06.12.2022 - In der letzten Woche gingen mit 561 Meldungen beim NCSC erneut weniger Meldungen ein als in der Vorwoche. Besonders aufgefallen sind Telefonanrufe, mit denen versucht wurde, an vertrauliche Informationen zu kommen. In einigen Fällen gab sich der Anrufende als Mitarbeitender eines Kreditkartendienstleisters aus und versuchte an Einmalpasswörter zu kommen.
Bei Anruf: Phishing
Täglich gehen dutzende Meldungen zu Phishing-E-Mails beim NCSC ein. Allerdings ist E-Mail in Sachen Phishing nicht der einzige Kommunikationskanal. Phishing-Versuche werden zunehmend auch über SMS und WhatsApp versendet. Wie aktuelle Fälle in der letzten Woche zeigen, wird aber auch über Telefonanrufe gephisht. Phishing via Telefon sogenanntes «Vishing» – eine Kombination der Wörter Voice und Phishing - ist allerdings nicht so verbreitet, wie die schriftliche Angriffsmethode. Der Grund liegt vor allem daran, dass ein Telefongespräch für die Angreifer einen grösseren zeitlichen Aufwand bedeutet und die Betrüger zudem in der jeweiligen Sprache des Opfers antworten und somit auch sprachlich reagieren müssen. Die Erfolgsquote bei Vishing dürfte aber höher liegen, da auf diese Weise der Druck für die angerufene Peron höher ist, sofort und somit oftmals zu wenig bedacht zu reagieren, als bei einer E-Mail.
In den aktuellen Fällen gaben sich die Anrufer als Mitarbeiter einer Kreditkartenfirma aus. Dabei erfolgten die Anrufe in Französisch, es ist aber auch ein Fall mit schweizerdeutschem Dialekt bekannt. Die angezeigte Rufnummer war gefälscht und suggerierte, dass diese auch tatsächlich dem, vom Betrüger genannten, Schweizer Finanzdienstleister gehört. Das Fälschen von Telefonnummern ist bei den diversen Betrugsvarianten weit verbreitet. Leider gibt es zurzeit keine Möglichkeiten, gefälschte Rufnummern zu erkennen oder zu blockieren.
Offenbar sind die Kreditkartendaten der angerufenen Person den Betrügern bereits bekannt und die Betrüger versuchen mit den Anrufen an den SMS-Code für den 3-D-Secure-Schutz zu kommen. Bei 3-D Secure wird jeder Kauf mit Kreditkarte zusätzlich abgesichert. Dazu wird beispielsweise eine SMS mit einem Code an den Käufer gesendet, der diesen dann bestätigen muss.
Um an diese Codes zu kommen wird im Laufe des Telefongesprächs behauptet, dass drei verdächtige internationale Zahlungen hätten abgefangen werden können. Um diese betrügerischen Transaktionen rückgängig machen zu können, müsse die angerufene Person drei Codes bestätigen, die während dem Anruf via SMS gesendet werden. Zur Verifikation soll das Opfer diese Codes am Telefon vorlesen. Hat ein Betrüger nun Kenntnis von diesem Code, kann er einen betrügerischen Zahlungsvorgang auslösen.
Betrüger können mit dieser Vorgehensweise aber auch andere Einmalpasswörter stehlen. Diese werden beispielsweise auch verwendet, um Käufe auf die Mobiltelefon-Rechnungen zu bestätigen. Das sogenannte «Direct Carrier Billing» erlaubt es, Online-Käufe in App Stores direkt über die eigene Mobile-Rechnung abzuwickeln. Nach der Eingabe der Telefonnummer müssen solche Käufe ebenfalls jeweils noch mit einem SMS-Code bestätigt werden. Dieser wird an die eingegebene Telefonnummer, also an das Opfer gesendet. Gibt das Opfer den Code weiter, kann der Angreifer die Zahlung bestätigen und der Betrag ist weg, resp. auf der Mobile-Rechnung verbucht. Beliebt sind hier vor allem der Kauf von Geschenkkarten von Google-Play und iTunes, welche sich dann wieder zu Geld machen lassen.
Mit dieser Variante können Betrüger aber auch das WhatsApp-Konto des Opfers übernehmen. Auch das WhatsApp-Konto ist durch ein Einmalpasswort vor einer Übernahme geschützt. Versucht ein Angreifer sein WhatsApp-Konto mit der Telefonnummer des Opfers zu registrieren, wird ein solcher Code erzeugt und an den ursprünglichen Inhaber gesendet. Wird dieser Code weitergegeben, hat der Angreifer die Möglichkeit, das Konto zu übernehmen.
Empfehlungen:
- Geben Sie auf keinen Fall Passwörter respektive Codes weiter, welche Sie über SMS, WhatsApp oder sonstige Medien erhalten haben.
- Seien Sie generell vorsichtig bei Telefonanrufen, die Sie dazu drängen, eine Aktion auszuführen. Sagen Sie, dass Sie beschäftigt sind und beenden Sie das Gespräch.
- Geben Sie niemals Passwörter oder Kreditkartendaten weiter, weder über das Telefon noch über eine E-Mail, einen Messenger-Dienst oder eine Webseite,
- Installieren Sie, wenn immer möglich eine Zwei-Faktor-Authentifizierung. Dies bietet zusätzlichen Schutz, um zu verhindern, dass Ihr Konto gehackt wird;
- Bedenken Sie, dass Telefonnummern leicht gefälscht werden können.
Aktuelle Zahlen und Statistiken
Die Anzahl Meldungen der letzten Woche nach Kategorien sind publiziert unter:
Letzte Änderung 06.12.2022
