[datensicherheit.de, 11.04.2026] Vor Kurzem haben Sicherheitsanalysten von Group-IB in einem Blog-Beitrag über eine unlängst aufgespürte Phishing-Kampagne berichtet, welche demnach Kunden von Paketzustelldiensten, Online-Shops und Transport-Apps ins Visier nimmt. Die Angreifer tarnten sich als bekannter Zustelldienst und versenden SMS-Nachrichten, mit denen sie versuchten, ihre Opfer auf Phishing-Webseiten zu locken, um deren Nutzer- und Bankdaten zu erbeuten. Dr. Martin J. Krämer, „CISO Advisor“ bei KnowBe4, kommentiert diese Phishing-Kampage in seiner aktuellen Stellungnahme:

Foto: KnowBe4

Dr. Martin J. Krämer: Wollen Sie Ihren Lieferstatus prüfen, sollten Sie immer selbständig die Website des Kurierdienstes öffnen und ihre Liefernummer manuell eingeben!

Opfer werden angeblich zur offiziellen Website des Paketdienstleisters weitergeleitet und landen aber auf getarnter Phishing-Webseite

In aller Regel beginne ein solcher Phishing-Angriff mit einer anonymen SMS-Nachricht von einer lokal erscheinenden Telefonnummer, in der die Betrüger – ausgestattet mit einer gefälschten Absender-ID – behaupteten, dass die Zustellung eines Pakets aus irgendeinem Grund fehlgeschlagen sei.

• Nach mehreren gescheiterten Zustellversuchen sei dieses Paket nun vom Dienstleister an den Absender zurückgesandt worden. Das Opfer werde sodann aufgefordert, so schnell wie möglich auf eine Webseite des Unternehmens zu wechseln – wo es seine Adressdaten aktualisieren und verschiedene Zahlungen, wie Bearbeitungsgebühren, Steuern oder Zölle, ableisten solle. Sobald dies geschehen sei, werde das Paket dem Opfer erneut zugesandt.

Um diese Daten nun möglichst rasch und unkompliziert eingeben zu können, erhalte das Opfer in der SMS-Nachricht einen Link zugesandt: Angeblich leite dieser das Opfer zu einer offiziellen Website des Paketdienstleisters weiter. Tatsächlich lande es aber auf einer getarnte Phishing-Webseite. Dort angekommen, werde das Opfer dann aufgefordert, persönliche Informationen, Bank-Daten oder auch gleich seine Kreditkartennummer einzugeben.

Phishing-Angriffskampagne noch längst nicht ausgestanden: Warnung an Verbraucher und Unternehmen

Krämer berichtet: „Eine Analyse der Kampagnen-Infrastruktur ergab wiederkehrende IP-Adressen, Domain-Registrare und Überschneidungen bei Hosting-Anbietern, was auf eine koordinierte Operation hindeutet. Eine HTML-Analyse deckte zudem eingebettete Skripte, WebSocket-Verbindungen, Echtzeit-Keylogging, UUID-Sitzungsverfolgung und die direkte Exfiltration der Anmeldedaten auf.“

• Nutzern von Paketzustelldiensten könne nur geraten werden, bei der Nachverfolgung ihrer Sendungen Vorsicht walten zu lassen. Diese Angriffskampagne ist noch längst nicht ausgestanden. Unter keinen Umständen sollten sie auf SMS-Links, wie den hier vorgestellten, oder auf ihnen zugesandte angebliche Tracking-Links zu ihren Sendungen klicken.

Krämer rät dringend: „Wollen Sie Ihren Lieferstatus prüfen, sollten Sie immer selbständig die Website des Kurierdienstes öffnen und ihre Liefernummer manuell eingeben! Als wichtigste Maßnahme gilt aber nach wie vor, sich kontinuierlich über die aktuelle Cybersicherheitslage, über Risiken und geeignete Abwehrmaßnahmen, auf dem Laufenden halten und das Wissen dann selbst zur Anwendung zu bringen.“ Auch Unternehmen könne nur geraten werden, ihre diesbezüglichen Bemühungen zu forcieren, regelmäßig Sicherheitstrainings und -schulungen für die gesamte Belegschaft durchzuführen. „Anders werden sich Phishing-Kampagnen, wie die hier vorgestellte, kaum in den Griff bekommen lassen“, betont Krämer abschließend.

Weitere Informationen zum Thema:

knowbe4
KnowBe4 News und Wissenswertes

knowbe4
Dr. Martin J. Krämer

GROUP-IB, Blog, 13.03.2026
The Rise of Fake Shipment Tracking Scams in MEA: Did you really lose your shipment on the way?

datensicherheit.de, 27.08.2025
Falsche Nummer: Warnung vor Zunahme von SMS-Betrugsmaschen / Eine scheinbar harmlose SMW-Nachricht von einer unbekannten Nummer kann der Beginn eines geschickten Betrugsversuches sein

datensicherheit.de, 11.03.2025
Cyberkriminalität im Alltag: Phishing-Angriffe über gefälschte SMS / Gefälschte Zahlungsaufforderungen für Parkverstöße

datensicherheit.de, 15.08.2022
SMS-Phishing-Angriff: Lookout-Erkenntnisse zu Cyber-Vorfall bei Twilio / Lookout rät zu Schutz vor mobilen Phishing-Angriffen als wichtigem Bestandteil der allgemeinen Sicherheitsstrategie jedes Unternehmens

datensicherheit.de, 09.04.2021
Vermeintlicher Paketdient-SMS täuscht Verbraucher / Verbraucherentrale NRW warnt vor Abzocke mittels gefälschter SMS-Nachrichten

[datensicherheit.de, 27.08.2025] Panda Security warnt in einer aktuellen Stellungnahme vor der Zunahme von SMS-Betrugsmaschen mittels falscher Nummer. So könne eine scheinbar harmlose SMS-Nachricht von einer unbekannten Nummer der Beginn eines raffinierten Betrugsversuchs sein. „Diese Betrugsmaschen beginnen oft klein, können aber zu erheblichen finanziellen Verlusten führen.“ Informiert bleiben – und gar nicht erst antworten – sei der beste Schutz.

Falsche-Nummer-SMS als neuester Betrugstrend

Ein lockerer Text wie eben z.B. „Hey, bist du Sarah?“ könne gefährlicher sein, als er wirkt. Betrüger nutzten sogenannte Falsche-Nummer-SMS-Betrügereien, um Vertrauen aufzubauen und Opfer dazu zu bringen, Geld, „Krypto-Währungen“ oder persönliche Daten preiszugeben.

• Die Zahl der Fälle nehme zu, da Betrüger Höflichkeit und Einsamkeit ausnutzten – manchmal mit Schäden in Höhe von mehreren tausend Euro. Der sicherste Schutz sie nicht zu antworten, den Absender zu blockieren und verdächtige Nachrichten zu melden.

