Phishing-Kampagne umgeht Facebooks Sicherheitszertifikate

Eine neue Phishing-Kampagne macht sich Facebooks Anwendungsplattform und Sicherheitszertifikate zunutze, um Anwender davon zu überzeugen, ihre Anmeldedaten preiszugeben. Wie der Sicherheitsanbieter Netcraft in einem Blogbeitrag erläutert, haben die Betrüger ein Formular zur Verifizierung einer Facebook-Seite erstellt, das täuschend echt aussieht und Facebooks Transport-Layer-Security-Zertifikate (TLS) aushebelt, die für alle Subdomains von facebook.com gelten.

Die Phishing-Seite ist über einen iFrame in die echte Facebook-Website eingebunden, wird aber selbst über eine bei HostGator gehostete Website ausgeliefert. Diese externe Website verwendet dabei HTTPS, weshalb Browser keine Warnhinweise zu unverschlüsselten Seiten anzeigen.

Die Phishing-Attacke funktioniert unabhängig davon, ob das Opfer bereits bei Facebook angemeldet ist oder nicht. Weil somit keine Aufforderung zu einer wiederholten Anmeldung erfolgt, hat es also keinen Grund, misstrauisch zu werden.

Um auch die vorsichtigsten Nutzer in Sicherheit zu wiegen, gibt die Phishing-Seite bei der ersten Eingabe der Daten zudem immer eine Fehlermeldung aus. Denn ein misstrauischer Anwender könnte zunächst absichtlich falsche Anmeldedaten angeben, um zu prüfen, ob es sich um ein echtes Formular handelt. Da er dann eine Fehlermeldung erhält, gewinnt er den Eindruck, dass Facebook die Daten tatsächlich überprüft, und gibt wahrscheinlich seine echten Log-in-Informationen ein. Alle anderen dürften in der Fehlermeldung hingegen das Resultat eines Eingabefehlers sehen und ihre Daten nochmals übermitteln.

Die Phishing-Seite erscheint in einem iFrame auf der legitimen Facebook-Website (Screenshot: Netcraft).

Beim zweiten Versuch tut die Phishing-Seite dann so, als ob die Informationen korrekt übermittelt wurden. Zugleich weist sie darauf hin, dass Nutzer 24 Stunden warten müssten, bis ihre Angaben überprüft wurden. Sie werden dann wahrscheinlich auf eine E-Mail-Benachrichtigung warten, die sie aber natürlich niemals erreichen wird. Dadurch gewinnen die Betrüger etwas Zeit, nachdem sie bereits in Besitz der Anmeldedaten sind. Diese können sie dann selbst verwenden oder an Dritte weiterverkaufen, die sie für Spam-Kampagnen oder andere kriminelle Aktivitäten missbrauchen.

Um sich vor diesem und ähnlichen Angriffen zu schützen, sollten Anwender Facebooks Zwei-Faktor-Authentifizierung aktivieren, so dass ihr Account nicht umgehend kompromittiert werden kann. Bei dem Verfahren müssen sie zusätzlich zu Benutzername und Passwort einen Einmalcode eingeben, der an ihr Smartphone geschickt wird. Versucht jemand anderes, sich mit ihren Zugangsdaten anzumelden, erhalten sie einen Warnhinweis.

[mit Material von Charlie Osborne, ZDNet.com]

Tipp: Sind Sie ein Facebook-Experte? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.