Was ist Smishing?

Smishing ist eine Kombination aus SMS-Kurznachrichtendienst und Phishing und bezieht sich auf Textnachrichten, die von Angreifern verschickt werden, um an persönliche und sensible Informationen zu gelangen. Wie Spear Phishing beruhen Smishing-Angriffe darauf, dass Benutzer durch Anklicken eines Links dazu gebracht werden, sensible Informationen wie Anmeldedaten anzugeben, die für den Zugriff auf die Zielsysteme oder sogar für die Hinterlegung von Malware verwendet werden können.

Erfahren Sie mehr über unsere 10 Anforderungen für den Schutz von Endpunkten.

Diese Art des Angriffs ist in letzter Zeit immer beliebter geworden, da es so einfach ist, Telefonnummern zu sammeln, Smartphones weit verbreitet sind und einer Textnachricht mehr Vertrauen entgegengebracht wird als einer herkömmlichen E-Mail. Während E-Mails eine beliebige Anzahl von Buchstaben oder Sonderzeichen enthalten können, folgen Telefonnummern rund um den Globus bestimmten Mustern, wie z.B. das dreivierteldreistellige 10-stellige Muster in den USA, und Angreifer können verschiedene Kombinationen ausprobieren oder Blasts an einen bestimmten Bereich senden. Darüber hinaus werden Telefonnummern oft mit sozialen Medien in Verbindung gebracht, wodurch sie leichter zu finden sind und Angreifern eine Informationsquelle bieten, um Smishing-Versuche persönlicher zu gestalten.

Betrüger sind auch aufgrund der Beziehung zwischen einem Benutzer und seinem Telefon erfolgreich. Egal, ob sie unterwegs sind oder mit etwas anderem abgelenkt werden, die Nutzer vertrauen eher ihrem Smartphone oder überfliegen eine Nachricht, anstatt sie sorgfältig zu lesen. Um sich am besten vor Smishing - und Phishing-Betrug im Allgemeinen - zu schützen, ist es wichtig, dass Sie Telefonnummern genau prüfen, Nachrichten sorgfältig lesen und niemals auf einen unbekannten Link klicken.

Erfahren Sie mehr über Phishing

Wie Sie einen Smishing-Versuch erkennen

Leider gibt es keinen Mangel an Phishing-Angriffen auf jedem Gerät. Ob Cyberkriminelle nun auf der Jagd nach Kreditkarten, Anmeldedaten oder anderen sensiblen Informationen sind, SMS-Phishing-Versuche sind Bedrohungen, auf die mobile Benutzer vorbereitet sein müssen.

Ein häufiger Smishing-Angriff betrifft Bankdienstleistungen. Diese Textnachrichten, die sich als legitimes Finanzinstitut ausgeben, können den Anschein erwecken, dass sie zeitkritisch sind, um die Opfer dazu zu bringen, sich einzuloggen, ohne kritisch nachzudenken.

Abbildung 1: Beispiel einer Textnachricht, die das Opfer vor einer Kontokompromittierung warnt und es auffordert, sich über den angegebenen Link anzumelden

Der beste Weg, auf diese Art von Nachrichten zu reagieren, ist, den Link zu umgehen und direkt zur Bank selbst zu gehen. Gehen Sie auf die Website der Bank, loggen Sie sich in die App ein oder rufen Sie eine Filiale vor Ort an, um zu überprüfen, ob es Probleme mit einem Bankkonto gibt.

Ein weiteres Beispiel für Smishing-Angriffe nutzt die Multifaktor-Authentifizierung (MFA) aus. Die Angreifer senden Textnachrichten mit Anmeldeinformationen an Benutzer und fordern sie auf, sich anzumelden. Die Hacker bauen diese Seiten so auf, dass sie wie die authentischen Anmeldeseiten aussehen, mit denen die Benutzer vertraut sind.

Abbildung 2: Beispiel einer Textnachricht, in der ein Opfer aufgefordert wird, sich über den angegebenen Link anzumelden, um seine Identität zu überprüfen.

Bei Angriffen wie diesen müssen die Benutzer vorsichtig sein. Haben sie sich kürzlich bei etwas angemeldet? Ist das die übliche Methode, mit der sie ihre Identität überprüfen? Wie bei Bankinstituten ist es am besten, wenn Sie sich direkt an die Quelle wenden und die Angaben überprüfen. Auch wenn einige Angreifer die MFA ausnutzen, ist die zusätzliche Sicherheit der MFA immer noch ein unglaublich wichtiger Schutz vor Cyberkriminalität.

Abbildung 3 ist ein realistisches Beispiel, das auf einer Smishing-Nachricht basiert, die einer unserer Mitarbeiter erhalten hat.

Abbildung 3: Screenshot eines Smishing-Versuchs, bei dem die seltsame Nummer und der falsche Link hervorgehoben sind

Wie Sie es vermeiden, verleumdet zu werden

Wie bereits erwähnt, ist eine der besten Techniken, um zu vermeiden, dass Sie übers Ohr gehauen werden, ein kritischer Umgang mit den Textnachrichten, die Sie erhalten. Klicken Sie niemals auf einen Link, den Sie nicht kennen, und fühlen Sie sich nicht verpflichtet, auf eine seltsame SMS von einer Ihnen unbekannten Nummer zu antworten. Wenn Sie in den USA eine Smishing-SMS erhalten, können Sie sie unter reportfraud.ftc.gov melden.

Für Sicherheitsexperten ist es wichtig, die Benutzerschulung zu implementieren. Wenn Sie Ihr Unternehmen in der Erkennung von Phishing und Smishing schulen und testen, verringert sich die Wahrscheinlichkeit eines erfolgreichen Phishing-Versuchs erheblich.

Ein weiterer wichtiger Teil dieses Puzzles ist die Annahme einer Zero Trust Haltung in der gesamten Organisation. Es ist wichtig, dass Sie Ihre Umgebung in dem Bewusstsein überwachen, dass Sie nichts implizit als vertrauenswürdig ansehen sollten - alles in Ihrem Netzwerk kann gegen Sie verwendet werden. Produkte wie Endpunkt-Erkennung und -Reaktion (EDR) bieten umfassende Transparenz und Maschinenlernen (ML)-basierte Erkennung für die Echtzeitanalyse von Bedrohungen. Ein EDR-Produkt kann mit einer Security Orchestration, Automation, and Response (SOAR) Plattform für eine automatisierte Reaktion auf Bedrohungen gekoppelt werden.

Erfahren Sie mehr darüber, wie Endpunkt- und Netzwerksicherheit zusammenarbeiten.

Melden Sie sich für eine Cortex-Demo an, um zu sehen, wie XDR und XSOAR Ihre Sicherheitslage verbessern können.