„Betrüger setzen immer häufiger auf diese Masche, um Vertrauen zu gewinnen und Opfer finanziell oder mit Daten auszunehmen.“ Laut der US-Verbraucherschutzbehörde FTC nehmen die Meldungen solcher Betrugsfälle zu – oft, weil sie gezielt auf menschliche Höflichkeit und Einsamkeit setzten.

Panda Security benennt wichtige Punkte zur neuen SMS-Betrugsmasche:

• Betrüger beginnen mit einer harmlos wirkenden SMS-Nachricht, um zu prüfen, ob die angewählte Nummer aktiv ist.
• Über Wochen hinweg bauen sie Vertrauen auf, bevor sie nach Geld fragen oder vermeintliche Investitionen anpreisen.
• Sogenannte KI-Tools machen diese Betrugsmaschen noch überzeugender, persönlicher und weiter verbreitet.
• Opfer haben bereits Tausende, teils Hunderttausende Euro verloren, nachdem sie auf solche Nachrichten reagierten.

Panda Security gibt Empfehlungen zum Schutz vor neuer SMS-Betrugsmasche:

• Antworten Sie nicht auf unbekannte SMS (auch nicht mit der Information „Falsche Nummer“)!
• Blockieren und melden Sie verdächtige Nummern!
• Überprüfen Sie angebliche Nachrichten von Familienmitgliedern oder Freunden immer direkt über bekannte Nummern!
• Sensibilisieren Sie andere, um das Risiko für alle zu verringern!

Weitere Informationen zum Thema:

panda
However complex, we make it simple

panda, 18.08.2025
How to spot wrong number phone scams

FEDERAL TRADE COMMISSION CONSUMER ADVICE
How to Recognize and Report Spam Text Messages / If you have a cell phone, you probably use it dozens of times a day to text people you know. But have you ever gotten a text message from an unknown sender? It could be a scammer trying to steal your personal and financial information. Here’s how to handle and report unwanted text messages.

datensicherheit.de, 11.03.2025
Cyberkriminalität im Alltag: Phishing-Angriffe über gefälschte SMS / Gefälschte Zahlungsaufforderungen für Parkverstöße

datensicherheit.de, 09.04.2021
Vermeintlicher Paketdient-SMS täuscht Verbraucher / Verbraucherentrale NRW warnt vor Abzocke mittels gefälschter SMS-Nachrichten

datensicherheit.de, 13.04.2017
Botfrei: Warnung vor Phishing-SMS / Gefälschte Nachrichten stammen angeblich von GMX, der Link führt jedoch auf eine Phishing-Website / Smartphone-Nutzer geraten immer stärker ins Visier der Cyberkriminellen

datensicherheit.de, 18.10.2009
Neue Kostenfalle: Empfänger einer SMS werden zu Abonnenten einer Sex-Website / Betroffene sollten Zahlung verweigern, Vertrag widerrufen und Bundesnetzagentur benachrichtigen

Ein Kommentar von Adam Marrè, CISO bei Arctic Wolf

[datensicherheit.de, 11.03.2025] In den USA häufen sich Fälle von Phishing-Angriffen, bei denen Betrüger gefälschte SMS im Namen städtischer Parkverwaltungen versenden. Die Nachrichten fordern Empfänger auf, angeblich ausstehende Parkgebühren über einen Link zu bezahlen. Wer darauf hereinfällt, landet auf täuschend echt aussehenden Phishing-Websites, die darauf abzielen, Kreditkarteninformationen oder persönliche Daten zu stehlen.

Adam Marrè, CISO bei Arctic Wolf, Bild: Arctic Wolf

Betrugsfälle auch in Deutschland

Auch in Deutschland gibt es bereits ähnliche Betrugsfälle. Hier wurden Verbraucher mit gefälschten Zahlungsaufforderungen für Parkverstöße oder E-Ticket-Apps getäuscht. In einigen Fällen wurden betrügerische QR-Codes auf Parkautomaten geklebt, die Nutzer auf manipulierte Zahlungsseiten führten. Diese Maschen nutzen die zunehmende Digitalisierung des Parksystems aus – von Online-Zahlungen bis hin zu Apps – und setzen darauf, dass Autofahrer in Eile oder unsicher sind, ob sie tatsächlich eine Parkgebühr übersehen haben.

„Diese Art von Phishing-Angriffen zeigt, wie Cyberkriminelle Alltagsroutinen ausnutzen, um die Opfer gezielt reinzulegen und an persönliche Daten zu gelangen“, so Adam Marrè, CISO von Arctic Wolf. „Der größte Risikofaktor ist die Glaubwürdigkeit der Nachrichten: Offizielle Logos, bekannte Absender und überzeugende Formulierungen erhöhen die Erfolgsquote der Angreifer.“

Arctic Wolf, Anbieter von Security Operations, rät Verbrauchern deshalb wachsam zu sein und auf folgende Punkte zu achten:

• Ungewöhnliche Zahlungsaufforderungen hinterfragen: Behörden, Kommunen und offizielle Stellen versenden in der Regel keine Zahlungsaufforderungen per SMS. Im Zweifel sollte die Webseite der Stadt oder des Parkdienstleisters direkt aufgerufen werden.
• Links nicht unüberlegt anklicken: Statt einem Link in einer Nachricht zu folgen, ist es sicherer, die offizielle Webseite selbst aufzurufen oder direkt über eine vertrauenswürdige App zu zahlen.
• Park-Apps nur aus offiziellen App-Stores herunterladen: Kriminelle verbreiten Fake-Apps über inoffizielle Websites, die Schadsoftware enthalten können.
• QR-Codes auf Parkautomaten prüfen: Falls diese nicht offiziell angebracht wirken, sollten Nutzer die Webadresse vor dem Scannen genau überprüfen.
• Sichere Zahlungsmethoden nutzen: Wer Kreditkarten- oder Bankdaten hinterlegen muss, sollte auf zusätzliche Sicherheitsmaßnahmen wie Zwei-Faktor-Authentifizierung setzen.

Phishing-Angriffe werden immer raffinierter und gezielter, oft verstärkt durch KI-generierte Inhalte. Der beste Schutz im Alltag bleibt eine gesunde Skepsis gegenüber unerwarteten Zahlungsaufforderungen und die Nutzung sicherer Kommunikationswege für sensible Transaktionen.

Weitere Informationen zum Thema:

datensicherheit.de, 23.02.2025
Phishing-Saison 2025: IT-Entscheider sollten sich auf KI-gesteuerte Kampagnen vorbereiten

Artic Wolf
Phishing: A Primer on How to Protect Your Organization

[datensicherheit.de, 15.01.2025] Cyber-Kriminelle haben nach ESET-Erkenntnissen eine neue Methode gefunden, um an Daten von „iMessage“-Nutzern zu gelangen: Mit SMS-Phishing-Nachrichten (sogenanntes Smishing), zum Beispiel Benachrichtigungen über den Paketversand, bringen sie ihre Opfer demnach derzeit dazu, darauf zu antworten und damit Phishing-Links zu aktivieren. „Wer hierauf hereinfällt, gibt persönliche Daten wie Passwörter, Kreditkarteninformationen oder Postadressen preis und macht sich zur Zielscheibe für weitere Phishing-Angriffe!“, warnt ESET in einer aktuellen Stellungnahme.

