Mit Phishing per SMS nehmen Cyberkriminelle Smartphones ins Visier

Das Smartphone ist zum ständigen Begleiter unserer modernen Gesellschaft geworden. Deshalb gilt es, sich nicht nur vor Betrug und Hacking am Rechner vorzusehen, sondern auch Mobilgeräte wie das Handy einzubeziehen. Denn Smishing – das Phishing per SMS – nimmt massiv zu. Darauf machen die IT-Sicherheitsexperten der PSW GROUP aufmerksam. [...]

„Smishing ist eine zusammengesetzte Wortkreation, bestehend aus SMS und Phishing. Phishen Cyberkriminelle, so versenden sie betrügerische E-Mails und verführen die empfangenden Opfer dazu, Links anzuklicken oder Anhänge zu öffnen. Über manipulierte Websites gelingt es Cyberkriminellen, beispielsweise Login-Daten, Nachrichteninhalte oder andere Informationen zu stehlen. Beim Smishing werden anstelle von E-Mails einfach Textnachrichten verwendet“, erklärt PSW-Geschäftsführerin Patrycja Tulinska. Im Wesentlichen würden sich die Motive oder Ziele der Cyberkriminellen laut Tulinska auf drei Dinge herunterbrechen lassen:

• Sie möchten Zugangsdaten abgreifen, beispielsweise Bankdaten, Malware verbreiten
• Kreditkartennummern oder sonstige Informationen abgreifen, die (App-) Zugangsdaten kompromittieren kann
• Sie wollen sich bereichern, indem sie Geldbeträge einheimsen

Smishing-Methode 1: Download schädlicher Software

Um ihre Ziel zu erreichen, nutzen die Angreifer verschiedene Methoden, mit denen es ihnen immer wieder gelingt, ihre Opfer auszutricksen. Wie auch beim E-Mail Phishing können Kriminelle beispielsweise Textnachrichten mit einem Downloadlink zu schädlicher Software versenden. Der Empfänger wird aufgefordert, diesen anzuklicken. Kommt er der Aufforderung nach, wird im Hintergrund eine Software heruntergeladen und der Angreifer erhält auf diese Weise Zugriff auf das Smartphone.

Smishing-Methode 2: Link zu gefälschter Website

Eine weitere Methode ist das Weiterleiten des Opfers auf ein Formular, eingebettet in einer gefälschten, aber täuschend echt aussehenden Website. „Die persönlichen Daten, die in dieses Formular eingetragen werden, werden dann frei Haus an die Betrüger geliefert. Dieser Trick ist besonders beliebt, um sich Zugangsdaten fürs Online-Banking oder sonstige Konto- und Kreditkarteninformationen zu eigen zu machen. Typischerweise vermelden die Cyberkriminellen Sicherheitsprobleme, die die sofortige Übermittlung der persönlichen Daten erforderlich machen würden, um alle Funktionen eines Diensts weiterhin nutzen zu können“, warnt Tulinska.

Smishing-Methode 3: Spear-Smishing

Eine ausgeklügelte Attacke ist das Spear-Smishing. Cyberkriminelle werten dabei im Voraus Internetprofile des Opfers aus, beispielsweise aus sozialen Netzwerken. So verschaffen sie sich ein Bild über die Person und schneiden das Smishing exakt darauf zu. Da die Angreifer bereits persönliche Informationen des Opfers kennen, wird ein trügerisches Gefühl von Vertrauen und Glaubwürdigkeit erzeugt und Daten werden häufig bereitwillig anvertraut.

Smishing-Methode 4: Vortäuschen falscher Personen

„Ebenfalls sehr beliebt ist die Methode, bei der sich Cyberkriminelle als Mitarbeiter von Kundenbetreuungen ausgeben. Das Opfer dieser Masche erhält eine SMS mit der Information, dass es notwendig sei, sich über die angegebene Nummer an den Kundensupport zu wenden. Spricht der Betrüger mit dem Opfer, so versucht er, Informationen zu entlocken. Aufgrund der Masche, sich als Supportmitarbeiter auszugeben, existiert eine erhöhte Glaubwürdigkeit – und schon werden Details vertrauensselig ausgeplaudert“, so Tulinska.

Die Expertin hat ein paar Tipps parat, wie sich Nutzer effizient gegen Smishing schützen können. Als Faustformel sollte jeder Anwender beherzigen:

• Weder Kreditkarten- noch Banking-Informationen haben etwas auf dem Smartphone verloren. Denn wo keine Informationen vorhanden sind, kann auch nichts gestohlen werden. „Zudem kann der Nutzen einer Antivirensoftware auch auf dem Smartphone nicht oft genug betont werden. Zwar gibt es keine Garantie, dass ein AV-Programm die schädliche Software auch erkennt. Doch mit dieser zusätzlichen Sicherheitsstufe sinkt die Wahrscheinlichkeit von Infektionen des Smartphones“, so Tulinska.
• Der Erhalt dringender Sicherheitswarnungen per SMS, von Coupons, Angeboten oder Deals, die sofort eingelöst werden sollen, muss hellhörig machen und sollte unbedingt als Warnsignal für einen Angriff verstanden werden. „Weder Banken noch Händler oder andere Stellen und Institutionen senden Textnachrichten, um Kontoinformationen zu erfragen oder ihre Kunden zum Bestätigen per PIN aufzufordern. Wer eine solche SMS angeblich von einem Händler oder seiner Bank erhält, kann dort anrufen, um zu überprüfen, ob die Nachricht wirklich von dort stammt“, rät Tulinska.
• Auf keinen Fall darf auf Links oder Telefonnummern in Nachrichten geklickt werden, denn gern geben sich Cyberkriminelle auch als Bekannte aus. Wer sich unsicher ist, sollte den Absender, auch wenn es der vermeintliche Kumpel ist, anrufen und nachfragen. „Es ist immer ratsam, einen Blick auf die Nummer zu werfen, von der die Textnachricht stammt. Sieht sie nicht echt aus, wie beispielsweise „50110“, so kann es sein, dass die Nummer auf E-Mail-zu-SMS-Services verweist. Diese werden zuweilen von Betrügern genutzt, um ihre echten Telefonnummern zu verschleiern“, gibt Tulinska einen Hinweis.

Auch ist es möglich, dass Smisher durch Spoofing andere Nummern vortäuschen. Neben verdächtigen Nummern können auch Rechtschreibung und Grammatik auffällig sein. Häufig nutzen international agierende Kriminelle Übersetzungstools – und das merkt man den Textnachrichten an.