Wenn ein Code oder Klick Vertrauen verrät: die Phishing-Kampagne, die die Kontrolle in WhatsApp und Signal berücksichtigt

In den letzten Wochen haben Sicherheitsbehörden in mehreren Ländern Alarme durch eine Phishing-Kampagne auf kommerzielle Messaging-Anwendungen wie WhatsApp und Signal. Amerikanische Agenturen CISA und FBI haben gewarnt, dass russische Geheimdienstakteure versuchen, Konten von Menschen mit "hoher Intelligenz" zu entführen: öffentliche Beamte, Militär, Journalisten und politische Persönlichkeiten.

Wichtig bei dieser Kampagne ist, dass es nicht eine technische Verletzung der Verschlüsselungsprotokolle dieser Plattformen ist, sondern eine Ausbeutung des menschlichen Vertrauens: Angreifer nutzen Social Engineering-Techniken, um die Opfer zu überzeugen, Verifikationscodes zu liefern, QR-Codes zu scannen oder bösartige Links anzuklicken. Das Ergebnis: Account-Taking, Nachrichtenansicht und Supplanting, um neue Täuschung aus einer zuverlässigen Identität zu starten. Agenturen sagen, dass bereits Tausende von Konten auf der ganzen Welt begangen wurden.

Es gibt zwei Hauptwege, zu denen die Angreifer Zugang erhalten, und der Unterschied zwischen ihnen ist wichtig. Wenn das Opfer den gewünschten Verifikationscode oder PIN bereitstellt, erholt der Angreifer das Konto und der Besitzer verliert den Zugriff; der Angreifer wird die alten Nachrichten nicht sehen können, aber er wird in der Lage sein, neue Nachrichten zu lesen und zu senden, die als Opfer posieren. Wenn das Opfer hingegen auf einen Link klickt oder einen QR-Code scannt, der vom Angreifer erstellt wird, dann wird ein adversary-kontrolliertes Gerät mit dem Konto abgestimmt, das den vollen Zugriff auf vergangene und aktuelle Gespräche ermöglichen kann, während der betroffene Benutzer noch in der Lage ist, das Konto einzugeben, bis es aus den App-Einstellungen ausgeschaltet ist.

Verschiedene Intelligenz-Teams von Technologieunternehmen und Reaktionszentren haben ähnliche Kampagnen zu Gruppen verknüpft, die mit Russland in Cybersicherheitsliteratur identifiziert wurden, mit Labels wie Star Blizzard, UNS5792 und UNS4221. Große Lieferantenintelligenzberichte weisen ähnliche Muster und Taktiken und europäische Warnungen auf, wie die des französischen Cyber-Krisenzentrums C4 / ANSSI Sie bestätigen eine Zunahme der Operationen, die gegen die Nachrichtenkonten von Beamten, Journalisten und Führungskräften gerichtet sind.

Die Behörden haben auch erklärt, warum diese Vorfälle besonders gefährlich sind. Wenn ein Angreifer ein Messaging-Konto steuert, bekommt er nicht nur Zugang zu Gesprächen, es kann auch die Wahrnehmung von engen Kontakten manipulieren: Senden gefährliche Links oder Anfragen, so tun, als Opfer zu sein, und so erweitern Sie das Engagement-Netzwerk an Menschen, die dem Absender vertrauen. In der Praxis kann ein einziges Kompromiß-Konto zum Werkzeug werden, um ein Dutzend mehr anzugreifen.

Sicherheitsempfehlungen sind nicht neu, aber sie sind jetzt dringender. Teilen Sie niemals Verifikationscodes oder PIN mit jedem; behandeln Sie mit Misstrauen unerwartete Nachrichten, die dringende Aktion fordern; überprüfen Sie die Authentizität einer Nachricht auf andere Weise vor der Reaktion; und regelmäßig überprüfen Geräte mit Ihren Anwendungen verknüpft, um diejenigen zu entfernen, die Sie nicht erkennen. WhatsApp hält spezifische Anweisungen zur zweistufigen Verifikation und guten Praxis in seinem Hilfezentrum ( siehe WhatsApp FAQ), und Signal veröffentlicht Antiphishing und Impersonationen ( siehe Artikel von Signal)

Signal hat öffentlich daran erinnert, dass Ihr SMS-Verifikationscode nur während der ersten Aktivierung erforderlich ist und dass Signal Support nie kontaktieren Benutzer, indem Sie nach Codes oder PIN durch Nachricht fragen. Jede solche Anfrage sollte als Betrug betrachtet werden, und das Unternehmen hat die Nutzer aufgefordert, Suplantationsversuche zu melden, in denen ein angeblicher "Signal Support Bot" oder andere verdächtige Emittenten erscheint ( Erklärung des Signals)

Zusätzlich zu den Nicht-Sharing-Codes gibt es spezifische Maßnahmen, die das Risiko reduzieren: die zweistufige Überprüfung oder die PIN der Registrierung aktivieren, die diese Anwendungen anbieten, Bildschirmblöcke auf dem Gerät verwenden, das Betriebssystem und die Apps aktuell halten und kurze Links oder Domains, die legitime Dienste imitieren, misstrauen. Für Organisationen und Senioren umfasst die empfohlene Praxis zusätzliche Sicherheitskontrollen und Offline-Verifikationsprotokolle, bevor sie sensible Kommunikationen akzeptieren.

Die Cyber-Sicherheitseinrichtungen empfehlen auch, dass jemand vermutet, das Ziel dieser Art von Kampagnendatei eine Beschwerde zu sein und den offiziellen Anleitungen folgen, um den Vorfall zu melden. In den Vereinigten Staaten, IC3 und andere Agenturen verbreiten Mitteilungen und Schritte zu folgen; CISA hält Ressourcen auf, wie zu identifizieren und reagieren auf Phishing-Kampagnen ( Weitere Informationen zu CISA)

Diese Art von Offensive erinnert daran, dass die Sicherheit nicht nur von robusten Algorithmen und Verschlüsselung abhängt: hängt von gut informierten Menschen und Prozessen ab, die es schwierig machen, Vertrauen zu missbrauchen. Messaging-Technologie schützt Transit-Nachrichten, aber wenn ein Angreifer durch die Tür des Benutzers kommt, wird das Schutzniveau drastisch reduziert. Deshalb sind neben technischen Verbesserungen die Ausbildung und die Vorsicht die erste Verteidigungslinie.

Wenn Ihre Arbeit oder Position es wahrscheinlicher macht, diese Kampagnen anzusprechen, berücksichtigen Sie die Erhöhung von Sicherheitsbarrieren und koordinieren mit Ihrer IT-Abteilung oder Notfall-Reaktionsteams, um proaktive Maßnahmen umzusetzen. Neuere öffentliche Warnungen sind ein Aufruf zur Aufmerksamkeit, die nicht weniger Wache: Social Engineering bleibt in vielen Fällen das bevorzugte Werkzeug von anspruchsvollen Akteuren.