Amazon Passwort Wiederherstellungs SMS

[TZGamer]

Moin in die Runde,

wie ja sicherlich der ein oder andere Nutzer gelesen hat gab es vor einigen Daten wieder einen großen Datenleak. Teilweise sind wohl alte Daten drin, wohl aber auch noch komplett Neue. Wie dem auch sei, ich bin mit einer 20+ Jahre alten Web.de Mail Adresse natürlich auch mal wieder in dem Leak vertreten. Das weiß man dann auch, dass die Spammer wieder den Turbomodus einschalten werden.

Jetzt passiert bei mir seit Donnerstag aber etwas komplett Neues:
Ich bekomme quasi täglich (meist 1x pro Tag) einen Haufen SMS auf einen Schlag mit dem Hinweis "Amazon: dein Code ist ... Teile ihn nicht bla bla.". Das sind auch immer mehrere SMS mit dem gleichen Code, aber einer anderen URL. Das sind aber alles legitime Amazon URLs wie sich später rausgestellt hat. Ging mit Amazon.com.br und Amazon.com.br los und jetzt kommen die über Amazon.pl rein. Was wohl bedeutet, dass das über die entsprechenden lokalen Websites von Amazon getriggert wird.

Hier mal ein Beispiel von heute:

Die SMS der Message Apps auf dem Smartphone auch in der Konversation von Amazon gespeichert in der sonst meine OTPs bzw. 2FA Meldungen kommen. Das alleine soll ja aber wohl auch nichts heißen, da es wohl möglich sein soll das entsprechend zu manipulieren. Habe trotzdem mal aus Spaß wieder mein Kennwort geändert um sicherzustellen, dass falls da doch jemand das PW erraten hat (PW war einmalig, 20+ Zeichen und war auch nicht bei Haveibeenpwned gelistet)

Einen Tag später ging der Spaß dann wieder los und dann habe ich die URLs mal über eine Sandbox aufgerufen. Da hat sich dann herausgestellt, dass es sich um keine 2FA handelt, sondern um einen Code für die Passwortwiederherstellung. Locations waren Anfangs Niedersachsen, NRW, Bayern usw.. Geräte sollen alle iPhones gewesen sein von denen das getriggert wurde (habe nur ein iPad). Heute war dann aber auch mal Italien dabei. Also versucht wohl jemand in meinen Account zu kommen.

Daher lag es dann nahe meine Mailadresse bei Amazon zu ändern. Hatte ich so oder so vor, da ich seit einiger Zeit einne eigene Domain und Mailserver habe und ich bisher nur zu faul war die ganzen alten Sachen umzuziehen. Anders gesagt: Die Adresse kennt keiner. Das Ganze habe ich gestern gemacht.
Interessanterweise hat Amazon in der Sicherheitsrubrik mich auch sofort dazu genötigt mein Passwort nochmals zu ändern. Gesagt getan und dann habe ich anschließend die Mail geändert. Bewusst nicht geändert habe ich meine Telefonnummer. Mit der kann man sich ja auch einloggen bzw. seinen Account recovern. Und siehe da, da heute kamen wieder einige SMS. Wieder der gleiche Code, aber verschiedene URLs. Habe im letzten Schritt mal meine Telefonnummer geändert und dann bin ich mal gespannt, ob morgen Ruhe ist.

Daher rein aus interesse gefragt: Hat jemand aktuell das gleiche Phänomen erlebt?

 

[StefanZ]

Moin

hab das gleiche seit ca 2 Wochen. Mal aus Amazon.de, mal aus Amazon.pl und heute aus Amazon.nl
Hab immer den Link verwendet und gesehen, dass das immer iPhones waren und im Falle der Auslands Domains immer Standorte in der Nähe des Auslands, also RheinlandPfalz bei NL und Brandenburg oder Berlin bei PL.
Auffallend war noch, dass die SMS Texte auf Deutsch waren obwohl vermutlich durch Login Versuch in den Amazon Domains NL und PL ausgelöst. Das konnte ich nicht reproduzieren. Mein Login auf Amazon.pl erzeugte nach Eingabe meiner Web.de Adresse sofort die Aufforderung zu einer Codeeigabe (wohl wegen zuvieler Attempts des Angreifers) und Start einer SMS. Die ich erhielt war aber auf Polnisch und enthielt auch keinen Link zum Ablehnen. Sprache vorher auf D umstellen geht nicht. Wie machen die das?
Der Text der Ablehnunsseite ist auch auf deutsch, im Falle von PL aber grammatikalisch falsch.
Außerdem komisch: Bei einer SMS gestern aus Pl zeigte der Link zur Ablehnung auf eine Seite, in der nicht nur das anfordernde Gerät aus Brandenburg angezeigt wird sondern auch ein zweites iPhone an einem anderen Standort welches angeblich genehmigt hätte. Darunter noch ein Button, das nicht wie üblich Ablehnen hieß sondern irgendsoähnlich wie Das kommt mir nicht bekannt vor. Damit konnte ichletztlich ablehnen.
Wie soll denn das gehen, genehmigen? Dafür gab’s noch nie ein Button?
Außerdem von einem anderen Stsndort nur wenige Minuten nach der Anforderung!
Da müsste ja ein anderer eine SMS Kopie erhalten haben. Wie soll das denn gehen?
Was soll eine Ablehnung denn überhaupt bringen? Den Code hab ja nur ich.
Das alles hab ich in einer langen Mail bei Smazon angefragt. Da wird aber nur Eischiwaschi zurückkommen.