ESET-Sicherheitsexperte „Smishing“ nach wie vor eine beliebte Angriffsmethode

„Cyber-Kriminelle sind äußerst kreativ, wenn es darum geht, Sicherheitsfunktionen zu umgehen“, betont Jake Moore, Sicherheitsexperte bei ESET, und führt aus: „Smishing ist nach wie vor eine beliebte Angriffsmethode. Die meisten Menschen erkennen sie auf den ersten Blick, indem sie zum Beispiel sofort die Echtheit der Nachricht in Frage stellen. Dennoch fallen immer noch zu viele Nutzer darauf herein und lassen sich unter Druck setzen, einen fragwürdigen Link zu aktivieren.“

Apples „iMessage-App“ deaktiviere Links aus fremden Quellen, um Nutzer vor unbekannten Absendern zu schützen, sei es eine E-Mail-Adresse, eine Telefonnummer oder ein Link zu einer Website. „Wenn der Empfänger jedoch auf eine Nachricht antwortet oder den Absender zu seinen Kontakten hinzufügt, werden die Links wieder aktiviert.“

Art der Kommunikation laut ESET nicht ungewöhnlich – wird auch von legitimen Absendern verwendet

Diese Funktion nutzten Cyber-Kriminelle gezielt aus: In letzter Zeit häuften sich SMS-Phishing-Angriffe, bei denen die Angreifer ihre Opfer dazu verleiteten, auf die Nachricht zu antworten. Meist sollten sie mit einem „Y“ für „Yes“ reagieren oder alternativ den Link im „Safari“-Browser öffnen.

Das Perfide laut Moore: „Diese Art der Kommunikation ist nicht ungewöhnlich und wird auch von legitimen Absendern verwendet. Mobilfunkbetreiber nutzen sie beispielsweise, um ihre Nutzer über verbrauchtes Datenvolumen zu informieren und direkt zusätzliches Volumen anzubieten und zu verkaufen. Die Kunden schreiben dann den gewünschten Tarif zurück und erhalten umgehend das bestellte Produkt.“

Abbildung: ESET

ESET zeigt ein Beispiel für eine Smishing-Nachricht

ESET-Warnung für Deutschland: Angebliche Paket-Benachrichtigungen bei Hackern beliebt

Deutsche Nutzer erhielten häufig Benachrichtigungen über angeblich im Zoll festsitzende Pakete oder fehlende Adressdaten. Wie bei vielen anderen Phishing-Methoden bauten die Hacker hinter den Nachrichten gezielt Druck auf, indem sie für die Rückmeldung eine kurze Frist setzten.

„Kommen Nutzer der Aufforderung nach, werden sie auf eine Phishing-Seite weitergeleitet, auf der sie ihre persönlichen Daten eingeben sollen und sie damit direkt in die Hände der Kriminellen legen.“ Hinzu komme: Wenn Nutzer auf diese Nachricht antworteten, aktivierten sie nicht nur den bösartigen Link – sie signalisierten ihrem Gegenüber auch, „dass sie generell anfällig für Phishing-Nachrichten sind“. Im schlimmsten Fall ziehe dies weitere Betrugsversuche in der Zukunft nach sich.

ESET-Sicherheitsempfehlungen:

„Vermeiden Sie es, auf Nachrichten von unbekannten Kontakten zu antworten, da dies den integrierten Schutz von ,iMessage’ außer Kraft setzt und Sie anfällig für Phishing macht. Prüfen Sie immer die Legitimität einer Nachricht, bevor Sie etwas unternehmen, besonders wenn sensible Informationen verlangt werden!“, legt Moore abschließend nahe. Davon abgesehen sollte man eigene Online-Konten mit einer Zweifaktor-Authentifizierung (2FA) absichern – damit blieben sensible Daten sicher, „selbst wenn Zugangsdaten in die falschen Hände geraten“.

Weitere ESET-Tipps:

• Klicken Sie niemals auf Links in SMS von unbekannten Absendern: Seriöse Unternehmen oder Organisationen fordern Sie nicht unter Druck per SMS dazu auf, Links anzuklicken!
• Bleiben Sie skeptisch bei dringlichen Nachrichten: Lassen Sie sich nicht verunsichern und prüfen Sie die Echtheit der Nachricht, insbesondere wenn der Absender künstlich Druck aufbaut!
• Geben Sie keine persönlichen Daten preis: Seriöse Unternehmen fragen niemals Daten wie Passwörter, Kreditkartendaten usw. per SMS ab!
• Rufen Sie offizielle Websites direkt auf: Besuchen Sie die Website des Unternehmens direkt, indem Sie die Adresse selbst im Browser eingeben, anstatt einem SMS-Link zu folgen!

Weitere Informationen zum Thema:

BLEEPINGCOMPUTER, Lawrence Abrams, 12.01.2025
Phishing texts trick Apple iMessage users into disabling protection

welicesecurity by eseT, Jake Moore, 22.01.2021
Scams / Smishing: What it is and why we fall for these scams so easily / Here’s how to spot scams where criminals use deceptive text messages to hook and reel in their marks

[datensicherheit.de, 04.12.2023] Offensichtlich wird für viele Verbraucher die Vorweihnachtszeit eben nicht zu einer Phase der Besinnung und Ruhe, sondern eher zu einer stressgeprägten Vorbereitung – Hacker trachten nun danach, diesen Stress auszunutzen, um an Daten und Geld zu gelangen. Ein beliebtes Mittel dabei momentan: Gefälschte SMS-Nachrichten zur Sendungsverfolgung. ESET beschreibt in einer aktuellen Stellungnahme, wie diese Cyber-Kriminellen vorgehen und wie sich Verbraucher davor schützen können.

Abbildung: eset

Hacker-Warnung: Ein Beispiel für eine Smishing-SMS

Als Paketdienstleister getarnte Hacker machen sich Angst vor Komplikationen zunutze

In wenigen Wochen beginnt die Weihnachtszeit 2023-2024. Die Vorbereitung darauf bedeutet für viele Verbraucher puren Stress – z.B. beim Geschenke-Einkauf. „Die meisten Menschen schleppen sich dafür nicht mehr ins Einkaufszentrum, sondern bestellen bequem online, wie eine aktuelle ESET-Umfrage ergab. Ein paar Klicks und schon wird die neue Spielekonsole für die Kinder oder der Saugroboter fürs Eigenheim pünktlich nach Hause geliefert. So weit, so gut? Mitnichten, denn Pakete gehen verloren, bleiben im Zoll hängen oder werden zu spät zugestellt.“ Cyber-Kriminelle, gerne getarnt als Paketdienstleister, machten sich die Angst vor solchen Komplikationen zunutze, warnt nun ESET. Ziel der Hacker sei es, an persönliche Daten und Geld ihrer Opfer zu kommen.

