Betrug per iMessage: 100.000 Nachrichten aus „iPhone-Farmen“ – am Tag
Beinahe jeder iPhone-Anwender durfte bereits unfreiwillig Erfahrungen sammeln mit Phishing: Unbezahlte Zollgebühren, exorbitant hohe Überweisungen vom eigenen Konto, ein neuer Steuerbescheid – angekündigt durch eine Nachricht mit scheinbar dringlichem Inhalt, von einem unbekannten Adressaten stammend. Sie haben stets das Ziel, vitale persönliche Informationen abzugreifen, etwa Kennwörter oder Kreditkartendaten. Diese Angriffe werden von professionellen Dienstleistern angeboten, das Produkt nennt sich „Phishing as a service“ (PhaaS). Diese Anbieter verlagern ihre Tätigkeiten zunehmend auf den Versand von Nachrichten mit Diensten wie iMessage – da hier die Inhalte verschlüsselt bleiben.
Ein
Bericht der Sicherheitsfirma Catalyst beschreibt, wie die einschlägige Plattform Lucid vorgeht. Seit 2023 bietet dieses Unternehmen Kriminellen ihre Dienste auf Abonnement-Basis an. Dabei verschiebt sich der Fokus von SMS und E-Mail zunehmend auf plattformspezifische Nachrichtenübermittler wie RCS und iMessage. Da sie ihre Inhalte verschlüsselt übertragen, können die automatisierten Erkennungsmechanismen der Provider diese nicht so leicht als Phishing erkennen.
iPhone-FarmUm Phishing-Versuche über Apples Nachrichtenplattform zu versenden, setzt Lucid physische iPhones ein – sie erhalten temporäre Apple-Accounts, um dann automatisiert Nachrichten an potenzielle Opfer zu versenden. Bis zu 100.000 Nachrichten soll die Plattform am Tag versenden, analysiert Catalyst. Für Android ist die Zahl wahrscheinlich ungleich höher: Nachrichten, welche über das RCS-System automatisiert versendet werden, entstammen virtualisierten Android-Geräten, von denen ein Dutzend nebeneinander auf demselben PC laufen.
Nicht antworten, Spam meldenApple hat seine Nachrichten-Apps mittlerweile überarbeitet, um Nutzern ein Erkennen von Phishing-Versuchen zu erleichtern. So sind URLs in Nachrichten nicht anklickbar, wenn diese von unbekannten Absendern kommen. Darum fordern viele aktuelle Phishing-Nachrichten zunächst eine Antwort ein, etwa in Form eines „Ja“ oder des Buchstabens „Y“. Damit legitimieren Empfänger (unbewusst) die Kommunikation, und der Link wird aktiv. Eine solche Nachricht sollte man möglichst gleich als Spam melden, wie es die Nachrichten-App anbietet. Dies erleichtert Apple, einen missbräuchlich genutzten Apple-Account zu erkennen und stillzulegen. Generell gilt der Rat, niemals einen Link aus einer Messengernachricht oder E-Mail zu klicken, um Passwörter oder andere „wertvolle“ Informationen anzugeben. Stattdessen sollte man eigenständig die App oder Website aufrufen und die Angaben in Ruhe überprüfen.
