© ibreaker213 / 123RF.com

Neue Smishing-Attacken zielen vermehrt auf die persönlichen Daten unbedarfter Smartphone-Nutzer. Nachdem sich die Masche mit Paketbenachrichtigungen totgelaufen hat, setzen die Angreifer nun auf falsche Sicherheitswarnungen.

Seit mehreren Monaten erhalten Smartphone-Anwender SMS-Nachrichten, die sie mit fadenscheinigen Gründen zum Anklicken eines Links auffordern. Smishing basiert auf derselben Idee wie Phishing, bei dem Angreifer betrügerische E-Mails versenden, die den Empfänger zum Öffnen eines Anhangs oder zum Aufrufen eines schädlichen Links bewegen sollen. Smishing nutzt schlicht Textnachrichten anstelle von E-Mails. Damit wollen die Angreifer beispielsweise Zugangsdaten für diverse Nutzerkonten oder das Online-Banking abgreifen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt momentan vor einer neuen Betrugsmethode, die auf Smishing beruht [1]. Solche Smishing-Angriffswellen gibt es immer wieder. So gaben Angreifer zu Anfang des Jahres meist vor, dass der SMS-Empfänger, also das Opfer, in Kürze ein Paket zugestellt bekäme. Sollte er nicht gleich reagieren, würde die Sendung zurückgeschickt. Um das zu verhindern, sollte das Opfer einen Link in der SMS öffnen. Dahinter verbarg sich jedoch ein Download der Android-Botnet-Software MoqHao oder anderer Android-Schadsoftware wie FluBot oder TeaBot.

Diese Programme spähen unter anderem lokale Adressdaten aus, verbreiten weitere schadhafte SMS-Nachrichten und führen selbst Phishing-Angriffe durch. Das Opfer bemerkt davon nichts, weil die Angreifer die Schadsoftware zum Beispiel als eine für die Paketverfolgung angeblich notwendige App eines bekannten Logistikunternehmens tarnen. Diese Angriffsmethode mit den vorgeblichen Zustellnachrichten war vor allem während des Corona-Lockdowns aufgrund des boomenden Online-Geschäfts äußerst erfolgreich.

Seit Herbst 2021 greifen die Täter allerdings seltener auf das Fälschen von Paketbenachrichtigungen zurück. Die neue Masche: Die SMS suggeriert dem Opfer, eine Sprachnachricht liege zum Abruf bereit oder das Smartphone sei mit einem Schadprogramm infiziert. Wieder verspricht ein entsprechender Link in der SMS Abhilfe bei den Problemen. Das Opfer erwartet, dass der Link zum Download der Sprachnachricht beziehungsweise eines Sicherheitsupdates führt. Stattdessen wird allerdings die Schadsoftware des Angreifers auf das Smartphone geladen.

Des Weiteren kursieren Smishing-SMS, die den Opfern vorgaukeln, ihre privaten Fotos seien geleakt, weil sich eine Schadsoftware auf dem Smartphone befinde. Ziel all dieser Attacken ist es, möglichst viel Druck auf das Opfer auszuüben, damit es den in der SMS untergebrachten Link öffnet.

Mittlerweile haben die Mobilfunkanbieter verschiedene Filter in ihre Systeme eingebaut, um Smishing-Attacken zu verhindern. Allerdings handelt es sich hierbei um recht primitive Schutzmaßnahmen, die ein Angreifer schon mithilfe von Buchstabendrehern, Schreibfehlern oder zufälligen Zeichenketten in der Nachricht umgehen kann. Hier sollten die Provider schnellstmöglich nachbessern.

Alle Smishing-SMS enthalten einen Link. Grundsätzlich sollte man Links in SMS nicht unbedacht aufrufen. Hat man ihn dennoch versehentlich aufgerufen, rät das BSI zu folgenden Maßnahmen:

• Entfernen Sie das Gerät umgehend aus dem Mobilfunknetz (Flugmodus).
• Informieren Sie den Mobilfunkanbieter über den Vorfall.
• Prüfen Sie Bankkonten und Zahlungsdienstleister auf Abbuchungen.
• Setzen Sie das Smartphone auf Werkseinstellungen zurück, um die Schadprogramme vom Gerät zu entfernen. Sichern Sie vorher alle wichtigen privaten Daten.

Das BSI empfiehlt weiter, vor dem letzten Schritt zunächst Strafanzeige bei der Polizei zu erstatten. Damit das infizierte Smartphone dabei zur Beweissicherung dienen kann, sollten Sie es erst nach der Anzeige auf die Werkseinstellungen zurücksetzen. (jcb)