SMS-Phishing in iMessage: Betrüger nehmen iPhone-Nutzer ins Visier

Die Masche ist eigentlich schon lange bekannt: Per SMS kommt eine Paket-Benachrichtigung, es gibt angeblich ein Problem bei der Zustellung oder das vermeintliche Paket hängt im Zoll fest. Um das Paket zu erhalten, soll man einem Link folgen und auf einer Webseite persönliche Daten angeben. Natürlich ist die Paket-Benachrichtigung nicht echt, es handelt sich um einen sogenannten Smishing-Versuch - Phishing per SMS. Nutzer sollen dazu verleitet werden, persönliche Daten, wie Passwörter oder Kreditkartendaten, auf einer Phishing-Webseite preiszugeben.

Wie Mimikama nun berichtet, gibt es aktuell wieder eine Welle an Phishing-Nachrichten mit angeblichen Paket-Benachrichtigungen. Dabei haben Cyberkriminelle eine neue Smishing-Methode entwickelt, bei der sie gezielt iMessage-Nutzer über gefälschte SMS-Nachrichten in die Falle locken wollen. Das Vorgehen zielt vor allem darauf ab, die Sicherheitsvorkehrungen von iMessage zu umgehen.

So funktioniert die Smishing-Methode in iMessage

Apples App iMessage, über die iPhone-Nutzer üblicherweise SMS empfangen, bietet standardmäßig einen Schutz gegen Links aus unbekannten Quellen. Links von unbekannten Absendern werden in der App deaktiviert. Dieser Schutz wird jedoch aufgehoben, wenn Nutzer auf eine Nachricht antworten oder den Absender zu den Kontakten hinzufügen.

Die Angreifer versuchen also, eine Reaktion der Empfänger zu provozieren, um ihn trotz der Schutzmaßnahmen auf den Phishing-Link zu locken. Beispielsweise enthält die Nachricht die Aufforderung, ein „Y“ für „Yes“ zu senden. Sobald der Empfänger antwortet, werden enthaltene Links im Nachrichtenverlauf aktiviert. Alternativ werden die Empfänger aufgefordert, den Link zu kopieren und direkt in Safari zu öffnen.

Schutz vor SMS-Phishing

Um nicht Opfer der Phishing-Falle zu werden sollten Nutzer einige Vorsichtsmaßnahmen beachten. Speziell für iPhone-Nutzer gilt, dass eine Antwort den Schutz von iMessage deaktiviert und die Aktivierung von Links ermöglicht.

Allgemein gilt, dass Sie keine Links in SMS anklicken sollten. Wichtige Aufforderungen kommen normalerweise nicht per SMS und Unternehmen werden Sie nicht auf diesem Weg auffordern, persönliche Daten anzugeben. Vorsicht ist vor allem auch dann geboten, wenn eine schnelle Reaktion gefordert und somit Zeitdruck aufgebaut wird.

Wenn Sie eine Nachricht erhalten, prüfen Sie diese kritisch: Erwarten Sie tatsächlich eine Benachrichtigung? Von wem stammt die Nachricht? Auf welchem Weg verschickt das Unternehmen normalerweise derartige Benachrichtigungen? Ist der Inhalt legitim?

Bevor Sie Passwörter, Kreditkarteninformationen oder ähnliches angeben, achten Sie genau darauf, ob Sie auf der korrekten Webseite sind. Prüfen Sie die URL, die in der Adresszeile des Browsers angezeigt wird. Statt auf einen Link in einer SMS zu klicken - oder den Link aus der SMS zu kopieren - sollten Sie ohnehin die Ihnen bekannte Internetadresse des Unternehmens direkt im Browser eingeben.

Um das Risiko weiter zu minimieren, ist es außerdem sinnvoll, für Online-Konten eine Zweifaktor-Authentifizierung einzurichten. So sind die Konten zusätzlich geschützt, selbst wenn Cyberkriminelle Ihre Zugangsdaten erbeuten konnten.