„Für Online-Betrüger ist die Vorweihnachtszeit Hochsaison“, betont Thorsten Urbanski, IT-Sicherheitsexperte bei ESET, und führt weiter aus: „Sie sind dabei vor allem auf eines aus: Bei Menschen die Angst zu schüren, die bestellten Geschenke nicht rechtzeitig zu erhalten. Hierdurch wollen sie an vertrauliche Daten gelangen.“ Der ESET-Rat lautet deshalb: „Seien Sie extrem vorsichtig, wenn Sie Nachrichten von Paketzustellern erhalten, die Sie zum sofortigen Handeln auffordern – in den meisten Fällen handelt es sich um einen Betrugsversuch!“

Hacker-SMS-Nachrichten leiten auf Phishing-Seiten oder fordern zur Installation von Spionage-Apps auf

Hacker nutzten für ihre Zwecke die sogenannte „Smishing“-Methode: Hierbei versendeten sie vorgefertigte SMS-Nachrichten an eine Vielzahl von Empfängern. Deren Mobilnummern hätten sie meist aus Datenleaks oder anderen illegalen Quellen erhalten. Der Aufbau dieser Nachrichten sei dabei immer gleich: Ein angebliches Problem bei einer Lieferung erfordere eine sofortige Reaktion des Empfängers.

Meist werde der Empfänger dazu aufgefordert, vertrauliche Daten wie die Postanschrift oder auch Kreditkarteninformationen auf einer in der Nachricht verlinkten Webseite einzugeben. Auch gefälschte Apps zur Sendungsverfolgung würden zum Download angeboten. „Installieren Nutzer diese Anwendungen, spionieren sie das Gerät aus.“

Hacker setzen Empfänger unter Druck – mit angeblichen Problemen bei der Zustellung

ESET rät: „SMS von vermeintlichen Paketdienstleistern sollten ignoriert werden.“ Urbanski erläutert: „Öffnen Sie nicht den Link, der in der Nachricht angegeben ist, und antworten Sie auf keinen Fall – damit bestätigen Sie nur den korrekten Empfang und werden in Zukunft noch mehr solcher SMS erhalten. Laden Sie niemals Apps aus unbekannten Quellen herunter, die angeblich der Sendungsverfolgung dienen!“ Seriöse Paketdienstleister setzten niemanden unter Druck, wenn es ein Problem bei der Zustellung gibt.

Kunden gingen auf Nummer sicher, wenn sie die Apps der bekannten, seriösen Paketzusteller-Dienste nutzten. Dort könnten sie nicht nur den Status der Sendung erfahren, sondern würden auch über Probleme und Verzögerungen informiert werden. „Alles andere, was über SMS oder E-Mail hereinkommt und nicht auch in der App steht, kann nur Betrug sein.“ Diese Apps gebe es nur in offiziellen „App Stores“, bereitgestellt von verifizierten Anbietern.

Weitere Informationen zum Thema:

verbraucherzentrale, 28.11.2023
Paketdienst-SMS: Vorsicht, Abzocke!

eset, 21.11.2023
Generation 60+: Doch nicht so anfällig für Online-Betrug wie vermutet?

[datensicherheit.de, 16.05.2023] Lookout betont in einer aktuellen Stellungnahme, dass man grundsätzlich vorsichtig sein sollte bei jeder Art von Textnachrichten, „die man erhält und die mit dem Anspruch auf Dringlichkeit auftritt“ – diesen Tipp sollten Nutzer sogenannter Messenger und SMS-Nachrichten immer im Kopf haben. Dies gilt demnach besonders dann, wenn man eine zufällige Nachricht von seinem angeblichen Chef oder „CEO“ erhält, in der zu lesen ist: „Hallo Herr oder Frau Soundso, ich brauche heute bis um 15 Uhr folgende Finanzinformationen …“ – und es ist tatsächlich bereits 13.30 Uhr, wodurch „Eile angesagt“ wäre.

Foto: Lookout

Sascha Spangenberg: Prinzipiell verdächtige Anwendungen könnten Bedrohungsakteure als Einfallstor für Phishing-Angriffe missbrauchen!

Lookout rät zur Überprüfung, ob Nachricht aus seriöser Quelle stammt

Sascha Spangenberg, Manager bei Lookout, rät hierzu: „Am besten überprüft man immer sofort, ob die Nachricht aus einer seriösen Quelle stammt. Zum Beispiel wenn es um einen Text geht, der einen Hyperlink enthält und behauptet: ,Heute kommt eine Lieferung, die sofort bestätigt werden muss’ oder ,Sie müssen Ihre Finanzdaten aktualisieren und auf diesen Link klicken, um sich anzumelden’.“ Er warnt, dass es sich dann in den meisten Fällen dabei tatsächlich um eine Art von Phishing-Versuch handele, „mit dem man entweder auf eine bestimmte Internet-Seite geführt werden soll und auf der man dann aufgefordert wird, sensible Daten wie die eigenen Bankinformationen einzugeben“. Zudem komme es in einigen Fällen (wie zum Beispiel bei dem Banking-Trojaner „FluBot“) sogar dazu, „dass man aufgefordert wird, eine gefährliche Anwendung auf sein eigenes Gerät herunterzuladen“.

Man sollte deshalb prinzipiell misstrauisch bei jeder Textnachricht sein, in der man um vertrauliche Informationen gebeten wird – unabhängig davon, ob jemand vorgibt, vom gleichem Arbeitgeber zu kommen, oder vortäuscht, die Position eines Vorgesetzten zu besitzen. Seriöse Unternehmen machten so etwas nicht. Man sollte sich in einem solchen Fall an eine seriöse Quelle wenden – wie zum Beispiel direkt an die eigene Bank oder an den Kundendienst eines Versandunternehmens, um sofort die Echtheit der Kontaktaufnahme zu überprüfen. Wenn eine SMS von jemandem aus dem Unternehmen zu stammen scheint, für das man selbst arbeitet, von der man aber noch nie etwas gehört hat oder einen direkten Kontakt zu ihr gehabt hatte, möge man sich direkt über ein anderes Medium wie zum Beispiel einen Telefonanruf unmittelbar an diese Person wenden und sie direkt fragen: „Hallo, waren Sie das wirklich?“

Auffällige Anzeichen dafür, dass eine Android-App eventuell nicht sicher ist, lt. Lookout:

Wenn eine „Android“-App eine große Anzahl von Berechtigungen verlangt oder solche, die für die Aufgabe unnötig erscheinen, ist sie möglicherweise alles andere als sicher. Dies ist zum Beispiel dann der Fall, wenn eine Anwendung im Hintergrund (Flashlight- oder Wallpaper-App) plötzlich Zugriff auf die Audio-Funktionen des Geräts, die Kamera, SMS-Nachrichten oder andere auffällige und unbegründete Berechtigungen anfordert. Man erlebt es leider oft, dass sich bösartig orientierte Anwendungen als harmlos tarnen und so viele Informationen wie nur irgend möglich einsammeln wollen. Allzu oft gehen die Anwender gar nicht von dem Ernstfall aus, dass man wirklich versucht hatte, sie anzugreifen, und machen allzu leichtsinnig den Fehler, auf „OK“ zu klicken.

