Smishing

Als Smishing wird eine Phishing-Variante bezeichnet, die in Form von Textnachrichten – SMS – auf Mobiltelefone erfolgt. Die Nachrichten sollen potentielle Opfer dazu verleiten, auf einen Link zu klicken und dadurch sensible Informationen an die Angreifer zu senden, schadhafte Software herunterzuladen oder auf einen klassischen Trickbetrug hereinzufallen.

Was bedeutet Smishing im Detail?

Die SMS ist immer noch eine oft genutzte Art der Konversation auf dem Smartphone und wird als weitestgehend sicher empfunden. Gerade diese Annahme machen Kriminelle sich zunutze, um an sensible Informationen zu gelangen oder Schadsoftware zu installieren und sich auf Kosten der Opfer zu bereichern. Dabei sind folgende Varianten häufig zu beobachten:

• Verbreitung von Malware: Diese Variante ähnelt der klassischen Phishing-E-Mail. Die Opfer erhalten eine Textnachricht mit einem Link und werden animiert, diesen anzuklicken. Eine beliebte Masche der Täter ist es, sich in der SMS als bekannter Dienstleister – beispielsweise DPD, Amazon etc. –  auszugeben und über den Verbleib einer Sendung zu informieren. Der Link in der SMS führt auf eine Website, auf der eine App zum Download bereitsteht. Diese sieht denen der Dienstleister zum Verwechseln ähnlich, ist allerdings eine Fälschung und enthält einen Banking Trojaner. Er wird beim Download der vermeintlichen App aktiviert und kann nach der Installation auf sämtliche persönliche Daten, wie Telefonnummern, E-Mail-Adressen sowie Bankdaten zugreifen bzw. diese verwenden. Darüber hinaus können durch den Zugriff in Folge weitere, schädliche SMS an die Kontakte auf dem Mobiltelefon versendet werden – eine Kettenreaktion mit fatalen Folgen.
  Insbesondere Android Endgeräte sind von diesem Angriffsszenario betroffen, da das Betriebssystem es erlaubt, Apps aus unbekannten Quellen zu installieren.

• Bank Smishing: Besonders interessant für Cyberkriminelle sind Zugangsdaten für das Online-Banking, um Geldbeträge zu stehlen. Beispielsweise versenden die Angreifer eine SMS von der vermeintlichen Bank des Opfers. Diese Nachricht enthält die Information, dass das Bankkonto gehackt wurde und geben eine Telefonnummer oder einen Link an, damit weitere, angebliche Schäden verhindert werden. Die Telefonnummer führt oftmals direkt zu den Kriminellen, der Link in der Nachricht auf eine gefälschte Website. In beiden Fällen sollen die Opfer dazu verleitet werden, ihre Zugangsdaten preiszugeben – um anschließend ein geplündertes Bankkonto vorzufinden. Oft lässt die Nummer des Absenders sich verbergen, sodass viele Opfer nicht erkennen können, aus welcher Quelle die Textnachricht stammt.

Wo begegnet mir Smishing im Arbeitsalltag?

Smishing kann Ihnen begegnen, wenn Sie ein Mobiltelefon für dienstliche Zwecke nutzen – sei es das private oder das Betriebstelefon.

Was kann ich tun, um meine Sicherheit zu verbessern?

• Achten Sie auf kryptische Links, Rechtschreibung oder Sonderzeichen in Textnachrichten. Sollten sich diese innerhalb einer Nachricht verdächtig oft häufen, klicken Sie auf keinen der enthaltenen Links und blockieren Sie die Telefonnummer des Absenders. Falls Sie eine SMS im Namen eines Paketzustellers oder Ihrer Bank erhalten, loggen Sie sich auf der offiziellen Website des Anbieters ein, um Mitteilungen an Sie zu überprüfen.
• Verwenden Sie ausschließlich Apps aus seriösen Quellen, sprich den offiziellen App Stores oder von der Website des Anbieters, zum Herunterladen von Apps. Bei Android besteht in den Einstellungen die Möglichkeit, den Menüpunkt  „Apps aus unbekannten Quellen installieren” auszuschalten.
• Informieren Sie die Mitglieder Ihrer Organisation, damit diese entsprechend gewarnt sind und auf verdächtige Textnachrichten achten.
• Melden Sie den Smishing-Vorfall bei der Verbraucherzentrale. Damit schützen Sie nicht nur sich, sondern ebenfalls andere.
• Schärfen Sie Ihr Bewusstsein für diese Art von Angriffen: Stellen Sie sich selbst die Frage, ob Ihre Bank oder Ihr Paketdienst Ihnen solche Nachrichten schicken würden. Hätten sie überhaupt Ihre Mobilfunknummer, um dies zu tun? Keine Bank ruft Ihre Kunden an und fragt telefonisch persönliche Daten ab. Sollten Sie einen Anruf dieser Art erhalten, brechen Sie das Gespräch sofort ab.