Der Angriff begann laut Dr. Torsten George mit einem unaufgeforderten Anruf von jemandem, der vorgab, den Mobilfunkanbieter zu vertreten. Die Rufnummer wirkte unauffällig, der Anrufer eröffnete das Gespräch mit einer Kundenzufriedenheitsumfrage und sprach über Treuerabatte. Nach Georges Schilderung wirkte die Unterhaltung natürlich und personalisiert; der Anrufer kannte bereits Kontodetails, bevor er überhaupt nach Authentifizierungsinformationen fragte.
Im weiteren Verlauf forderte der Anrufer George auf, einen Einmalcode vorzulesen, der gerade per SMS auf seinem Telefon eingegangen war. Die Nachricht habe ausdrücklich darauf hingewiesen, dass der Anbieter niemals nach diesem Code fragen werde. Trotzdem, so George, seien vergleichbare Nachfragen aus Callcentern oder Filialen nicht unüblich. Mit dem Vorlesen des Codes bestätigte er unbeabsichtigt eine vom Angreifer initiierte Anmeldung.
Der Einmalcode war nach seiner Analyse allerdings nicht das eigentliche Ziel. Der Angreifer habe zu diesem Zeitpunkt bereits fast alle für die Kontoübernahme nötigen Informationen besessen. Gefehlt habe nur noch der Kontocode, den George Jahre zuvor nach einer früheren Kompromittierung eingerichtet hatte. Weil die Situation weiterhin legitim wirkte, gab er auch diese Angabe preis und lieferte damit das letzte benötigte Merkmal für den Zugriff auf das Konto.
Als der Verdacht wuchs, versuchte George, sich selbst in sein Konto einzuloggen. Nach erfolgreicher Anmeldung wurde er jedoch unerwartet wieder abgemeldet, während sich der Angreifer gleichzeitig in dasselbe Konto authentifizierte. George wertet das als Beispiel dafür, warum Authentifizierung nicht als einmaliges Ereignis betrachtet werden dürfe. Unternehmen müssten parallele Sitzungen, Geräteruf, IP-Informationen, Verhaltensanomalien und weitere Kontextsignale fortlaufend überwachen.
George konnte den Angriff noch abfangen, indem er sofort eine Passwortzurücksetzung über einen Einmalcode an seine E-Mail-Adresse statt an die kompromittierte Rufnummer auslöste. So erhielt er wieder Zugriff und änderte das Kontopasswort, bevor der Angreifer dauerhafte Kontrolle etablieren konnte. Dennoch waren bereits mehrere unautorisierte Änderungen erfolgt. Besonders auffällig: Seine Mobilfunknummer wurde gelöscht. Mitarbeiter eines Shops des Anbieters erklärten ihm später laut Bericht, dass ein solcher Schritt normalerweise nicht einmal über Filialkanäle möglich sei. Weitere Profiländerungen deuteten für ihn darauf hin, dass der Angreifer eine langfristige Übernahme vorbereitete.
Auch die Meldung des Vorfalls verlief laut George problematisch. Mehrfache Weiterleitungen zwischen Kundendienst, technischem Support und Betrugsabteilungen hätten die Gegenmaßnahmen verzögert, obwohl die Kompromittierung noch im Gange gewesen sei. Die einzige formale Meldeoption sei ein Online-Formular gewesen, das nicht genügend Felder für die Details des Vorfalls bot.
Seine spätere forensische Analyse ergab, dass der Angriff bereits Tage vor dem Telefonat begonnen hatte. Der Angreifer habe den Mobilfunkanbieter dazu gebracht, die Rufnummer auf eine andere SIM-Karte zu übertragen, und konnte dadurch Anrufe und Textnachrichten abfangen. Der Kontocode sei das letzte Hindernis vor der vollständigen Kontoübernahme gewesen. George verweist darauf, dass SIM-Swaps inzwischen eine verbreitete Taktik von Gruppen wie Scattered Spider und ShinyHunters seien.
Sein zentrales Fazit lautet, dass Angreifer Identitätsangriffe zunehmend als Kette koordinierter Schritte durchführen. Social Engineering, Diebstahl von Zugangsdaten, Session-Hijacking, Kontomanipulation und Missbrauch von Wiederherstellungsfunktionen seien keine isolierten Techniken mehr, sondern aufeinander abgestimmte Phasen eines einzigen Angriffs. Kontinuierliche Erkennung von Identitätsbedrohungen könne dem laut George robuster begegnen, indem Verhaltensmuster, Geräteinformationen, Netzwerkeigenschaften, Geolokalisierung, historische Aktivität, Transaktionskontext und externe Bedrohungsinformationen in Echtzeit zusammengeführt werden.