Ein weiteres Anzeichen dafür, dass die Anwendung bösartig gesinnt ist, besteht darin, wenn man sie vielleicht sogar selbst installiert hat und sie dann plötzlich nicht mehr richtig funktioniert oder wenn man sie nicht mehr auf seinem Gerät identifizieren kann – das bedeutet dann wahrscheinlich, dass im Hintergrund bereits etwas Schlimmes passiert ist. Man kann dies häufig bei Überwachungsprogrammen beobachten, bei denen man eine Anwendung installieren kann, die sich zwar als harmlos ausgibt und die sich dann nach dem Starten das Symbols nicht mehr auf dem Gerät zu befinden scheint, ohne dass die Anwendung selbst wirklich entfernt worden ist. Dies sollte man als einen Hinweis darauf lesen, dass ein bösartig gesinnter Angreifer versucht hat und dies weiter tun wird, Informationen über einen selbst einzusammeln.

Man sollte auf jeden Fall vorsichtig bei solchen Anwendungen sein, die „Accessibility Services“ einfordern, also eine Art von Zugangsberechtigung. Dies ist zwar eine völlig legitime Funktion des Betriebssystems von „Android“, die es Anwendern mit Behinderungen ermöglicht, mit ihrem Gerät zu interagieren, aber Bedrohungsakteure missbrauchen dies oft: Sie wollen damit alles sehen oder beobachten können, was man gerade auf seinem Gerät unternimmt. Dies erlaubt ihnen zum Beispiel zu beobachten, ob man gerade eine Messaging- oder eine Banking-Anwendung geöffnet hat. Anschließend könnten sie zum Beispiel auf der Grundlage der Ereignisse, die sie mitbekommen, in ihrem Sinne reagieren, und Nachrichten an die im Hintergrund agierende bösartige Anwendung weiterleiten.

Lookout-Tipps: Wie man erkennt, ob iPhone- oder Android-Anwendung Sicherheitsberechtigungen missbraucht:

Wenn eine „iPhone“- oder „Android“-Anwendung Zugriff auf Gerätefunktionen anfordert, die für den Zweck der Anwendung nicht sinnvoll erscheinen, könnte sie absichtlich oder unabsichtlich mehr Informationen einsammeln, als sie eigentlich sollte. Dies könnte dann ein Fall von mangelhafter Sicherheit der Anwendung oder ein Indiz für bösartige Aktivitäten sein. Neuere Versionen von Betriebssystemen benachrichtigen die Benutzer in der Regel, wenn eine App auf bestimmte Funktionen zugreifen möchte, zum Beispiel auf den Standort oder die Kamera. Wenn die App den Zugriff jedoch nicht für die vorgesehene Funktion benötigt oder man eine Zugriffsanforderung zu einem Zeitpunkt beobachten kann, der keinen unmittelbaren Sinn ergibt (zum Beispiel bei der Anforderung von Standortdaten, wenn man gerade keine Karteninformationen verwendet), könnte dies ein Warnsignal sein.

Wenn man ein Gerät verwendet, das eine Verbindung zur Infrastruktur des Unternehmens herstellt, besteht immer das Risiko, dass sensible Daten über den eigenen Arbeitsplatz in Gefahr stehen könnten. Lookout-Daten zeigen, dass praktisch einer von drei Mitarbeitern von Zuhause aus mehr als 20 Stunden pro Woche mit seinem persönlichen Tablet oder Smartphone arbeitet. Und auf solchen Geräten befinden sich oft Dutzende von nicht zugelassenen, also prinzipiell verdächtigen Anwendungen, die von Bedrohungsakteuren als Einfallstor für ihre Phishing-Angriffe genutzt werden könnten. 32 Prozent der Remote- und Hybrid-Mitarbeiter verwenden demnach Apps oder Software, die nicht von der IT-Abteilung genehmigt wurden, und 92 Prozent der externen Mitarbeiter erledigen Aufgaben für ihren Beruf auf ihren persönlichen Tablet- oder Smartphone-Geräten.

[datensicherheit.de, 15.08.2022] Das „Cloud“-Kommunikationsunternehmen Twilio soll laut aktuellen Medienberichten kürzlich Opfer eines Cyber-Angriffs geworden sein – die Angreifer seien dabei offenbar in einige der Kundendatenbanken des Unternehmens eingedrungen, „nachdem sie mittels eines SMS-Phishing-Angriffs Zugangsdaten von Mitarbeitern gestohlen hatten“. Das Forschungsteam von Lookout, Inc., hat nach eigenen Angaben diese Angriffskampagne näher untersucht – „und konnte dank des Lookout-Datensatzes einige überaus wichtige Informationen ermitteln“.

Phishing-Infrastruktur des Angreifers bereits seit Mai/Juni 2022 aktiv

Mit mehr als 5.000 Mitarbeitern in 26 Niederlassungen in 17 Ländern biete Twilio programmierbare Sprach-, Text-, Chat-, Video- und E-Mail-APIs (Application Programming Interfaces / Programmierschnittstellen) an. Mehr als zehn Millionen Entwickler und 150.000 Unternehmen nutzten diese zum Aufbau von Internet-Plattformen zur Kundenbindung. Twilio wurde demnach am 4. August 2022 auf den unbefugten Zugriff auf Informationen aufmerksam, der sich auf eine begrenzte Anzahl von Kundenkonten beschränkt habe.

Die Nachforschungen von Lookout hätten ergeben, dass die Infrastruktur des Angreifers bereits seit Mai oder Juni 2022 aktiv zu sein scheine. Ausgehend von den beobachteten Aktivitäten hätten die Angreifer Mitarbeiter von Unternehmen aus den Bereichen Telekommunikation (T-Mobile und Rogers), Kundenservice (Quaifon, Iqor, TTEC und Medallia), Soziale Medien (TaskUs und Twitter) sowie andere wie Twilio, Intuit und Okta ins Visier genommen. „Anhand der von uns beobachteten Phishing-Domains scheint es dem Angreifer gelungen zu sein, sich Zugang zur Infrastruktur des Unternehmens zu verschaffen, indem er die Multifaktor-Authentifizierungslösung (MFA) auslöste“, erläutert Savio Lau, „Staff Security Intelligence Researcher“ bei Lookout.

