Smishing: So schützen Sie sich vor gefährlichen Phishing-SMS

Gefährliche SMS mit Padding-Trick

Seit 2021: Anstieg bei betrügerischen SMS und schädlichen Android-Apps

Wachsende Bedeutung für das Internet der Dinge

• Während das Smishing mit Textbotschaften auf jedem SMS-fähigen Handy funktioniert, benötigt das Smartphone-Phishing – wie schon am Namen erkennbar – ein internetfähiges Endgerät mit Webbrowser. Beim Smartphone-Phishing enthält die Kurznachricht einen anklickbaren Link, der auf dem Smartphone direkt im Browser geöffnet wird und hinter dem sich Schadsoftware verbirgt, die nach dem Anklicken das Gerät infiziert.
• Der Begriff Vishing (aus „Voice“, englisch für Stimme) und „Phishing“ beschreibt das Passwort- oder Kontodaten-Abfischen per Telefonat. Hierbei rufen die Hacker:innen beispielsweise im angeblichen Auftrag einer Bank an und erfragen persönliche Daten. Richten sich entsprechende Attacken gegen Unternehmen, wird hier oft auch vom “Social Engineering” gesprochen.
• Beim Instant Messaging Phishing nutzen die Cyberkriminellen Nachrichtendienste wie WhatsApp oder den Facebook-Messenger. Auch hier arbeiten die Hacker:innen in der Regel wieder mit gefährlichen Web-Links.
• Das Near Field Phishing als Einfallstor ist von Sicherheitsexpert:innen bisher nur im Laborversuch als mögliche Phishing-Variante erfolgreich ausgetestet worden. Hierbei wird über den Funkstandard NFC (Near Field Communication) eine gefährliche Webadresse an das Smartphone übertragen. Dafür kam im Versuch ein entsprechend modifizierter AirTag von Apple zum Einsatz.

• Smisher verschicken Textnachrichten, die scheinbar von Freund:innen oder Familienangehörigen stammen. Die Empfänger:innen werden darin aufgefordert, einen bestimmten Link anzuklicken. Oder sie sollen schnell Geld überweisen, weil die Versenderin oder der Versender angeblich gerade einen Verkehrsunfall hatte oder im Gefängnis ist. Über die Links wird oft eine App heruntergeladen, die den Hacker:innen Zugriff auf das damit infizierte Smartphone gibt.
• Cyberkriminelle geben sich als Firmenvertreter:innen aus und versenden beispielsweise Paket-Benachrichtigungen. Die Kriminellen bauen in diese gefälschten SMS wiederum Links ein. Auch diese Links führen zu Schadsoftware. Alternativ verweisen die Links auf Web-Formulare, auf denen die Betroffenen beispielsweise zwecks Authentifizierung ihre Anmeldedaten für den Onlineshop eingeben sollen, der das Paket scheinbar versendet hat.
• Seit dem Herbst 2021 sind vermehrt sogenannte Voicemail-SMS im Umlauf, die auf eine angeblich erhaltene Sprachnachricht hinweisen. Auch hierbei wird ein Link mitgesendet, der für den Download der Sprachnachricht notwendig sein soll. In einer Variante dieses speziellen Smishing-Betruges wird vermeintlich ein Sicherheitsupdate auf das Smartphone heruntergeladen. Tatsächlich ist dies ein Schadprogramm für Android-Handys.
• Eine Unterart des Smishing ist das Bank Smishing: Hierbei wird den Kund:innen per SMS mitgeteilt, dass gerade eine höhere Summe von ihrem Konto abgebucht wurde und zum Widerrufen dieser Transaktion die persönlichen Kontodaten in ein Formular eingegeben werden müssten.
• In einigen Fällen kombinieren Hacker:innen das Smishing mit einem Vishing-Variante. Die gefälschte SMS enthält dann die ebenfalls falsche Telefonnummer eines Service-Centers des Paketdienstleisters oder der im Absender genannten Bank. Bei dieser Hotline muss sich das Opfer dann mit seinen persönlichen Daten oder seiner Bankverbindung ausweisen, wodurch die Kriminellen in den Besitzer dieser Informationen gelangen. Dieses Verfahren hat Ähnlichkeit mit einer echten Zwei-Faktor-Authentifizierung, weshalb der Betrug besonders glaubhaft wirkt.

