Warnung vor Angriffen: BSI erläutert Phishing-Attacken auf Signal
Das Bundesamt für Verfassungsschutz (BFV) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnen vor Phishing-Attacken über den Messenger-Dienst Signal. Wie das BSI mitteilt(öffnet im neuen Fenster) , sollen hochrangige Ziele aus Politik, Militär und Presse im Fokus einer wahrscheinlich staatlich gesteuerten Aktion stehen.
Bei der Kampagne werden laut BSI weder Schadsoftware eingesetzt noch Schwachstellen des Messengers ausgenutzt . Stattdessen werden legitime Sicherheitsfunktionen in Kombination mit Social Engineering angewendet, um Zugriff auf Einzel- und Gruppenchats sowie Kontaktlisten der Zielpersonen zu erlangen. Social Engeneering bezeichnet das Ausnutzen von Hilfsbereitschaft, Vertrauen oder Angst der Menschen.
Zwei Angriffsvarianten beobachtet
Das BSI konnte zwei Angriffsvarianten beobachten. Zum einen gaben sich Angreifer als Support-Team oder als Support-Chatbot aus und traten direkt mit der Zielperson in Kontakt. Mithilfe einer angeblichen Sicherheitswarnung und der Drohung von Datenverlust sollten die Betroffenen zur Übermittlung ihrer Sicherheitspin oder eines per SMS erhaltenen Verifizierungscodes gebracht werden.
Damit lässt sich das Signal-Konto auf einem anderen Gerät anmelden. Es können zwar keine früheren Nachrichten, aber aktuelle Mitteilungen mitgelesen, Nachrichten im Namen des Kontoinhabers verschickt und dessen Kontakte eingesehen werden können.
Einfache Schutzmaßnahmen empfohlen
Die zweite Methode macht sich die Funktion der Kopplung eines zweiten Endgeräts zunutze. Die Freigabe erfolgt über das Scannen eines QR-Codes auf dem primären Gerät. Angreifer versuchen hierbei, ihr Ziel unter einem Vorwand zum Scannen dieses Codes zu bewegen. Neben den zuvor genannten Zugriffen erhalten die Angreifer auch Zugriff auf die Nachrichten der vergangenen 45 Tage.
Betroffene erkennen den erfolgreichen Phishing-Versuch daran, dass sie in der Signal-App den Hinweis erhalten, ihr Gerät sei nicht mehr registriert. Kontaktpersonen erhalten zudem die Information auf eine geänderte Sicherheitsnummer des Teilnehmers.
Als Schutzmaßnahme empfiehlt das BSI, vermeintliche Support-Konten zu ignorieren und derartige Konten zu blockieren. Zudem sollten PINs niemals als Textnachricht verschickt werden. In den Kontoeinstellungen bei Signal lässt sich zudem eine Registrierungsperre aktivieren.
Zudem sollten QR-Codes nur gescannt werden, wenn die Verbindung mit einem zweiten Endgerät selbst veranlasst wurde. Ungebetene Gruppeneinladungen sollten ignoriert werden.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.