Smishing (SMS Phishing)

Smishing ist eine Form von Betrug, bei der Cyberkriminelle ihre Opfer dazu verleiten, vertrauliche Daten preiszugeben, Geld zu senden oder Malware auf einem Smartphone oder Gerät zu installieren. Das Wort „Smishing“ ist eine Kombination der Ausdrücke „Short Message Service (SMS)“ und „Phishing“. SMS ist die Technologie, die das Senden und Empfangen von Textnachrichten ermöglicht, während Phishing ein Social-Engineering-Angriff ist, bei dem Cyberkriminelle versuchen, Einzelpersonen dazu zu verleiten, vertrauliche Daten – wie zum Beispiel Passwörter oder Kreditkartennummern – preiszugeben, indem sie sich als vertrauenswürdige Organisation oder Person ausgeben.

• Smishing ist eine Form des Phishings, bei der Opfer mithilfe von Textnachrichten dazu verleitet werden, vertrauliche Informationen preiszugeben, Geld zu senden oder Malware auf ihren Geräten zu installieren.
• Cyberkriminelle geben sich häufig als vertrauenswürdige Institutionen wie Banken, Lieferdienste oder Behörden aus, um ein Gefühl der Dringlichkeit zu erzeugen und die Empfänger zu sofortigem Handeln zu verleiten.
• Zum Schutz vor Smishing-Angriffen gehört die Vorsicht vor unerwünschten Nachrichten, die Aktivierung der Zwei-Faktor-Authentifizierung, die Verwendung von SMS-Filtertools und die Aufklärung über die neuesten Smishing-Techniken.

Wie herkömmliches Phishing basiert Smishing auf Täuschung. Cyberkriminelle erstellen Textnachrichten, die scheinbar von vertrauenswürdigen Stellen wie Banken, Paketdiensten oder Regierungsbehörden stammen. Diese Nachrichten enthalten häufig ein dringendes Anliegen, warnen vor einem Problem mit einem Konto, einer verpassten Lieferung oder sogar einem rechtlichen Problem.

Das Ziel des Cyberkriminellen besteht darin, eine sofortige Reaktion auszulösen. Die Nachricht enthält normalerweise einen Link und fordert den Empfänger auf, darauf zu klicken und das vermeintliche Problem zu lösen. Dieser Link führt jedoch zu einer betrügerischen Website, die eine legitime Website imitieren soll. Auf dieser gefälschten Website werden die Opfer aufgefordert, vertrauliche Informationen wie Zugangsdaten, Kreditkartendaten oder Sozialversicherungsnummern einzugeben.

Cyberkriminelle verwenden auch Smishing-Textnachrichten, um Malware oder Spyware zu verbreiten. Sie könnten einen Link enthalten, der bösartige Software auf Ihr Gerät herunterlädt, oder eine Datei anhängen, die Malware installiert. Sobald sich die Malware auf Ihrem Telefon befindet, kann sie vertrauliche Daten stehlen, Ihre Aktivitäten verfolgen oder sogar die Kontrolle über Ihr Gerät übernehmen.

Ein Praxisbeispiel für Smishing

Stellen Sie sich folgendes Szenario vor: Es ist Ferienzeit und Sie warten sehnsüchtig auf ein Paket von Ihrem bevorzugten Online-Händler. Plötzlich erhalten Sie eine Textnachricht. Es scheint vom Händler zu stammen und warnt Sie, dass es ein Problem mit Ihrer Zahlung gibt und Ihre Bestellung nicht ausgeführt wurde. In der Nachricht werden Sie aufgefordert, auf einen Link zu klicken, um Ihre Daten sofort zu aktualisieren, oder zu riskieren, dass Ihr Geschenk nicht rechtzeitig ankommt.

Der Haken? Dies ist keine echte Nachricht des Händlers. Es handelt sich um einen sorgfältig geplanten Smishing-Versuch. Der Link führt zu einer überzeugend aussehenden, aber gefälschten Website, die Ihre Kreditkarteninformationen stiehlt. Sobald Sie Ihre Daten eingegeben haben, haben die Betrüger alles, was sie brauchen, um Identitätsdiebstahl zu begehen, betrügerische Einkäufe zu tätigen oder Ihr Bankkonto zu leeren.

