freundes für eine Stunde. Ich wusste das ich eine andere Strategie brauchte, doch welche ?

4. Ich habe mein Passwort vergessen

Plötzlich viel mir ein das man den Account auch ohne Passwort zurücksetzen kann,  indem man Sicherheitsfragen beantwortet. Die erste Sicherheitsfrage war direkt ein Erfolg für mich, weil Google danach fragte ob ich den noch mein bzw. das alte Passwort meines Freundes wüsste.

Ich versuchte es mit ein paar alten Passwörtern die ich noch von ihm kannte bis Google mich plötzlich zur nächsten Sicherheitsfrage weiterleitete.

Würde ich in diesem Falle auf "Ja" drücken würde mein Freund nun eine Nachricht bekommen ob er sein Google Account Passwort wirklich vergessen hat. Da meist die höchste Priorität eines Angreifers ist unentdeckt zu bleiben drücke ich aus Demonstrationszwecken auf "Andere Option wählen". Nun zeigte Google mir eine weitere Sicherheitsfrage, diese bezog sich auf das Erstelldatum des Kontos.

Da ich nicht wusste wann mein Freund sich das Google Konto erstellt hatte, überprüfte ich das Upload Datum seines ersten Profilbildes auf seiner Google Plus Seite und siehe da 23.1.1991 (falsche Angaben). Mit diesen Daten konnte ich mich darauf bei Google als mein Freund verifizieren und eine E-Mail für den emfang eines Zurücksetzlinks angeben. Ich hatte es geschafft. Die E-Mail von Google sah folgendermassen aus :

5. Und jetzt ?

Ich habe mein Ziel erreicht und könnte nun seinen Account übernehmen ohne das er etwas dagegen tun kann.

Mein Freund wurde über alle getroffenen Handlungen im Nachhinein informiert, es sind keine Schäden für ihn entstanden. 

Ich beantworte immer gerne Fragen, ihr müsst sie bloß stellen.