Einfallstor für Kriminelle

Paul* ist ziemlich überrascht, als er die WhatsApp-Nachricht seines Freundes Georg* liest: „Hallo, könntest du mir 540 Euro leihen? Ich muss dringend zum Zahnarzt und habe Probleme mit meiner Karte. Ich überweise sie dir zurück.“ Weil Paul helfen will, antwortet er: „Gerne, was soll ich tun?“ Binnen weniger Minuten erhält er eine weitere Nachricht: „Überweis bitte das Geld auf folgendes Konto.“ In der Annahme, es handle sich bei dem Konto um jenes des Zahnarztes, überweist Paul das Geld – in Echtzeit, versteht sich. Anschließend schreibt er noch eine kurze WhatsApp-Nachricht an Georg: „Erledigt.“ Wenige Sekunden später klingelt Pauls Telefon: Georg ist dran und erklärt ihm, dass die Nachricht nicht von ihm kam und Paul auf einen Betrug hereingefallen ist. Zu spät – das Geld ist weg.

WhatsApp-Konto gekapert

Hintergrund des Betrugsszenarios, das tatsächlich so stattfand, sind mehrere gekaperte WhatsApp-Konten. Wenige Tage vor der Nachricht an Paul erhielt Georg die Nachricht einer Bekannten, die ihn dazu aufforderte, bei einer Tanz-Voting-Maschine für die Tochter einer Freundin abzustimmen, damit diese einen Tanzkurs gewinnen kann. Georg tat, wie ihm geheißen, klickte auf den hinterlegten Link, und schon saß er in der Falle. Mittels eines Bestätigungstricks hatten die Cyberkriminellen sein WhatsApp-Konto übernommen und versendeten Tage später unbemerkt seinen „Hilferuf“ an alle seine Kontakte.
Wie watchlist-internet.at, die unabhängige Informationsplattform zum Thema Internetbetrug, berichtet, ist die Masche nicht neu, sondern kursierte schon vor einem Jahr, verschwand dann allerdings rasch wieder. Nur um ein Jahr später – „generalüberholt dank KI“, wie es auf watchlist-internet.at heißt – ein Comeback zu feiern.

Smartphone als Tatwerkzeug

Der beschriebene Fall zeigt eines ganz klar: Immer öfter werden die Smartphones zum Einfallstor für Cyberkriminelle. Bei den klassischen, großflächigen Cyberattacken, wie Ransomware-Angriffen oder gezielten Attacken auf Unternehmen, dominiert nach wie vor der Angriff via PC bzw. Server und Desktopinfrastrukturen. Vor allem bei Phishingattacken oder dem sogenannten Social Engineering, bei dem Menschen psychologisch manipuliert werden, um vertrauliche Informationen preiszugeben, Zugangsdaten zu übergeben oder Sicherheitsvorkehrungen zu umgehen, wird immer häufiger auf das Smartphone zurückgegriffen. Der Grund ist einfach: Anstatt technische Schwachstellen in Software oder Netzwerken direkt anzugreifen, was einigen technischen Aufwand mit sich bringt, nutzen die Angreifer:innen menschliche Eigenschaften wie Hilfsbereitschaft, Angst, Neugier, Vertrauen oder Respekt vor Autorität aus. Ein typisches Beispiel für Letzteres sind SMS, welche die Empfänger:innen dazu auffordern, ihre ID Austria mittels Klick auf einen Link zu verlängern. Kommt eine solche Aufforderung per E-Mail, lässt sie sich durch einen Blick auf die Absenderadresse leicht als Fake identifizieren, per SMS wirkt sie für manche schon um einiges seriöser, weil bei der offiziellen Anwendung der ID Austria ja die eigene Telefonnummer hinterlegt ist.

Dass Smartphones immer häufiger als Einfallstor genutzt werden, liegt einerseits am Faktor Mensch und andererseits an der intensiven Nutzung und der Speicherung persönlicher Daten am Handy. Smartphones werden für Onlinebanking verwendet, und sie spielen eine immense Rolle bei der Nutzung von sozialen Medien sowie der Verwaltung von sensiblen Daten. Sie sind damit der ideale Tummelplatz für Cyberkriminelle, um sich Zugang zu sensiblen Daten zu verschaffen. Dazu kommt wie erwähnt der Faktor Mensch: Auf dem kleineren Bildschirm übersieht man gefälschte Links schneller. Auch mittels KI erzeugte Deepfakes lassen sich auf einem kleineren Schirm nur schwer bis gar nicht erkennen.

