Phishing

Die Geschädigten wurden von den Betrügern um bis zu 45.000 Euro bestohlen. Die Kriminellen gaben sich trickreich als Bankangestellte aus.

Alles lässt sich mieten, auch professionelle Phishing-Kampagnen. Die Zugangsdaten der Opfer landen dabei wohl nicht nur bei den Endkunden.

Mit Phishing und Social Engineering sollen die Kriminellen mindestens 10 Millionen Euro gestohlen haben. Das Geld wurde per Kryptowährung gewaschen.

Auf die Verurteilung des Hauptverantwortlichen der Hacks von Twitter-Konten im Sommer 2020 folgt die Festnahme eines weiteren Beschuldigten.

Die aktuelle Version des Chrome-Browsers bringt einige komplexe Sicherheitsfunktionen, die die Leistung nicht beeinträchtigen sollen.

Nutzen Unternehmen bestimmte Sicherheitstechniken wie DMARC in E-Mails, zeigt Google in Gmail nun deren Logos an. Das soll Spoofing vorbeugen.

Der Dienst DoubleVPN soll sich an kriminelle Hacker gerichtet haben, etwa für Ransomware-Kampagnen. Die Polizei macht damit Schluss.

Die E-Mails seien von Spamfiltern mangels Schadelementen nur schwer zu erkennen, warnt Microsoft. Erst am Telefon wird zur Installation der Malware gedrängt.

Mit illegal erworbenen Onlinetickets soll ein 17-Jähriger die Bahn um 270.000 Euro geprellt haben. Entdeckt wurde er nur durch Zufall.

Nach rund einem Jahr an Tests in Googles Chrome-Browser habe sich keine Verbesserung der Sicherheit ergeben. Die vollem URLs bleiben also.

Mit einem gefälschten Beschluss des AG Köln ist eine Domain übernommen und für Bitcoin-Phishing auf Darknet-Handelsplätzen missbraucht worden.

Die Rufnummern tauchen in Pop-up-Fenstern unter Windows auf, die Computerprobleme vorgaukeln und Teil einer Betrugsmasche sind.

Der Hauptverantwortliche für die Hacks von Twitter-Konten im Sommer 2020 akzeptiert eine Verständigung mit der Anklagebehörde.

Eine Sicherheitsfirma nutzt Facebook ähnelnde Domains für Phishing-Awareness-Trainings in Unternehmen. Facebook will diese beschlagnahmen.

Forscher haben eine Milliarde Phishing-Mails an Gmail-Nutzer untersucht und herausgefunden, bei welchen persönlichen Faktoren diese erfolgreich sind.

Der privaten Schlüssel eines Hardware-Sicherheitstokens von Google lässt sich anhand der Strahlung rekonstruieren.

Die Betrüger fälschen die E-Mail-Absender und geben sich als EU-Mitarbeiter aus. Die EU-Kommission kritisiert mangelnden Schutz bei der Telekom.

Es waren mutmaßlich die Angestellten des Domain-Registrars Go Daddy, die den Angreifern Zugang zu den Kryptowährungs-Plattformen ermöglichten.

Wieder einmal ein Beispiel dafür, dass man seine privaten Zugangsdaten nicht aus Versehen in den sozialen Medien posten sollte.

Am Freitag machten sich Medien noch über einen Tweet von US-Präsident Trump lustig. Dahinter könnte ein Hacker aus den Niederlanden gesteckt haben.

Eine Web-App kann in Googles App Engine unter vielen URLs erreicht werden. Kriminelle nutzen dies für ihre Zwecke.

Über ein Newsletter-Formular des Familienministeriums konnten Spam- und Phishing-Mails an beliebige Opfer versendet werden.

Google will nur noch den Domain-Namen in der Adresszeile anzeigen und damit Phishing entgegenwirken.

Drei junge Männer sollen hinter dem Angriff auf den Microblogging-Dienst Twitter stecken.

Um an 45 Konten von Prominenten zu gelangen, haben Eindringlinge Twitter-Angestellten ihre Zugangsdaten per Telefon und Social Engineering entlockt.

Immer mehr Phishing-Webseiten schützen ihre Inhalte vor dem Zugriff durch Sicherheitssoftware - mit Googles reCaptcha.

Mit gefälschten E-Mails vom Chef versuchen Betrüger, die Coronavirus-Pandemie auszunutzen und sich Geld überweisen zu lassen.

Das Pendant zur Denic in Deutschland dürfte damit der erste Betreiber einer Landes-TLD sein, der DNS über HTTPs einführt.

Gehackte Router leiten bekannte Domains auf eine gefälschte Warnung der WHO um und versuchen, ihren Opfern eine Schadsoftware unterzujubeln.

Bisher hatte es die Hackergruppe Winnti auf Unternehmen wie Bayer oder Siemens abgesehen, nun haben sich die Ziele verändert. Statt Wirtschaftsspionage geht die APT gegen protestierende Studenten in Hong Kong vor.

