Eine neue Phishing-Kampagne macht sich Facebooks Anwendungsplattform und Sicherheitszertifikate zunutze, um Anwender davon zu überzeugen, ihre Anmeldedaten preiszugeben. Wie der Sicherheitsanbieter Netcraft in einem Blogbeitrag erläutert, haben die Betrüger ein Formular zur Verifizierung einer Facebook-Seite erstellt, das täuschend echt aussieht und Facebooks Transport-Layer-Security-Zertifikate (TLS) aushebelt, die für alle Subdomains von facebook.com gelten.
Die Phishing-Attacke funktioniert unabhängig davon, ob das Opfer bereits bei Facebook angemeldet ist oder nicht. Weil somit keine Aufforderung zu einer wiederholten Anmeldung erfolgt, hat es also keinen Grund, misstrauisch zu werden.
Um auch die vorsichtigsten Nutzer in Sicherheit zu wiegen, gibt die Phishing-Seite bei der ersten Eingabe der Daten zudem immer eine Fehlermeldung aus. Denn ein misstrauischer Anwender könnte zunächst absichtlich falsche Anmeldedaten angeben, um zu prüfen, ob es sich um ein echtes Formular handelt. Da er dann eine Fehlermeldung erhält, gewinnt er den Eindruck, dass Facebook die Daten tatsächlich überprüft, und gibt wahrscheinlich seine echten Log-in-Informationen ein. Alle anderen dürften in der Fehlermeldung hingegen das Resultat eines Eingabefehlers sehen und ihre Daten nochmals übermitteln.
Beim zweiten Versuch tut die Phishing-Seite dann so, als ob die Informationen korrekt übermittelt wurden. Zugleich weist sie darauf hin, dass Nutzer 24 Stunden warten müssten, bis ihre Angaben überprüft wurden. Sie werden dann wahrscheinlich auf eine E-Mail-Benachrichtigung warten, die sie aber natürlich niemals erreichen wird. Dadurch gewinnen die Betrüger etwas Zeit, nachdem sie bereits in Besitz der Anmeldedaten sind. Diese können sie dann selbst verwenden oder an Dritte weiterverkaufen, die sie für Spam-Kampagnen oder andere kriminelle Aktivitäten missbrauchen.
Um sich vor diesem und ähnlichen Angriffen zu schützen, sollten Anwender Facebooks Zwei-Faktor-Authentifizierung aktivieren, so dass ihr Account nicht umgehend kompromittiert werden kann. Bei dem Verfahren müssen sie zusätzlich zu Benutzername und Passwort einen Einmalcode eingeben, der an ihr Smartphone geschickt wird. Versucht jemand anderes, sich mit ihren Zugangsdaten anzumelden, erhalten sie einen Warnhinweis.
[mit Material von Charlie Osborne, ZDNet.com]
Tipp: Sind Sie ein Facebook-Experte? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Bankhaus Metzler und Telekom-Tochter MMS testen, inwieweit Bitcoin-Miner das deutsche Stromnetz stabilisieren könnten.
Mit 1,7 Exaflops ist El Capitan nun der dritte Exascale-Supercomputer weltweit. Deutschland stellt erneut den…
Der deutsche Hyperscaler erweitert sein Server-Portfolio um vier Angebote mit den neuen AMD EPYC 4004…
Beim Online-Gaming kommt es nicht nur auf das eigene Können an. Auch die technischen Voraussetzungen…
Fast jedes zweite Unternehmen bietet keinerlei Schulungen an. In den übrigen Betrieben profitieren oft nur…
Huawei stellt auf der Connect Europe 2024 in Paris mit Xinghe Intelligent Network eine erweiterte…