Phishing Mobile: Kreditkartenklau per Kurznachricht

Betroffene Kunden sollen zur Account-Verifizierung Telefonnummern anrufen

An Handynutzer in den USA werden derzeit offenbar Kurznachrichten mit dem Ziel des Phishings versendet. In der Kurznachricht wird der Nutzer aufgefordert, eine kostenlose Rufnummer anzurufen, um Probleme mit seinem Zugang zu beheben.

Artikel veröffentlicht am 10. Oktober 2009, 15:32 Uhr, Andreas Sebayang

Das Internet Storm Center (ISC) berichtet derzeit von einem Phishing-Versuch über Mobiltelefonnetze in den USA. Die Opfer bekommen per SMS eine Nachricht auf ihr Handy, die besagt, es gebe Probleme mit dem Account. Zur Lösung des Problems sollen die Nutzer eine kostenlose Nummer anrufen.

Wer diese Nummer anruft, hat anscheinend zunächst nichts zu befürchten. Der Ansageroboter verlangt allerdings nach einer Kreditkartennummer, dem Ablaufdatum und einer PIN, um das Problem zu beheben. Spätestens jetzt sollte der Anwender dem allerdings nicht mehr folgen. Denn es ist dabei nicht der Netzbetreiber oder Provider, der diese Daten erhebt, sondern ein Betrüger. Aber selbst Netzbetreiber werden wohl kaum nach einer PIN fragen. Die Routine ist laut ISC durchaus ausgefeilt: Die Kreditkartennummer wird am Ende sogar verifiziert.

Das ISC vermutet, dass nahezu in Echtzeit mit den geklauten Inhalten betrügerische Transaktionen vorgenommen werden. Ein Mitarbeiter des SANS hat diesen Vorgang mitgeschnitten und als MP3-Datei hinterlegt.

Betroffen sind laut ISC nicht nur AT&T-Kunden, sondern, bezogen auf Nutzerberichte, auch Nextel- (Sprint) und T-Mobile-Kunden. Entsprechende Toolkits zur Handhabung von Phishing und Spamming über Mobilnetze gibt es schon länger. Sie ermöglichen das einfache Verwalten solcher Angriffe, bei dem meist mehrere Komponenten Hand in Hand arbeiten müssen.