Würde gerne wissen ob nach Trlnummer Änderung Ruhe bei dir ist. Bitte antworte doch, ok?

und die Texte der Website

 

[TZGamer]

hab das gleiche seit ca 2 Wochen

Freut mich auf gewisse Weise, dass ich nicht alleine bin

Hast du mal bei Haveibeenpwned gecheckt, ob deine E-Mail in dem "Synthient Credential Stuffing Threat Data" Leak enthalten war? Das ist der, der vor ein paar Tagen bekannt wurde. Nicht von dem April 2025 verwirren lassen.

Have I Been Pwned: Check if your email address has been exposed in a data breach

Have I Been Pwned allows you to check whether your email address has been exposed in a data breach.

haveibeenpwned.com

Auffallend war noch, dass die SMS Texte auf Deutsch waren obwohl vermutlich durch Login Versuch in den Amazon Domains NL und PL ausgelöst.

Habe ich mir tatsächlich bisher keine Gedanken gemacht. Evtl. wird das anhand Amazon ja aber auch anhand der Vorwahl irgendwie vorgenommen?

Außerdem komisch: Bei einer SMS gestern aus Pl zeigte der Link zur Ablehnung auf eine Seite, in der nicht nur das anfordernde Gerät aus Brandenburg angezeigt wird sondern auch ein zweites iPhone an einem anderen Standort welches angeblich genehmigt hätte.

Das mit dem "Genehmigen" wurde mir auch gezeigt. Hatte gedacht, dass ich da ausversehen etwas falsches angeklickt habe. Die Genehmigung konnte man aber auch zurückziehen.

Würde gerne wissen ob nach Trlnummer Änderung Ruhe bei dir ist. Bitte antworte doch, ok?

Heute kam tatsächlich noch keine SMS. Also bisher ist Ruhe

Eventuell hat Amazon ja auch einen Systemfehler bei sich. Das könnte bspw. auch erklären wieso mal ein Code als "genehmigt" rausging und wieso plötzlich mehrfach SMS mit dem gleichen Code und verschiedenen URLs kommen. Was mir nämlich aufgefallen ist, ist dass die SMS von Amazon teilweise nicht durchkommen. Dann habe ich immer ein zweites Mal einen Code angefordert. Der kam dann an. Evtl. verschickt Amazon die Codes also gelegendlich an falsche Nummern. Das würde aber natürlich nicht erklären, warum das immer iPhones sein sollen von denen die Codes getriggert werden.

 

[StefanZ]

Hi

haveibeenpawnd:

Ja, sowohl Mailadresse als auch 2 Passwörter. Eines uralt und nicht mehr genutzt, ein anderes, das ich vor einigen Monaten noch nutzte u zwar auch mehrfach. Längst modifiziert aber noch ähnlich und erratbar mit Bezug auf webseiteinfividualisiert. Das habe ich nun alles geändert zumindest auf allen kritischen Accounts.

Es dürfte klar sein, dass Ganoven jetzt genau diese 2 Passwörter nutzen und versuchen, leichte Veränderungen auszuprobieren mit meiner Mail. Daher auch soviele fremde sms kurz hintereinander

Habe ich mir tatsächlich bisher keine Gedanken gemacht. Evtl. wird das anhand Amazon ja aber auch anhand der Vorwahl irgendwie vorgenommen

Ist dir gar nicht aufgefallen, dass deine Links auf die Domain PL gerichtet sind und die Webseite die dann entsteht auch von der Domain PL ist? Und zudem grammatikalisch falsches Deutsch enthält?

Ich bin sicher, Angreifer in DE wissen, dass Auslandsdomains laxer gesichert sind bei mehrfacher Falscheingabe des Passworts oder andere Lücken existieren.

Habe also weiter getestet und mich dazu in Domains NL und PL verbunden.