Typische Schritte eines Smishing-Angriffs

Hier sind sieben Schritte, mit denen Cyberkriminelle Opfer mit einem Smishing-Angriff angreifen:

1. Empfänger auswählen: Angreifer finden die Empfänger, indem sie ein weites Netz mit Telefonnummern auswerfen, die aus Datenlecks stammen, oder indem sie auf der Grundlage von Vorwissen bestimmte Personen ins Visier nehmen.
2. Nachrichten erstellen: Angreifer nutzen oft Emotionen wie Dringlichkeit, Angst oder Neugierde, um eine schnelle Reaktion zu provozieren, und verfassen überzeugende Textnachrichten. Diese Nachrichten enthalten normalerweise eine Handlungsaufforderung, beispielsweise das Klicken auf einen Link oder das Anrufen einer Nummer.
3. Nachrichten senden: Mithilfe von SMS-Gateways, Spoofing-Tools oder kompromittierten Geräten versenden Angreifer Smishing-Nachrichten an ausgewählte Empfänger. Diese Nachrichten scheinen aus vertrauenswürdigen Quellen zu stammen, was ihren irreführenden Charakter noch verstärkt.
4. Interaktion mit dem Opfer: Die Nachricht fordert den Empfänger auf, nach Erhalt der Nachricht mit den Angreifern zu interagieren. Hierzu kann beispielsweise das Anklicken eines bösartigen Links, das Antworten mit persönlichen Daten oder das Anrufen einer angegebenen Telefonnummer gehören.
5. Daten abfassen: Wenn ein Empfänger in die Falle tappt, wird er möglicherweise auf eine betrügerische Website weitergeleitet, auf der er unwissentlich sensible Daten eingibt oder unwissentlich Malware auf sein Gerät herunterlädt. Manchmal kann bereits die Interaktion selbst, beispielsweise der Anruf bei einer kostenpflichtigen Nummer, zu ersten finanziellen Verlusten führen.
6. Gestohlene Daten ausnutzen: Der Angreifer verwendet die gestohlenen Daten für Identitätsdiebstahl, nicht autorisierte Transaktionen oder zum Verkauf im Dark Web.
7. Spuren vertuschen: Angreifer ändern ihre Taktik häufig, indem sie beispielsweise unterschiedliche Telefonnummern verwenden oder verschiedene Techniken anwenden, um ihre Identität und ihren Standort zu verschleiern.

Um Ihr Verständnis von Smishing-Angriffen zu vertiefen, schauen wir uns weitere Beispiele aus der Praxis an, denen Sie begegnen könnten.

Nachahmung eines Finanzinstituts

Angreifer senden Ihnen Textnachrichten, die vorgeben, von Ihrer Bank zu stammen, und machen Sie auf verdächtige Aktivitäten oder Kontoprobleme aufmerksam. Diese Nachrichten enthalten normalerweise einen Link zu einer gefälschten Website, die darauf ausgelegt ist, Ihre Zugangsdaten oder Finanzdaten abzugreifen.

Sich als Kundensupport ausgeben

Smishing-Nachrichten können auch den Kundensupport von Technologie- oder Einzelhandelsunternehmen nachahmen. Sie behaupten, es gäbe ein Problem mit Ihrem Konto und fordern Sie auf, auf einen Link zu klicken oder eine betrügerische Support-Hotline anzurufen, um vertrauliche Daten preiszugeben.

Sich als Regierungsbehörden oder -beamte ausgeben

Cyberkriminelle geben sich möglicherweise als Behörden wie die das Finanzamt aus und drohen mit rechtlichen Schritten oder Geldstrafen, wenn Sie nicht auf einen Link klicken oder eine angegebene Nummer anrufen. Dies kann zum Diebstahl persönlicher Daten oder zu Finanzbetrug führen.

Sich als Post- und Versandunternehmen ausgeben

Smishing-Nachrichten behaupten, dass es ein Problem mit der Paketzustellung gibt, und fordern Sie auf, auf einen Link zu klicken, um das Problem zu beheben. Diese Links führen häufig zu gefälschten Websites von Versandunternehmen, die darauf ausgelegt sind, Ihre Adresse oder Zahlungsdaten zu stehlen oder sogar Malware auf Ihrem Gerät zu installieren.

Sich als Chef eine Unternehmens ausgeben

Angreifer geben sich möglicherweise als Führungskräfte eines Unternehmens aus und Sie auffordern, dringende Finanztransaktionen durchzuführen oder vertrauliche Daten preiszugeben. Diese Nachrichten nutzen das Vertrauen und die Hierarchie innerhalb von Organisationen aus, was möglicherweise zu finanziellen Verlusten oder Datenschutzverletzungen führen kann.

SMS vorgeblich an die falsche Nummer gesendet

Bei dieser Taktik wird eine SMS gesendet, die scheinbar an die falsche Person gesendet wurde. Betrüger nutzen dann das folgende Gespräch, um Vertrauen aufzubauen und schließlich Geld oder persönliche Informationen zu erpressen.

Einen App-Download anbieten

Smishing-Nachrichten können Sie dazu verleiten, eine scheinbar nützliche App herunterzuladen, die oft als vertrauenswürdige Marke getarnt ist. Diese Apps sind in der Regel bösartig und darauf ausgelegt, Daten zu stehlen oder weitere Malware auf Ihrem Gerät zu installieren.

Phishing, Smishing und Vishing sind allesamt Social-Engineering-Taktiken mit denen Cyberkriminelle persönliche Daten zu stehlen, obwohl sie sich in ihren Übermittlungsweisen unterscheiden.

