Apple-Nutzer werden vor einer Social-Engineering-Masche gewarnt, bei der Kriminelle Bankmitarbeiter imitieren und FaceTime verwenden, um ihre Opfer zur Preisgabe sensibler Finanzinformationen zu bewegen.
- Die Masche beginnt häufig mit einer gefälschten Betrugswarnung
- Persönliche Daten beweisen keine Legitimität
- Das Gespräch wechselt zu FaceTime
- Bildschirmfreigabe ist der kritische Punkt
- Einmalcodes können eine wichtige Sicherheitsschicht umgehen
- Dringlichkeit ist ein wichtiges Warnsignal
- Nicht die Nummer aus einer verdächtigen Nachricht anrufen
- Bankbildschirme niemals mit unerwarteten Anrufern teilen
- Apple verlangt, dass Sicherheitsdaten privat bleiben
- Verdächtige FaceTime-Anrufe können Apple gemeldet werden
- Wenn Daten bereits offengelegt wurden, ist schnelles Handeln wichtig
- FaceTime ist der Kanal, nicht die Schwachstelle
Für den Angriff müssen die Täter weder die Sicherheit von FaceTime brechen noch Apples Encryption überwinden oder ein iPhone aus der Ferne hacken.
Stattdessen wird das Vertrauen des Nutzers angegriffen.
Die Täter versuchen, den tatsächlichen Kontoinhaber davon zu überzeugen, dass sein Bankkonto oder seine Kreditkarte in Gefahr ist und sofortiges Handeln erforderlich sei.
Sobald das Opfer glaubt, mit einem echten Bankmitarbeiter zu sprechen, kann der Betrüger das Gespräch auf FaceTime verlagern und anschließend zur Bildschirmfreigabe auffordern.
Öffnet das Opfer Online Banking während der Bildschirm geteilt wird, können Passwords, Kontonummern und einmalige Sicherheitscodes sichtbar werden.
Mehr lesen
Die Masche zeigt, warum moderne Cybersicherheit nicht nur vor Malware und Software-Schwachstellen schützen muss, sondern auch vor psychologischer Manipulation.
Die Masche beginnt häufig mit einer gefälschten Betrugswarnung
Die erste Phase findet normalerweise per Textnachricht oder Telefon statt.
Das Opfer kann eine Nachricht erhalten, in der behauptet wird, auf einem Bankkonto oder einer Kreditkarte sei verdächtige Aktivität festgestellt worden.
Die Nachricht kann eine angeblich nicht autorisierte Transaktion nennen und dazu auffordern, sofort eine Telefonnummer anzurufen.
Diese Nummer sollte nicht automatisch als vertrauenswürdig betrachtet werden.
Wenn die Nachricht von Kriminellen erstellt wurde, kann sie direkt zu der Gruppe führen, die den Betrug organisiert.
In anderen Fällen ruft der Betrüger zuerst an und behauptet, für die Fraud- oder Sicherheitsabteilung einer Bank zu arbeiten.
Er kann erklären, dass eine zusätzliche Überprüfung erforderlich sei, bevor eine Transaktion gestoppt, das Konto geschützt oder eine unautorisierte Aktivität rückgängig gemacht werden könne.
Das Ziel besteht darin, Angst zu erzeugen, bevor das Opfer selbst überprüfen kann, was tatsächlich passiert.
Persönliche Daten beweisen keine Legitimität
Ein gut vorbereiteter Betrüger kann bereits einige Informationen über das Ziel besitzen.
Dazu können Name, Telefonnummer, Adresse, Arbeitgeber oder andere scheinbar private Details gehören.
Dass der Anrufer diese Daten kennt, beweist nicht, dass er tatsächlich für die Bank arbeitet.
Personenbezogene Informationen können aus Data Breaches, öffentlichen Datenbanken, Social Media, früheren Betrugsversuchen und anderen Quellen stammen.
Die Täter nutzen diese Informationen, um glaubwürdiger zu wirken.
Wenn ein angeblicher Bankmitarbeiter bereits den Namen und mehrere persönliche Details kennt, kann das Gespräch zunächst echt erscheinen.