Bei 3-4 Falscheingaben in PL war ein weiterer Versuch blockiert, aber ich konnte die Webseite einfach neu aufrufen und weitere 3-4 Versuche machen. In DE ist mir das so nicht gelungen, da war früher Schluss, bis die Sicherheitsmaßname wegen zu vieler Versuche griff und eine Codezusendung an Mail oder über sms angeboten wurde.

Ausserdem zur Sprache Deutsch aus Pl und NL:
In PL kann man vor Loginversuch keine Sprache umstellen in NL aber wenigsten Englisch aber nicht Deutsch.
Wenn ich aus PL einen Code an meine Mailadresse sendete, kam die tatsächlich übersetzt in Deutsch an (wie du vermutetest wohl wegen deutscher Mailaddresse) und enthielt einen Link zur Ablehnung wie die SMS.
Wenn ich aber stattdessen den Code an die Telnummer senden liess kam diese in Polnisch und hatte keinen Link zur Ablehnung.

Wie zum Henker wird in der Domain PL oder NL eine SMS auf deutsch ausgelöst?
Wieso haben die einen Link,?

Das mit dem "Genehmigen" wurde mir auch gezeigt. Hatte gedacht, dass ich da ausversehen etwas falsches angeklickt habe. Die Genehmigung konnte man aber auch zurückziehen.

Nix Versehen! Die Webseiten die dem Link folgen haben nur ein Button Ablehnen. Man kann damit nicht genehmigen.
Was soll denn auch genehmigt werden? Dass der Angreifer weiter vergeblich auf einen Code warten darf und sich sein Amazonfenster nicht gleich wieder schliesst? Das ist unsinnig. Der Code erreicht ihn ohnehin nicht.
Genehmigt wird also höchstens indirekt indem aus der SMS nie abgelehnt wird. Das würde nie irgendwo bermerkt oder angezeigt werden.
Nach der merkwürdigen Genehmigung kam aber ein anderer Button „Das kommt mir merkwürdig vor“ oder so ähnlich, mit dem man letztlich doch noch ablehnen kann. So haben wir beide das gemacht.

Wer zum Henker kann wenige Minuten nach Anforderung von einem vom Anforderer weit entfernten Standort genehmigen und wie?
Da müssen 2 als Bande zussmmengehören oder jmd fakt auf seinem iphone den Standort ( das geht mit Tools)

Den Text trotz fehlender Funktionalität dazu mit angeblicher Genehmigung anreichern und auf einer https Seite darstellen, das kann höchstens ein IT MA von Amazon! Bandenmitglied?

Das grottenschlechte Deutsch in den SMS kommt von allen Domains ausser von DE.
Das ist daher eher kein Hinweis auf ein Fake durch Haker. Hier hat ein Programmierer für Amazon schlicht gepatzt, der für die Standardtextbausteine der SMS eine schlampige Standardübersetzung als Parameter zur Verfügung stellte.

Das hier alles an Amazon melden bzw darüber befragen ginge über reportascam@amazon,com mit Kopie der verdächtigen SMS.

Ich mache das mal und erwähne obige Unstimmigkeiten mit Sprache und Genehmigt-Meldung.

Befürchte aber das übliche Abhelf Wischiwaschi, was man tun soll und keine nähere Beschäftigung mit dem Problem oder fundierte Erklärung.
Was jetzt zu tun ist weißich selber. Neue Mailadresse und 2 Faktor Authorisierung.
Hoffentlich keine neue Telnummer nötig, da warte ich noch weiter auf deine Rückmeldungen, die du bitte nach 1-2 Wochen gibst, bitte!

Wer gut, wenn du auch so eine Mail formulierst.

Lass uns gegenseitig austauschen, ob uns noch etwas auffält oder wie es weiter geht, ok?

Gutnacht

 

[TZGamer]

Ist dir gar nicht aufgefallen, dass deine Links auf die Domain PL gerichtet sind und die Webseite die dann entsteht auch von der Domain PL ist? Und zudem grammatikalisch falsches Deutsch enthält?

Doch, aber was das angeht bin ich es schon gewöhnt, dass Amazon einen Auto-Translator nutzt und der seher schlecht ist

Nach der merkwürdigen Genehmigung kam aber ein anderer Button „Das kommt mir merkwürdig vor“ oder so ähnlich, mit dem man letztlich doch noch ablehnen kann. So haben wir beide das gemacht.

Jup genau.

Wer zum Henker kann wenige Minuten nach Anforderung von einem vom Anforderer weit entfernten Standort genehmigen und wie?

Vermutlich alles automatisiert und eben hinter VPNs versteckt.

Ich kann auch heute berichten, dass bisher keine weiteren SMS kamen. Bisher scheint das Ändern der Telefonnumer den Spuk also beendet zu haben.