Li Auto in Russland: Massenhafter Diebstahl von Master-Accounts

Der Master-Account als Fahrzeugschlüssel

Der Master-Account ist das zentrale digitale Profil des Besitzers und fungiert als Schlüssel zum Auto. Er öffnet den Zugang zur Li-Auto-App, über die sich Schlösser, Klimatisierung, Antrieb, intelligente Funktionen und Sicherheitssysteme steuern lassen.

Bereits im vergangenen Sommer meldeten russische Besitzer eine Welle von Kontodiebstählen. Damals lag die Ursache in abgelaufenen SIM-Karten, die über Esender in WeChat registriert und an den Auslandspass des Besitzers gebunden waren. Auf diese SIM wird beim Kauf der Master-Account übertragen. Diesmal, so Rasskazov, zielen die Angreifer direkt auf Esender: Auch Besitzer mit ordnungsgemäß bezahlten Nummern verlieren ihre Konten, und zwar mit regulären Li-Auto-Mitteln.

Die Lösegeldforderungen sind von 200.000 bis 250.000 Rubel im Vorjahr auf nun 35.000 bis 45.000 Rubel gesunken. Rasskazov spricht von einem Fließband auf Masse statt von einzelner Erpressung. Er nennt drei mögliche Angriffswege: Brute-Force-Angriffe auf Passwörter, Datendiebstahl bei Fahrzeughaltern in China und die freiwillige Weitergabe von Zugangsdaten an zweifelhafte Firmen oder Personen, die Apps installieren, Software russifizieren oder Fahrzeuge umflashen.

Gegenmaßnahmen und Empfehlungen

Sinomach Auto zufolge will Li Auto dem Problem besondere Aufmerksamkeit widmen. Importeur und Hersteller arbeiten an Schutzmechanismen und an der Wiederherstellung des Zugangs für rechtmäßige Besitzer, einschließlich eines Verfahrens zur Verifizierung und sicheren Kontowiederherstellung. Dazu gehört die Umstellung der Konten von chinesischen Telefonnummern auf eine E-Mail-Adresse. Für Modelle des Jahrgangs 2026 gibt es das System bereits; es soll auch auf offiziell und per Parallelimport gelieferte Fahrzeuge ausgeweitet werden.

Rasskazov rät Betroffenen, kein Lösegeld zu zahlen und die Polizei einzuschalten. Einen garantierten Schutz gebe es nicht. Er empfiehlt, die Rufnummernbindung des Master-Accounts zu prüfen, das Esender-Passwort zu ändern, SMS-Codes niemandem mitzuteilen und ungewöhnliches Verhalten der App zu dokumentieren.