Apple warnt ebenfalls, dass Social-Engineering-Angreifer persönliche Informationen nutzen, um Vertrauen aufzubauen, bevor sie sensible Zugangsdaten oder Geld verlangen.
Das Gespräch wechselt zu FaceTime
Nach dem ersten Kontakt kann der Täter vorschlagen, von einem normalen Sprachanruf zu FaceTime zu wechseln.
Dieser Wechsel kann die Interaktion glaubwürdiger erscheinen lassen, weil FaceTime für iPhone-, iPad- und Mac-Besitzer ein vertrauter Dienst ist, den sie täglich mit Familie, Freunden und Kollegen verwenden.
Ein Live-Gespräch gibt dem Betrüger außerdem mehr Möglichkeiten, auf Zweifel des Opfers zu reagieren.
Wenn das Opfer misstrauisch wird, kann der Täter unmittelbar beruhigen, die angebliche Gefahr für das Konto wiederholen und weiter Druck ausüben.
Der Betrüger kann behaupten, FaceTime sei für Identitätsprüfung, Fraud-Untersuchung oder ein anderes Banksicherheitsverfahren erforderlich.
Die Nutzung von FaceTime bestätigt jedoch nicht, dass die Person am anderen Ende tatsächlich bei dem genannten Finanzinstitut arbeitet.
Bildschirmfreigabe ist der kritische Punkt
Die gefährlichste Phase beginnt, wenn der angebliche Bankmitarbeiter um Bildschirmfreigabe bittet.
Screen Sharing ist eine legitime FaceTime-Funktion und kann mit bekannten und vertrauenswürdigen Personen nützlich sein.
Wenn ein Fremder zusieht, wird dieselbe Funktion zum Risiko.
Der Betrüger kann das Opfer anweisen, die Website der Bank oder die Mobile-Banking-App zu öffnen und sich anzumelden, während Screen Sharing aktiv bleibt.
In diesem Moment können Finanzinformationen, die die Bank auf dem Bildschirm anzeigt, für den Angreifer sichtbar werden.
Je nach Dienst können Kontonummern, Salden, aktuelle Transaktionen, Login-Informationen und temporäre Sicherheitscodes erscheinen.
CBS News berichtete, dass Betrüger mit dieser Methode in Echtzeit sehen können, wie Opfer Passwords, Kontonummern und sogar einmalige Sicherheitscodes offenlegen.
Einmalcodes können eine wichtige Sicherheitsschicht umgehen
Viele Finanzinstitute verwenden Multi-Factor Authentication zum Schutz von Online-Konten.
Ein Password allein reicht deshalb möglicherweise nicht aus, damit ein Krimineller sich anmelden kann.
Der Angreifer benötigt eventuell zusätzlich einen One-Time Verification Code, der an ein vertrauenswürdiges Gerät des Kunden gesendet wird.
Deshalb sind temporäre Codes für Betrüger besonders wertvoll.
Das Sicherheitsmodell geht davon aus, dass nur der rechtmäßige Kontoinhaber den Code sehen und verwenden kann.
Wenn der Code während der Bildschirmfreigabe erscheint oder das Opfer ihn vorliest, kann der Angreifer die zusätzlichen Informationen erhalten, die für einen unautorisierten Login oder eine Transaktion notwendig sind.
Einmalcodes sollten mit derselben Vertraulichkeit wie Passwörter behandelt werden.
Ein angeblicher Bankmitarbeiter sollte nicht verlangen, dass ein Kunde Authentication-Daten über FaceTime zeigt.
Dringlichkeit ist ein wichtiges Warnsignal
Eine der konstantesten Eigenschaften von Social-Engineering-Betrug ist Druck.
Der Anrufer kann behaupten, dass gerade Geld gestohlen wird, die Karte kompromittiert wurde, das Konto gesperrt wird oder eine Überweisung innerhalb weniger Minuten gestoppt werden müsse.
Diese Dringlichkeit ist beabsichtigt.
Der Täter will nicht, dass das Opfer auflegt, selbst die Bank kontaktiert oder eine andere Person um Rat bittet.
Apple warnt, dass Betrüger häufig ein starkes Gefühl von Dringlichkeit erzeugen, um Nutzern keine Zeit zum Nachdenken zu geben.
