Das ist schon klar, dass das automatisiert läuft, aber wenn nach 4 Fehlversuchen zu gemacht wird, musst du es 25.000 Mal versuchen, um einen Treffer zu landen. Das aber auch nur unter der Voraussetzung, dass du nach 4 Versuchen immer wieder die Servicekarten-Nummer wechselst und immer eine verwendest, die tatsächlich existiert. Dann bist du irgend wann in irgend einem Account drin und wenn da nur 10.000 Meilen drauf sind, haste die Arschkarte gezogen.
PS: Dass da 100 oder 1000 Leute sitzen, ist ausgeschlossen, denn diese Leute müssen ja bezahlt werden und dafür ist die Ausbeute zu gering.
PPS: Wenn es Angriffe dieser Art gäbe, müssten jeden Tag zehntausende Meilenkonten wegen mehrmaliger Falscheingabe der PIN gesperrt sein. Davon hätten wir gehört. Deshalb bleibe ich dabei: Die Daten werden auf Anwenderseite abgegriffen. Alles andere ist unlogisch.
Ich bin mir da nicht mal so sicher.
Was ist, wenn der Angreifer anders herum vorgeht?
Wenn ich Account nach 3 Falscheingaben gesperrt wird, dann versucht der Angreifer eben nur 2 Pins, damit es nicht auffällt.
Dann wechselt der Angreifer bei 2 Versuchen seine IP etc.
Und was, wenn der Angreifer die MM Nummer nicht kennt? Dann geht er eben anders vor. Er braucht doch die MM Nummer nicht. Man generiert sich eben einfach eine Liste mit allen möglichen MM Nummern. Ein SEN oder HON hat wohl die meisten Meilen. Also sucht man nach 15 stelligen Nummern, die mit (ihr wisst die 4 Ziffern) beginnen. Die letzte Ziffer ist eine Prüfziffer, die kann sich auch jeder selbst ausrechnen. Bleiben von 15 Ziffern also nur noch 10 Ziffern übrig. Wer sich seine ganzen Nummern anschaut, kann noch weitere Muster erkennen und die Nummernkreise weiter einschränken.
Dann probiert man eben mit brute force alle Nummern durch und testet bei allen Nummer die gleiche PIN. Schon hat man einen ersten Ansatz.
Bei diesem Prinzip wird der Angegriffene also komplett zufällig gefunden.
Und das ist nur das, was ich mir als Laie ausgedacht habe. Wenn man das ernsthaft betreibt, findet man sicher noch 100 weitere Optimierungen, oder auch Abgriffsstellen, wo real existierende MM Nummern "abfallen".Denkt nur mal an die 1000 Promos, wo man überall bei jedem Dorfladen inzwischen MM Meilen sammeln kann. Da muss ja nur mal eine Datenbank kompromitiert werden, da werden sich ja viele Meilensammler angemeldet haben. Von Kreuzfahrtnewsletter über Payback bis hin zu Hotel-Checkins.
Ganz ehrlich: wenn es eine 2FA gibt, und die aber nicht immer "anschlägt", nicht einmal bei einer Einlösung, dann ist das schon echt schwach... Und dann macht das so einen Angriff eben auch sehr zur Zielscheibe.
)
