Phishing-Angriffe auf mobile Geräte nehmen deutlich zu

Der Sicherheitsanbieter Zimperium warnt vor einer deutlichen Zunahme von Mobile-Phishing-Angriffendeutlichen Zunahme von Mobile-Phishing-Angriffen. Eine datengestützte Analyse von mobilen Phishing-Vektoren ergab, dass Angreifer mittlerweile auf eine Mobile-First-Strategie setzen, um Firmennetzwerke zu kompromittieren und vertrauliche Informationen zu rauben.

Mobile Phishing umfasst Zimperium zufolge verschiedene Formen wie SMS-Phishing (Smishing), Voice-Phishing (Vishing), App-basiertes Phishing, E-Mail-Phishing und Social-Media-Phishing. Viele Phishing-Kampagnen richten sich demnach primär gegen private Verbraucher, aber einmal infizierte Mobilgeräte gefährden auch Geschäftsumgebungen. Unerkannte Malware auf Smartphones zielt auf wiederverwendbare Passwörter, kapert aber auch Einmalpasswörter (OTP, One-Time Password), um Unternehmensnetzwerke und -anwendungen zu infiltrieren.

Der häufigste Mobile-Phishing-Angriffsvektor war 2024 Smishing (SMS-/textbasiertes Phishing). E-Mail-Phishing-Kampagnen auf Mobilgeräten wurden in speziell darauf ausgerichtet, Sicherheitsmaßnahmen auf Desktops zu umgehen und nur mobile Endgeräte zu attackieren. Aber auch Quishing (QR-Code-basiertes Phishing) greift immer mehr um sich und nimmt insbesondere Mobilnutzer in den USA, Indien und Japan ins Visier.

Drei Prozent der Phishing-Webseiten setzen laut der Studie gerätespezifische Umleitungen ein, so dass auf Desktop-Rechnern harmlose Inhalte angezeigt, aber auf Mobilgeräten gefährliche Phishing-Payloads heruntergeladen werden. Die Untersuchungen sollen aber auch zeigen, dass Angreifer CIDR-Blöcke (Classless Inter-Domain Routing) zur Allokation von IP-Adressen verwenden, mit denen sich mehrere Phishing-Domains hosten sowie die Reichweite und Persistenz der Angriffe erhöhen lassen. Die höchste Mishing-Aktivität wurde zum im August 2024 mit täglich über 1.000 Angriffen registriert.

„Da sich Organisationen zunehmend auf mobile Geräte im Geschäftsbetrieb verlassen, einschließlich Multi-Faktor-Authentifizierung und Mobile-First-Anwendungen, stellt Mobile Phishing ein ernsthaftes Risiko für die Unternehmenssicherheit dar“, teilte Zimperium mit. „Angreifer nutzen Sicherheitslücken in Cloud-Umgebungen und mobilen Geschäftsanwendungen aus, vergrößern die Angriffsfläche und erhöhen die Anfälligkeit für den Diebstahl von Anmeldeinformationen und die Kompromittierung von Daten. Herkömmliche Anti-Phishing-Maßnahmen, die für Desktops entwickelt wurden, erweisen sich als unzureichend — erforderlich ist eine Umstellung auf Mobile-Threat-Defense-Lösungen zur Abwehr von Bedrohungen auf mobilen Endgeräten.“