Eine neue Phishing-Kampagne macht sich Facebooks Anwendungsplattform und Sicherheitszertifikate zunutze, um Anwender davon zu überzeugen, ihre Anmeldedaten preiszugeben. Wie der Sicherheitsanbieter Netcraft in einem Blogbeitrag erläutert, haben die Betrüger ein Formular zur Verifizierung einer Facebook-Seite erstellt, das täuschend echt aussieht und Facebooks Transport-Layer-Security-Zertifikate (TLS) aushebelt, die für alle Subdomains von facebook.com gelten.
Die Phishing-Attacke funktioniert unabhängig davon, ob das Opfer bereits bei Facebook angemeldet ist oder nicht. Weil somit keine Aufforderung zu einer wiederholten Anmeldung erfolgt, hat es also keinen Grund, misstrauisch zu werden.
Um auch die vorsichtigsten Nutzer in Sicherheit zu wiegen, gibt die Phishing-Seite bei der ersten Eingabe der Daten zudem immer eine Fehlermeldung aus. Denn ein misstrauischer Anwender könnte zunächst absichtlich falsche Anmeldedaten angeben, um zu prüfen, ob es sich um ein echtes Formular handelt. Da er dann eine Fehlermeldung erhält, gewinnt er den Eindruck, dass Facebook die Daten tatsächlich überprüft, und gibt wahrscheinlich seine echten Log-in-Informationen ein. Alle anderen dürften in der Fehlermeldung hingegen das Resultat eines Eingabefehlers sehen und ihre Daten nochmals übermitteln.
Beim zweiten Versuch tut die Phishing-Seite dann so, als ob die Informationen korrekt übermittelt wurden. Zugleich weist sie darauf hin, dass Nutzer 24 Stunden warten müssten, bis ihre Angaben überprüft wurden. Sie werden dann wahrscheinlich auf eine E-Mail-Benachrichtigung warten, die sie aber natürlich niemals erreichen wird. Dadurch gewinnen die Betrüger etwas Zeit, nachdem sie bereits in Besitz der Anmeldedaten sind. Diese können sie dann selbst verwenden oder an Dritte weiterverkaufen, die sie für Spam-Kampagnen oder andere kriminelle Aktivitäten missbrauchen.
Um sich vor diesem und ähnlichen Angriffen zu schützen, sollten Anwender Facebooks Zwei-Faktor-Authentifizierung aktivieren, so dass ihr Account nicht umgehend kompromittiert werden kann. Bei dem Verfahren müssen sie zusätzlich zu Benutzername und Passwort einen Einmalcode eingeben, der an ihr Smartphone geschickt wird. Versucht jemand anderes, sich mit ihren Zugangsdaten anzumelden, erhalten sie einen Warnhinweis.
[mit Material von Charlie Osborne, ZDNet.com]
Tipp: Sind Sie ein Facebook-Experte? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Zwei Schwachstellen in Chrome gehören nun der Vergangenheit an. Von ihnen geht ein hohes Risiko…
Mit der zunehmenden computerbasierten und globalen Vernetzung gewinnt die digitale Souveränität an rasanter Bedeutung. Viele…
Weitere schwerwiegende Fehler stecken in Android 12 und 13. Insgesamt bringt der Mai-Patchday 29 Fixes.
IT-Sicherheit - Erkennen und Abwehren von digitalen Angriffen
Das iPhone 15 Pro Max ist das meistverkaufte Smartphone im ersten Quartal. Das Galaxy S24…
Die Passwort-Alternative Passkeys überholt Einmalpasswörter bei der Zwei-Faktor-Authentifizierung. Auch Microsoft setzt sich aktiv für die…
