08.11.2022 - Die Anzahl der beim NCSC eingegangenen Meldungen ist gegenüber der Vorwoche erneut leicht gestiegen. Die Meldungen an das NCSC über gehackte Accounts bei unterschiedlichsten Online-Diensten nahmen in den letzten Wochen merklich zu. Mit unterschiedlichen Passwörtern und dem Einsatz eines Passwortmanagers kann der Schaden bei abgeflossenen Anmeldedaten stark verringert werden.
Hacker greifen vermehrt die Online-Konten von Privatpersonen an
Abgeflossene Passwörter werden seit längerem für die Betrugsmasche Fake Sextortion verwendet. Die Daten werden als scheinbarer Beweis eingesetzt, um den Angriffen mehr Glaubhaftigkeit zu verleihen. Darüber hat das NCSC im Wochenrückblick 27 ausführlich berichtet.
Inzwischen werden die abgeflossenen Daten aber auch für andere Hacking-Aktionen missbraucht. Es ist noch immer unklar, woher die Daten stammen. Sowohl ein umfangreicher Datenabfluss aus einem gehackten Webservice oder auch Login-Daten aus erfolgreichen Phishing-Kampagnen kommen als Quelle in Frage.
Die Hacker versuchen, sich mit den erbeuteten Daten auf Social Media Accounts anzumelden. Falls dies gelingt, laden sie häufig pornographisches Material hoch und lassen diese Accounts danach sperren, dies beispielsweise, um im Fall von Fake-Sextortion-Angriffen ihre Hacking-Behauptung zu untermauern. In anderen Fällen wird versucht, weitere Accounts aus der Freundesliste zu übernehmen oder mit «personalisierter» Werbung Personen aus der Freundesliste zu Investment-Betrügereien zu verleiten.
Zudem versuchen die Angreifer, sich bei verschiedenen Online Shops anzumelden – gemeldet wurden dem NCSC unter anderem Telefonprovider, Amazon, Uber, airbnb, Netflix, Discord und Playstation. Falls es den Hackern gelingt, den E-Mail-Account zu übernehmen, können häufig auch die verwendeten Passwörter zurückgesetzt und die registrierte E-Mail-Adresse, manchmal sogar die Telefonnummer, gewechselt werden. Der Account wird damit vollständig durch die Hacker kontrolliert.
In einem dem NCSC gemeldeten Fall haben die Hacker mit dem übernommenen E-Mail-Account einen Uber-Eats-Account erstellt und sich irgendwo in Südamerika Essen liefern lassen. Für die Bezahlung wurden gestohlene Kreditkartendaten verwendet. Dasselbe Vorgehen wurde dem NCSC auch bereits mit Amazon-Accounts gemeldet.
Accounts gegen Hacker schützen
Verwendet ein Opfer dasselbe Passwort für mehrere Online-Dienste, können Hacker in relativ kurzer Zeit weitere Dienste zu übernehmen. Ein effektiver Schutz ist daher die Verwendung von unterschiedlichen Passwörtern pro Registrierung/Dienst. Um die dabei entstehende grosse Menge an unterschiedlichen Passwörtern verwalten zu können, bieten sich sogenannte Passwortmanager wie beispielsweise KeePass, Keeper oder Enpass an. Die verschlüsselte Passwortdatenbank kann dabei zwischen unterschiedlichen Geräten ausgetauscht werden. Zudem gibt es auch Passwortmanager in der Cloud (z. B. SecureSafe, LastPass, 1Password oder Bitwarden). Auch Browser-Hersteller bieten Lösungen an, welche die Online-Daten sicher zwischen unterschiedlichen Geräten austauschen können. Allerdings gelten die beiden letztgenannten Lösungen allgemein als weniger sicher als die lokal gespeicherten Passwortdaten, da eine Sicherheitslücke oder eine falsche Konfiguration die Passwortdaten allenfalls Fremden zugänglich machen könnte.
Falls Ihr E-Mail-Provider eine Zwei-Faktor-Authentifizierung anbietet, sollten Sie diese auf jeden Fall aktivieren.
Wer es ganz sicher mag, kann sich überlegen, verschiedene E-Mail-Adressen für unterschiedliche Zwecke zu verwenden. Dies könnte beispielsweise eine E-Mail-Adresse für Registrierungen bei den diversen Internetdiensten und eine andere für die Kommunikation sein.
Empfehlungen
- Passwort nicht mehrfach verwenden: Verwenden Sie für jeden einzelnen Online-Dienst ein anderes Passwort.
- Aktivieren Sie nach Möglichkeit die sogenannte Zwei-Faktor-Authentifizierung: Schützen Sie den Zugang zu Ihren Internetdiensten falls verfügbar mit einer Zwei-Faktor-Authentifizierung (Einmal-Passwort, SMS-Token, usw.)
- Mindestlänge von 12 Zeichen: Die Mindestlänge des Passwortes sollte bei 12 Zeichen liegen und aus Klein- und Gross-Buchstaben, Zahlen und Sonderzeichen bestehen.
- Passwort ändern: Ein Passwort muss spätestens dann gewechselt werden, wenn Sie vermuten, dass es Dritten bekannt sein könnte.
- Nutzen Sie einen Passwortmanager: Sie müssen sich nur das Zugangsspasswort merken. Vom Passwortmanager sollte immer eine aktuelle Kopie an einem sicheren Ort verwahrt werden.
Aktuelle Zahlen und Statistiken
Die Anzahl Meldungen der letzten Woche nach Kategorien sind publiziert unter:
Letzte Änderung 08.11.2022