• Beim Phishing werden betrügerische E-Mails verwendet, um die Empfänger dazu zu verleiten, auf schädliche Links zu klicken oder schädliche Anhänge herunterzuladen. Diese E-Mails scheinen oft von legitimen Quellen wie Banken, Social-Media-Plattformen oder Online-Händlern zu stammen.
• Smishing verwendet Textnachrichten oder Messaging-Apps, um Opfer zu täuschen, statt E-Mails. Diese Nachrichten enthalten typischerweise dringende Informationsanfragen oder Links zu gefälschten Websites, die darauf ausgelegt sind, personenbezogene Daten zu erfassen.
• Vishing nutzt Sprachanrufe oder Voicemails, um Einzelpersonen dazu zu verleiten, vertrauliche Informationen preiszugeben. Angreifer können sich als Bankmitarbeiter, Regierungsbeamte oder Mitarbeiter des technischen Supports ausgeben, um das Vertrauen des Opfers zu gewinnen und Daten direkt über das Telefon abzufragen.

Um sich vor Smishing-Angriffen zu schützen, müssen Sie zunächst die Grundlagen des Phishing-Schutzes verstehen. Hier sind einige gängige Möglichkeiten zum Schutz vor Social-Engineering-Angriffen wie Phishing, Smishing und Vishing:

Einzelpersonen

• Multifaktor-Authentifizierung (MFA) aktivieren: Bei dieser Sicherheitsmaßnahme müssen Benutzer zwei Arten der Identifizierung angeben, bevor sie auf ein Konto zugreifen, z. B. ein Passwort und einen temporären Code, der an ein Telefon oder eine E-Mail gesendet wird. Dadurch wird das Risiko eines unbefugten Zugriffs erheblich verringert, selbst wenn das Kennwort kompromittiert wurde.
• Seien Sie vorsichtig bei unerbetenen Nachrichten: Behandeln Sie unerwartete Nachrichten mit Skepsis, insbesondere solche, die Dringlichkeit vorgeben oder Prämien anbieten. Überprüfen Sie die Echtheit jeder Nachricht, indem Sie die Organisation direkt über offizielle Kanäle kontaktieren.
• Informieren Sie sich und andere: Bleiben Sie über die neuesten Smishing-Techniken auf dem Laufenden und teilen Sie dieses Wissen mit Familie, Freunden und Kollegen. Aufmerksamkeit ist ein wirkungsvolles Mittel zum Erkennen und Vermeiden von Betrug.
• Verdächtige Nachrichten ignorieren: Klicken Sie nicht auf Links und antworten Sie nicht auf Texte aus unbekannten oder verdächtigen Quellen. Seriöse Organisationen fordern vertrauliche Informationen normalerweise nicht per SMS an.

Unternehmen

• Verwenden Sie SMS-Filtertools: Viele Smartphones verfügen über integrierte Funktionen oder Apps, die potenzielle Spam- und Phishing-Nachrichten herausfiltern oder kennzeichnen können. Diese Tools tragen dazu bei, die Gefährdung durch bösartige SMS zu verringern.
• Anti-Phishing-Tools installieren: Sicherheitssoftware kann Phishing-Versuche erkennen und blockieren und bietet so zusätzlichen Schutz vor Smishing-Angriffen. Aktualisieren Sie diese Tools regelmäßig, um sicherzustellen, dass sie die neuesten Bedrohungen erkennen.
• Identität des Absenders überprüfen: Wenn in einer Nachricht persönliche Informationen angefordert werden, überprüfen Sie die Identität des Absenders, indem Sie sich direkt an die Organisation wenden. Verwenden Sie dazu die Kontaktinformationen von deren offizieller Website, nicht die Nachricht selbst.
• Smishing-Versuche melden: Wenn Sie verdächtige Texte Ihrem Mobilfunkanbieter oder den zuständigen Behörden melden, können diese dabei helfen, Smishing-Kampagnen zu verfolgen und zu bekämpfen und andere vor ähnlichen Angriffen zu schützen.
• Regelmäßige Sicherheitsschulungen: Die Durchführung regelmäßiger Sicherheitsschulungen und Simulationen kann Einzelpersonen und Organisationen dabei helfen, Smishing-Versuche besser zu erkennen und darauf zu reagieren, wodurch die Wahrscheinlichkeit verringert wird, Opfer zu werden.
• Halten Sie die Software auf dem neuesten Stand: Regelmäßige Updates Ihres mobilen Betriebssystems und Ihrer Sicherheitsanwendungen stellen sicher, dass Sie über den neuesten Schutz vor bekannten Sicherheitslücken und Bedrohungen verfügen, wodurch das Risiko einer Schwachstelle verringert wird.

Denken Sie daran, dass der Schlüssel zum Schutz vor Smishing Wachsamkeit und eine gesunde Portion Skepsis ist. Wenn etwas zu gut klingt, um wahr zu sein, oder sich komisch anfühlt, vertrauen Sie Ihrem Instinkt und nehmen Sie sich die Zeit, die Nachricht zu überprüfen, bevor Sie etwas unternehmen.