36C3 Warum funktionieren Angriffe mit Word-Makros seit 20 Jahren? Der CCC-Sprecher Linus Neumann erklärt auf dem Hackerkongress, warum es so schwer fällt, sich dagegen zu schützen. Dabei gibt es viele Ansatzmöglichkeiten, die IT wirklich sicherer zu machen.
Von Moritz Tremmel

Die aktuelle Version 79 von Chrome warnt Nutzer aktiv vor gehackten Zugangsdaten und fordert dazu auf, diese zu ändern. Außerdem wird der Phishing-Schutz deutlich ausgeweitet.

Prävention reicht nicht gegen Social Engineering und die derzeitigen Trainings sind nutzlos, sagt der Sophos-Sicherheitsexperte Chester Wisniewski. Seine Lösung: Mitarbeiter je nach Bedrohungslevel schulen - und so schneller sein als die Kriminellen.
Ein Interview von Moritz Tremmel

Mit verschiedenen Tricks ist es Sicherheitsforschern gelungen, Apps für Google Assistant und Amazons Alexa zu erzeugen, die Nutzer belauschen oder Phishingangriffe durchführen. Die Apps haben den Review-Prozess von Google und Amazon überstanden.

Betrüger nutzen die Insolvenz des Reiseveranstalters Thomas Cook für ihre Zwecke. In Phishing-E-Mails versprechen sie eine komplette Rückerstattung der Reisekosten, sofern die Betroffenen ihre Kreditkarten- und Passdaten übermitteln. Ein Datenleck gab es wohl nicht.

Bestimmte Modifikationen für PC-Spiele im Steam Workshop benötigen ab sofort eine Freigabe durch Valve - das Unternehmen will so Betrug verhindern. Auch bei Terminankündigungen wird eine weitere Kontrollinstanz eingerichtet.

Die größten Schwachstellen in technischen Systemen sind bis heute Menschen. Social Engineers machen sich ihre Sorglosigkeit zunutze - und finden auf sozialen Netzwerken alles, was sie für einen erfolgreichen Angriff brauchen.
Von Moritz Tremmel

Nach anfangs harscher Kritik durch Nutzer und einigen Monaten Testphase, will das Chrome-Team von Google damit beginnen, die URL-Bestandteile https und www auszublenden.

In den vergangenen Jahren wurden mehrere Industriegrößen wie Siemens, BASF und Henkel von der Hackergruppe Winnti attackiert. Sicherheitsforscher konnten die Angriffe aus Schadsoftware-Samples von Winnti herauslesen.

Googles Spam-Filter für Gmail sortiert täglich zahlreiche unerwünschte E-Mails aus - deren Inhalt aber trotzdem im Google Kalender landen können: Eine voreingestellte Funktion übernimmt automatisch jede angehängte Einladung, was Spammer mittlerweile offenbar ausnutzen.

Ein Klick auf den falschen Link konnte genügen: Die Spieleplattform EA Origin führte über präparierte Links beliebige Software oder Schadcode aus. Auch die Konten der Spieler konnten auf diese Weise übernommen werden.

Schlechte Passwörter und schlechte E-Mail-Transportverschlüsselung: Eine Studie des Gesamtverbandes der Deutschen Versicherungswirtschaft stellt Ärzten, Apotheken und Kliniken kein gutes Zeugnis aus, wenn es um IT-Sicherheit geht.

Ein Hacker-Team der Organisation Jisc konnte in die Systeme von 50 britischen Universitäten gelangen - in jeweils weniger als zwei Stunden. Das sei eine alarmierende Nachricht. Dabei ist das schwächste Glied wieder einmal der Mensch selbst.

Der Pharma-Riese Bayer ist Opfer eines Hackerangriffs geworden. Im internen Firmennetzwerk wurde die Schadsoftware Winnti entdeckt. Die gleichnamige Hackergruppe soll auch andere Unternehmen angegriffen haben.

Falsche Bankkonten und E-Mail-Konten: Ein Litauer konnte viel Geld von Facebook und Google stehlen, indem er sich als Hardwaredistributor ausgegeben hatte. Was ihn letztlich überführt hat: Gier.

Wenn Cloud-Dienste ausfallen, ist oft nur ein Server kaputt. Wenn aber Googles Safe-Browsing-Systeme den Zugriff auf die deutsche Microsoft Cloud komplett blockieren, liegt noch viel mehr im Argen - und das lässt für die Zukunft nichts Gutes erwarten.
Von Sebastian Grüner

Wie gut erkennen Sie Phishing-Mails, fragt ein Quiz der Google-Schwester Jigsaw. Beim Ausprobieren zeigt sich, wie leicht man hereinfallen kann.
Von Moritz Tremmel

Eine täuschend echte Phishing-Seite, die sogar Zwei-Faktor-Authentifizierung umgehen kann: Mit dem Tool Modlishka lassen sich automatisierte Phishing-Kampagnen betreiben - auch von sogenannten Scriptkiddies.

Hinter einem täuschend echten Anruf des Apple-Supports stecken in Wahrheit Betrüger. Der Anruf könnte auch Menschen mit technischem Hintergrund zur Preisgabe sensibler Daten bringen.

Betrüger nutzen das neue Rückgabesystem für Sparpreis-Tickets der Bahn aus. Diese schränkt nun die Zahlungsmöglichkeiten ein, möchte aber nicht vom Rückgabesystem abrücken.