Schutz vor Cyberkriminellen

Um das Smartphone gegen Cyberangriffe abzusichern, raten Expert:innen zu folgenden Maßnahmen:

• Das Betriebssystem regelmäßig updaten. Diese Updates schließen oft kritische Sicherheitslücken, die von Hacker:innen aktiv ausgenutzt werden, um Schadsoftware auf das Gerät zu schleusen.
• Um einen Identitätsdiebstahl zu vermeiden, sollte für jeden wichtigen Account (Google, Apple-ID, Banken, Social-Media-Anwendungen) die Zwei-Faktor-Authentifizierung (2FA) aktiviert sein. Selbst wenn Angreifer das Passwort durch Smishing (Phishing per SMS) stehlen, können sie sich ohne den zweiten Faktor nicht einloggen. Für die Zwei-Faktor-Authentifizierung sollte man nach Möglichkeit keine SMS-Codes verwenden, sondern Authentifikator-Apps, wie sie etwa bei den Banken üblich sind. SMS-Codes können durch sogenanntes „SIM-Swapping“ von Profihacker:innen abgefangen werden.
• Nach Möglichkeit nur Apps aus offiziellen Stores verwenden.
• Rechte von Apps genau prüfen. Eine Taschenrechner- oder Taschenlampen-App braucht keinen Zugriff auf die hinterlegten Kontakte, die Kamera oder den Standort. Selbst WhatsApp muss nicht automatisch Zugriff auf alle im Handy hinterlegten Kontakte haben.
• Für sensible Aktivitäten wie Onlinebanking sollte man niemals ein öffentliches WLAN verwenden. Die Verwendung von mobilen Daten oder der Einsatz einer verschlüsselten Verbindung mit einem zuverlässigen VPN (Virtual Private Network) sollte bevorzugt werden.
• Absicherung des Handys über Biometrie und einen starken Code. Der PIN-Code sollte keine Geburtsdaten oder einfache Muster wie 1234 enthalten.

Zusätzlich trägt die Einhaltung von ein paar Grundregeln dazu bei, sich vor Smishing zu schützen. So sollte man niemals auf Links in SMS oder WhatsApp-Nachrichten von unbekannten Nummern tippen. Selbst bei bekannten Nummern ist Vorsicht geboten, wie unser Anfangsbeispiel zeigt. Bei Hilferufen via WhatsApp oder SMS sollte man sich mittels eines Anrufes vergewissern, ob die Nachricht auch tatsächlich vom vermeintlichen Absender stammt. Wichtig ist auch eine Trennung der Kanäle. Wenn etwa die eigene Bank ein angebliches Problem meldet, sollte man die SMS schließen und stattdessen die offizielle App der Bank öffnen, um die Nachricht zu überprüfen. Die Absender von verdächtigen SMS sollte man sofort blockieren und melden. Eine der gefährlichsten Smishing-Maschen fordert die Handybesitzer:innen auf, eine App herunterzuladen, z. B. eine angebliche „Paketverfolgungs-App“. Das sollte man keinesfalls tun, da es sich dabei fast immer um Banking-Trojaner handelt.

Wenn das iPhone muht

Doch nicht nur Cyberkriminelle, auch „Scherzbolde“ können so manchem Menschen die Lust am Handy vermiesen. Ein besonders unter Jugendlichen beliebter „Prank“ (Scherz) ist der Mooh- oder auch Moo-Virus. Klicken die Handybesitzer:innen auf einen Link, bei dem angeblich ein lustiges Video hinterlegt ist, wird auf dem iOS-Gerät (iPhone) ein Apple-Kurzbefehl (Shortcut)installiert und gestartet. Dieser verstellt die iOS-Bedienungshilfen: Der Bildschirm zoomt extrem heran, die Farben invertieren sich, das Gerät reagiert extrem träge und spielt in Dauerschleife ein lautes Muhen einer Kuh ab, das sich nicht einfach stoppen lässt. Viele Betroffene geraten in Panik, weil das Handy nicht mehr reagiert bzw. eingefroren scheint. Dabei kann es dazu kommen, dass die Betroffenen in Hektik versuchen, das iPhone über die Seitentasten auszuschalten. Durch das Gedrückthalten oder mehrfache schnelle Drücken der Tasten wird dann unabsichtlich die iOS-Notruf-SOS-Funktion aktiviert, welche sofort Notrufnummern kontaktiert. Der Prank mit üblen Folgen ging vor allem durch TikTok und Instagram „viral“, wie es so schön heißt.