Schutz vor mobilen Phishing-Angriffen wichtiger Bestandteil der allgemeinen Sicherheitsstrategie jedes Unternehmens

Der Schutz vor mobilen Phishing-Angriffen sollte ein wichtiger Bestandteil der allgemeinen Sicherheitsstrategie jedes Unternehmens sein, rät Lookout. Angreifer seien nämlich in der Lage, überzeugende Phishing-Kampagnen zu erstellen, „mit denen sie versuchen, Mitarbeiter bestimmter Unternehmen zu manipulieren“. Es werde zunehmend immer schwieriger, diese Angriffe von legitimer Kommunikation zu unterscheiden, warnt Lau. Die Angreifer würden auch immer fähiger, vor allem, weil Phishing-Kits auf dem schnell wachsenden sogenannten Malware-as-a-Service-Markt leicht verfügbar seien. Die auf diesem Markt verkauften Phishing-Kits seien mit fortschrittlichen Funktionen ausgestattet und machten es selbst unerfahrenen Angreifern leicht, komplexe Kampagnen durchzuführen.

Bei Social-Engineering-Phishing-Kampagnen gebe es in der Regel kleine Warnzeichen, diese seien jedoch leicht zu übersehen – insbesondere eben auf mobilen Geräten. „So sind in diesem Fall die Angreifer in der Lage, die MFA-Lösung des betroffenen Mitarbeiters zu aktivieren.“ Ein sofortiges Erkennungszeichen des Angriffs sei aber in jedem Fall, „dass der Standort auf der Benachrichtigung falsch ist“.

Mobiles Phishing für Angreifer häufigste Methode, um Zugangsdaten von Mitarbeitern zu stehlen

„Mitarbeiter sollten stets äußerst vorsichtig sein, wenn sie Nachrichten erhalten, in denen sie aufgefordert werden, ihre Zugangsdaten zu überprüfen. Wenn sie sich ein paar Sekunden mehr Zeit nehmen, um nach Hinweisen zu suchen, die auf böswillige Absichten hindeuten, können sie ihr Unternehmen vor einer schädlichen Datenverletzung bewahren“, betont Lau. Unternehmen sollten zudem sicherstellen, „dass sie sich und ihre Mitarbeiter vor mobilen Phishing-Angriffen schützen“. Dies gelte vor allem, da diese über Kanäle wie SMS, Soziale Medien und Messaging-Plattformen von Drittanbietern wie „WhatsApp“ erfolgen könnten, „die nicht immer unter der Kontrolle des IT- oder Sicherheitsteams stehen“.

Mobiles Phishing sei für Angreifer die häufigste Methode, um Zugangsdaten von Mitarbeitern zu stehlen. Damit könnten sie sich dann in die „Cloud“-Infrastruktur des Unternehmens einloggen und Zugang zu sensiblen Daten erhalten, „die sie stehlen oder verschlüsseln, um einen Ransomware-Angriff auszuführen“. Zusätzlich zum Schutz vor mobilem Phishing sollten Unternehmen jeder Art und Größe eine „Cloud“-Sicherheitsplattform implementieren, „die anomales Verhalten erkennen kann, das auf einen Cyber-Angriff hindeutet“. Diese Anomalien könnten von einem anormalen Anmeldeort bis hin zum Zugriff eines Benutzers auf Daten reichen, mit denen er normalerweise nicht interagieren sollte.

Weitere Informationen zum Thema:

TechCrunch+, Carly Page, 02.08.2022
Twilio hacked by phishing campaign targeting internet companies

[datensicherheit.de, 05.08.2022] Dermot Harnett und W. Stuart Jones, IT-Sicherheitsexperten bei Proofpoint, haben nach eigenen Angaben die Parallelen und Unterschiede zwischen sogenanntem Phishing und Smishing näher untersucht: Der Diebstahl von Anmeldedaten per E-Mail, also Phishing, sei nach wie vor die häufigste Form der Cyber-Kriminalität. Allerdings sei das Smishing ein schnell wachsendes Pendant zum E-Mail-Phishing – es nutze SMS, MMS, RCS und andere Nachrichtenarten, um Anmeldedaten zu erbeuten. In den USA beispielsweise hätten sich die Smishing-Raten im letzten Jahr, 2021, fast verdoppelt, und dieser Trend werde sich in diesem Jahr, 2022, fortsetzen. Die beiden Proofpoint-Experten gehen demnach in ihrer aktuellen Stellungnahme davon aus, dass die Erfolgsquote von Smishing-Angriffen insgesamt wesentlich höher ist als die von E-Mail-Phishing – obwohl das Volumen der E-Mail-Angriffe nach wie vor um ein Vielfaches höher sei.

Smishing-Kits ähnlich wie Phishing-Kits im DarkWeb zu kaufen

Eine moderne E-Mail-Phishing-Kampagne sei nicht schwierig zu realisieren: Es reiche eine Person mit einem Computer und Zugang zu gängigen „Cloud“-Diensten. Bei einer Smishing-Operation ergebe sich hingegen ein anderes Bild. Während Smishing-Kits ähnlich wie Phishing-Kits im DarkWeb zum Kauf angeboten würden, erfordere der Zugriff auf und der Missbrauch von Mobilfunknetzen etwas mehr Investitionen.

Im Gegensatz zum Internet handele es sich bei Mobilfunknetzen um geschlossene Systeme. Dies mache es schwieriger, anonym Nachrichten zu erstellen und über das Netz zu versenden. Um eine bösartige Mobilfunknachricht zu versenden, müsse sich ein Smishing-Angreifer zunächst Zugang zum Netz verschaffen, „was ausgeklügelte Exploits oder spezielle Hardware erfordert“.

„SIM-Bank“-Hardware sei in letzter Zeit im Preis gesunken, aber die Geräte könnten immer noch Hunderte oder sogar Tausende Euro kosten – „je nachdem, wie viele SIM-Karten unterstützt werden und wie viele gleichzeitige mobile Verbindungen sie aufbauen können“. Auch die aktiven SIM-Karten zur Verwendung in ihrer SIM-Bank müssten die Kriminellen bezahlen. Sobald Mobilfunk-Netzbetreiber bösartige Nummern identifizieren und sperren, benötigten die Kriminellen neue SIM-Karten, was weitere Kosten verursache.

Physische Beschaffenheit der Mobilfunknetze erhöht Entdeckungsrisiko für Smishing-Kriminelle

Die physische Beschaffenheit von Mobilfunknetzen erhöhe auch das Entdeckungsrisiko für Smishing-Kriminelle. So sei in einem konkreten Fall in Großbritannien der Täter in einem Hotelzimmer verhaftet worden. Dies sei nicht ungewöhnlich – Netzbetreiber könnten mit Hilfe von Mobilfunkmasten den Ursprungsort krimineller Aktivitäten feststellen. Smishing-Angreifer müssten daher sehr mobil sein und häufig den Standort wechseln, um nicht erwischt zu werden.