• Sofern Sie den Cyberkriminellen Ihre Banking-Daten gegeben haben, sollten Sie unverzüglich Ihr Kreditinstitut informieren und Ihr Konto oder die betroffene Kreditkarte sperren.
• Haben Sie einen Link mit Schadsoftware angeklickt und diese auf Ihrem Handy installiert, so sollten Sie das Gerät sofort in den Flugmodus schalten. Sofern möglich und hierdurch keine wichtigen Daten verloren gehen, sollten Sie das Gerät auf Werkseinstellungen zurücksetzen.
• Hat Ihr Smartphone die SMS mit dem gefährlichen Link möglicherweise bereits an andere Empfänger:innen weitergeleitet, so sollten Sie die Kontakte aus Ihrem Smartphone-Adressbuch hierüber informieren.
• Ist Ihre Smartphone Teil eines Unternehmensnetzes und mit diesem aktuell verbunden, so besteht das Risiko, dass auch andere Geräte im Firmennetz bereits befallen sind. Informieren Sie daher Ihre Unternehmens-IT über den Vorfall und trennen Sie Ihr Gerät unverzüglich vom Netz.
• Erstatten Sie Strafanzeige bei der Polizei. Legen Sie dazu das Smartphone zur Beweissicherung vor. Betroffene Unternehmen sollten zusätzlich die Zentrale Ansprechstelle Cybercrime der Polizei in Ihrem Bundesland informieren. Diese erreichen Sie in der Regel über das jeweilige Landeskriminalamt.
• Entwickeln Sie eine Cybersecurity-Strategie für Ihr Unternehmen, sofern es eine solche noch nicht gibt. So schützen Sie sich zukünftig gegen diese und ähnliche Cyberattacken auch auf anderen Angriffswegen.

• Öffnen Sie möglichst keine Links aus SMS, die Sie erhalten. Pakete und andere Lieferungen können Sie in der Regel auch über die offizielle Webseite Ihres Dienstleisters verfolgen. Dafür erhalten Sie in der Regel einen Nachverfolgungslink bei Versandauftrag.
• Seien Sie misstrauisch, wenn sich Ihr Geldinstitut auf einem bisher nicht vereinbaren Kommunikationskanal bei Ihnen meldet, beispielsweise per SMS, obwohl sie bisher nur das Online-Banking per Weboberfläche nutzen. Solche Bank-SMS könnten leicht Spam-Nachrichten oder Smishing sein.
• Halten Sie die Betriebssysteme Ihrer Mobilgeräte immer aktuell.
• Laden Sie keine Apps aus inoffiziellen App-Stores herunter, die Ihnen per SMS genannt werden. Diese könnten Schadsoftware enthalten.
• Seien Sie vorsichtig, wenn Ihnen per SMS bestimmte Antivirenprogramme empfohlen werden, die angeblich als einzige eine bestimmte Schadsoftware beseitigen können. Häufig sind diese Antivirenprogramme selbst die Schadsoftware.
• Wenn Ihnen Kolleg:innen oder Freund:innen unaufgefordert SMS mit Links senden, so fragen Sie zuerst bei den Absender:innen nach, ob diese Kurznachrichten tatsächlich von ihnen stammen.
• Nutzen Sie entsprechende Sicherheitsfortbildungen in Ihrem Unternehmen und informieren Sie auch selbst Ihre Kolleg:innen und Mitarbeitenden über die Risiken des Smishing.
• Eine Mobile Security-Strategie schützt die Endgeräte in Ihrem Unternehmen vor Phishing-SMS.
• Nutzen Sie insbesondere bei dienstlich genutzten Mobiltelefonen die Drittanbietersperre, um zu verhindern, dass per Smishing kostenpflichtige Dienste über Ihr Mobilfunkkonto beauftragt werden. Sehr einfach geht dies über die MeinVodafone-App unter dem Punkt „Drittanbieter-Abos sperren“ Ihres Handy-Vertrages. Besonders komfortabel geht dies für Vodafone-Firmenkunden über das Enterprise Mobility Management.
• Sie können bei Ihrem Mobilfunkanbieter die Drittanbietersperre aktivieren lassen. Dadurch können Sie eventuelle Kosten durch Schadsoftware weitestgehend vermeiden. Hinweise zur Umsetzung erhalten Sie über die Informationsangebote beziehungsweise Service-Portale ihres Mobilfunkproviders.