„Obwohl wichtige strukturelle Unterschiede zwischen Smishing und Phishing bestehen, weisen diese Angriffe beim Einsatz von ,Social Engineering‘ viele Gemeinsamkeiten auf.“ Im Grunde beruhten beide Ansätze auf Lockmitteln, welche die menschliche Psychologie auszunutzen versuchten: „Sie nutzen die Verlustängste potenzieller Opfer ebenso wie vermeintlich dringliche Anliegen oder autoritäres Auftreten, um die Opfer zu einer Aktion zu bewegen.“

Aufgrund der Unterschiede zwischen E-Mail- und Mobile-Messaging-Formaten seien Smishing-Nachrichten kürzer und weniger aufwändig als viele E-Mail-Köder. „Wenn die Ausführung im Detail auch variieren mag, bleibt allerdings das Druckmittel eines verpassten Pakets oder einer Aufforderung des Chefs dasselbe.“

Smishing und herkömmliches Phishing zeigen Ähnlichkeiten bei der Ansprache potenzieller Opfer

Smishing und herkömmliches Phishing zeigten auch Ähnlichkeiten in der Art und Weise, potenzielle Opfer anzusprechen. „Zusätzlich zu den Massenmails verwenden beide gleichsam spezifischere ,Spear Phishing/Smishing‘-Techniken. Bei diesen Angriffen nutzen Cyber-Kriminelle detaillierte Nachforschungen, um ihre Nachrichten zu personalisieren, und zielen dabei oft auf höherrangige Personen innerhalb einer Organisation ab.“

Mobiltelefonnummern könnten leicht mit einer Reihe von persönlichen Informationen verknüpft werden, „was sie zu einer wirkungsvollen Quelle für Spear-Smishing-Angriffe macht“.

Wie bei der Opferansprache bestünden auch ähnliche saisonale Kampagnenmuster bei Phishing und Smishing: „Die Sommermonate sind in der Regel ruhiger, und über die Feiertage im Winter ruhen die Aktivitäten oft vollständig.“

Abb.: proofpoint

proofpoint: Wesentliche Unterschiede Smishing vs. Phishing

Größere Anfälligkeit für Smishing-Angriffe

Für viele E-Mail-Nutzer sei es zur Normalität geworden, Spam und andere Arten gefährlicher Nachrichten zu ignorieren. „Da die mobile Nachrichtenübermittlung noch vergleichsweise jung ist, haben viele Menschen immer noch ein hohes Maß an Vertrauen in die Sicherheit der mobilen Kommunikation.“

Einer der wichtigsten Unterschiede zwischen Smishing und Phishing liege also in der größeren Anfälligkeit für Smishing-Angriffe. Die Klickraten auf URLs in mobilen Nachrichten seien bis zu achtmal höher als bei E-Mails. „Diese Empfänglichkeit besteht auch in Märkten, in denen Dienste wie ,WhatsApp‘ und ,Messenger‘ die SMS als dominierendes Mittel der mobilen Textkommunikation abgelöst haben.“ Menschen erwarteten von Organisationen und Unternehmen, dass sie wichtige Nachrichten per SMS (oder „Whatsapp“ etc.) schickten und reagierten schnell, wenn sie solche Nachrichten erhalten.

Die stärkere Nutzung von Links gegenüber Anhängen sei ein weiteres wichtiges Unterscheidungsmerkmal. „Mobilnachrichten sind kein effektiver Weg, um bösartige Anhänge zu versenden, da viele Geräte das Side-Loading beschränken und Messaging-Dienste die Größe von Anhängen begrenzen.“ Stattdessen würden bei den meisten mobilen Angriffen eingebettete Links verwendet – selbst bei der Verbreitung von Malware wie „FluBot“, welche sich im vergangenen Jahr, 2021, in Großbritannien und Europa ausgebreitet habe. Bei E-Mail-Angriffen hingegen enthielten immer noch etwa 20 bis 30 Prozent der bösartigen Nachrichten Malware-Anhänge.

Erfolgsquote bei Smishing-Angriffen wesentlich höher als beim E-Mail-Phishing

Persönliche Telefonnummern gäben auch Standortinformationen in Form einer Ortsvorwahl preis. Dies könne Möglichkeiten zur standort- und sprachbasierten Anpassung bieten, „die bei einer E-Mail-Adresse nicht gegeben sind“.  Ebenso hätten Endnutzer nur begrenzte Möglichkeiten zu sehen, wie die SMS-Nachricht weitergeleitet wurde, „da sie nur die Nummer sehen, von der sie scheinbar gesendet wurde“. Während sowohl Mobilfunknummern als auch E-Mail-Adressen maskiert werden könnten, enthielten E-Mail-Kopfzeilen (Header) viel detailliertere Informationen darüber, wie eine Nachricht an die Empfänger weitergeleitet wurde, „und ermöglichen es ihnen eher, eine bösartige Nachricht zu erkennen“.

„Als Schnittstelle zwischen privatem und beruflichem Leben sind Mobiltelefone ein wertvolles Ziel für Cyber-Kriminelle“, betonen die beiden Proofpoint-Experten in ihrem Fazit. Ein einziges Gerät könne Daten enthalten, „die Zugang zu privaten und geschäftlichen Konten, sensiblen persönlichen Informationen und vertraulichen Geschäftsdokumenten ermöglichen“. Smishing-Aktivitäten gingen mit Zeichenbegrenzungen, Standortbeschränkungen und erhöhten Kosten einher, aber die Lehren aus dem E-Mail-Phishing würden Cyber-Kriminellen helfen, ihre Gewinne aus Smishing-Kampagnen zu maximieren. „Insgesamt scheint die Erfolgsquote bei Smishing-Angriffen wesentlich höher als beim E-Mail-Phishing, obwohl das Volumen der E-Mail-Angriffe nach wie vor um ein Vielfaches größer ist.“

Vor diesem Hintergrund sei es von entscheidender Bedeutung, dass „Security Awareness“-Trainings das Smishing analog zu seinem Gefahrenpotenzial behandele, zumal das allgemeine Misstrauen gegenüber Mobilnachrichten noch nicht das erforderliche Niveau erreicht habe.

Weitere Informationen zum Thema:

proofpoint
What Is Security Awareness Training?

[datensicherheit.de, 09.04.2021] Laut Medienberichten werden derzeit viele Mobiltelefon-Nutzer von einer SMS-Flut belästigt: Diese stammten von angeblichen Paketdiensten und forderten Empfänger auf, einen Link zu öffnen. Die Absichten hinter der Betrugsmasche sind nach Angaben der Verbraucherzentrale NRW unterschiedlich: Einige hätten es darauf abgesehen, schädliche Apps zu verbreiten, um Daten auszulesen und massenweise SMS-Nachrichten an gespeicherte Kontakte zu senden. Andere wollten ahnungslose Opfer in sogenannte Abo-Fallen locken. „Seit Ostern werden diese SMS offenbar noch viel häufiger verschickt als zuvor. Darauf deutet eine gestiegene Anzahl an Verbraucheranfragen hin”, berichtet Hauke Mormann von der Verbraucherzentrale NRW. Diese erläutert nachfolgend, wie sich Verbraucher vor solchen SMS-Nachtichten schützen und was sie tun können, wenn sie bereits in die Betrugsfalle getappt sind.

Tipp 1: Verhalten beim Empfangen einer unerwünschten SMS-Nachricht

Unerwünschte SMS-Nachrichten mit unseriösen Links sollten sofort gelöscht werden – keinesfalls darauf antworten, darin enthaltene Links öffnen oder vorgeschlagene Apps installieren! „Im Idealfall sollte keine Reaktion der Betroffenen erkennbar sein, dass ihre Rufnummer aktiv ist.“

Tipp 2: Schutzmaßnahme, wenn ein Link in der SMS-Nachricht geöffnet wurde

Um den Missbrauch ihres Smartphones zu vermeiden, sollten Betroffene den Flugmodus aktivieren und den Mobilfunk-Anbieter informieren. Dieser erstelle auf Anfrage auch einen Kostennachweis über möglicherweise verschickte SMS-Nachrichten. „Eine Anzeige bei der Polizei sollte in jedem Fall erstattet werden, auch um mögliche Versicherungsansprüche geltend zu machen.“

Tipp 3: Empfang unerwünschter SMS-Nachrichten verhindern

In den Einstellungen vieler Nachrichten-Apps könnten Verbraucher festlegen, dass sie nur SMS von gespeicherten Kontakten empfangen möchten. Wer Service-Angebote wie zum Beispiel Termin-Erinnerungen oder Informationsdienste von Banken nutzt, müsse daran denken, diese Rufnummern fortan einzuspeichern. Manche Smartphones oder Sicherheits-Apps böten auch Spam-Filter an. Diese könnten helfen, die Zahl unerwünschter SMS-Nachrichten zu verringern. Grundsätzlich sollten Verbraucher möglichst sparsam mit ihren Daten umgehen und ihre Mobilnummer nur angeben, wenn es zwingend nötig ist. „Wer langfristig von der SMS-Flut betroffen ist, sollte über einen Wechsel der Rufnummer nachdenken.“

Tipp 4: Schutz vor Schäden durch solche SMS-Nachrichten

Vorsicht sei insbesondere dann geboten, wenn nach dem Antippen eines Links eine App installiert werden soll. Befinden sich Apps nicht in einem offiziellen Store des Smartphones, sei die Wahrscheinlichkeit größer, dass es schädliche Programme sind. Nutzer eines „Android“-Smartphones könnten in den Einstellungen festlegen, dass Apps aus unbekannten Quellen nicht installiert werden dürften und sich so schützen. Bei „iPhones“ seien nur Installationen aus dem „App-Store“ von Apple möglich, sofern man die Geräte nicht selbst manipuliert hat. Verbraucher sollten generell bei ihrem Mobilfunk-Anbieter eine Drittanbietersperre aktivieren, sofern dies noch nicht geschehen ist. „Betriebssystem und Apps sollten durch automatische Updates immer aktuell gehalten werden.“

Tipp 5: Reaktion auf unerwünschte SMS-Kosten

Wenn Verbraucher durch unseriöse SMS Kosten entstanden sind, könnte eine Hausratversicherung dafür aufkommen. Viele Verträge enthielten Schutz vor Schäden durch Phishing, wenn zum Beispiel missbräuchlich Einkäufe im Internet getätigt wurden. „Auch spezielle Cyber-Versicherungen können solche Schäden abdecken.“

Weitere Informationen zum Thema:

verbraucherzentrale Nordrhein-Westfalen, 09.04.2021
Paketdienst-SMS: Vorsicht, Abzocke!

[datensicherheit.de, 06.04.2021] Laut aktuellen Medienberichten in den vergangenen Tagen soll es zu einem Diebstahl von mehr als 500 Millionen Datensätzen bei Facebook gekommen sein. Jacinta Tobin, „Vice President Cloudmark Operations“ bei Proofpoint, geht in ihrer Stellungnahme auf den Trend des sogenannten Smishings ein und gibt auch ein paar Tipps, um die eigene Gefährdung vor diesen Angriffen deutlich zu reduzieren.

Smishing-Nachrichten in den letzten 12 Monaten um 300% pro Quartal zugenommen

„Der Diebstahl persönlicher Informationen bei Facebook wird zweifellos zu einem deutlichen Anstieg von Cyber-Angriffen via SMS – ,Smishing‘ – führen. Es ist ein Trend, den wir vor allem während der ,Pandemie‘ immer häufiger beobachten konnten“, berichtet Tobin.
So hätten sogenannte Smishing-Nachrichten in den letzten zwölf Monaten bereits um 300 Prozent pro Quartal zugenommen. In erster Linie zielten die Angreifer auf Privatpersonen ab. Tobin warnt: „Jedoch haben wir zugleich einen besorgniserregenden Anstieg der Angriffe auf Unternehmen festgestellt: Mehr als 81 Prozent der Unternehmen meldeten im Jahr 2020 einen solchen Angriff.“

Smishing missbraucht Namen einer bekannten Marke

Ein wichtiger Bestandteil solcher Betrugsversuche via SMS sei der Missbrauch des Namens einer bekannten Marke in Kombination mit der Aufforderung, auf einen schädlichen Link zu klicken. Verbraucher vertrauten mobilen Nachrichten mehr als ihren E-Mails.
Insofern seien sie viel eher bereit, in SMS-Texten enthaltene Links zu lesen und darauf zuzugreifen. „Dieses Maß an Vertrauen, gepaart mit der Reichweite mobiler Geräte, macht den mobilen Kanal geradezu ideal für Betrug und Identitätsdiebstahl“, erläutert Tobin.

Anti-Smishing-Tipps

„Wir empfehlen den Anwendern, die Spam-Meldefunktion ihres Messaging-Clients zu nutzen, sofern sie über eine solche Funktion verfügen. Verbraucher sollen außerdem sehr skeptisch gegenüber mobilen Nachrichten sein, die von unbekannten Quellen stammen.“ Dabei sei es wichtig, niemals auf Links in Textnachrichten zu klicken, egal wie vertrauenswürdig sie aussehen.
Tobin rät: „Wenn Sie den vermeintlichen Anbieter kontaktieren möchten, so tun Sie dies am besten direkt über dessen Website und geben Sie dabei die URL immer manuell ein. Angebotscodes sollen ebenfalls direkt auf der Website eingegeben werden.“ Ungewöhnlich klingende Texte oder Texte von unbekannten Quellen sollten unbeantwortet bleiben – „wenn Nutzer auf solche Nachrichten antworten, so bestätigen sie zukünftigen Betrügern, dass Sie eine echte Person sind“.