Ein seriöses Finanzinstitut sollte nichts dagegen haben, wenn ein Kunde einen unerwarteten Anruf beendet und anschließend über eine offizielle Nummer zurückruft.
Wenn der Anrufer darauf besteht, dass das Opfer in der Leitung bleiben muss, sollte dieses Verhalten selbst als verdächtig gelten.
Nicht die Nummer aus einer verdächtigen Nachricht anrufen
Wenn eine unerwartete Nachricht behauptet, von einer Bank zu stammen, und eine Telefonnummer enthält, sollte diese nicht automatisch verwendet werden.
Sicherer ist es, die Kontaktinformationen der Bank unabhängig zu ermitteln.
Eine Möglichkeit ist die Telefonnummer auf der Rückseite einer Debit- oder Kreditkarte.
Auch die offizielle App oder Website des Finanzinstituts kann verwendet werden.
Das entscheidende Prinzip besteht darin, einen neuen Kommunikationskanal zu schaffen, der nicht vom verdächtigen Anrufer oder der Nachricht bereitgestellt wurde.
So wird verhindert, dass derselbe Kriminelle sowohl die angebliche Warnung als auch die vermeintliche Lösung kontrolliert.
Bankbildschirme niemals mit unerwarteten Anrufern teilen
Eine unaufgeforderte Bitte, während eines Bankgesprächs den Bildschirm eines iPhone, iPad, Mac oder Computers zu teilen, ist ein deutliches Red Flag.
Eine seriöse Bank muss nicht beobachten, wie ein Kunde sein Online-Banking-Password eingibt.
Auch bei Aufforderungen, Payment Apps, Investmentkonten, Cryptocurrency Wallets oder andere Finanzdienste während der Bildschirmfreigabe zu öffnen, ist Vorsicht geboten.
Das Ablehnen von Screen Sharing kann einen zentralen Teil des Angriffs stoppen.
Wenn der angebliche Bankmitarbeiter behauptet, ohne Bildschirmfreigabe könne das Konto nicht geschützt werden, sollte das Gespräch beendet und die Bank unabhängig kontaktiert werden.
Apple verlangt, dass Sicherheitsdaten privat bleiben
Apples offizielle Hinweise warnen Nutzer davor, Passwords, Security Codes oder andere Account-Security-Informationen weiterzugeben.
Apple erklärt, dass das Unternehmen für Support niemals ein Apple Account Password oder einen Verification Code verlangt.
Außerdem empfiehlt Apple, Zugangsdaten nicht einfach deshalb auf einer Website einzugeben, weil jemand am Telefon dazu auffordert.
Dasselbe Prinzip sollte für Bankkonten gelten.
Passwords, One-Time Codes und Recovery Information existieren, um zu bestätigen, dass der rechtmäßige Eigentümer einen Zugriff autorisiert.
Die Weitergabe an Dritte kann genau die Schutzmechanismen schwächen, die das Konto sichern sollen.
Verdächtige FaceTime-Anrufe können Apple gemeldet werden
Apple bietet ein spezielles Verfahren zum Melden verdächtiger FaceTime-Anrufe.
Wer einen verdächtigen FaceTime-Anruf erhält, der scheinbar von einer Bank oder einem Finanzinstitut stammt, kann eine Screenshot der Anrufinformationen anfertigen und Apple melden.
Auch verdächtige FaceTime-Links aus Messages oder Mail können gemeldet werden.
Apple empfiehlt, dass Screenshots verdächtiger Links die Telefonnummer oder Email Address des Absenders enthalten.
Das Speichern dieser Informationen hilft, den Betrugsversuch zu dokumentieren, ohne weiter mit dem mutmaßlichen Täter kommunizieren zu müssen.
Wenn Daten bereits offengelegt wurden, ist schnelles Handeln wichtig
Wer glaubt, dass ein Password oder Verification Code offengelegt wurde, sollte sofort reagieren.
Das Bankpasswort muss unmittelbar geändert werden.
Wurde dasselbe Password auf anderen Websites oder Diensten verwendet, sollten auch diese Konten unterschiedliche, einzigartige Passwörter erhalten.
Kunden sollten aktuelle Bankaktivitäten auf unbekannte Transaktionen prüfen.
Wenn bereits Geld bewegt wurde oder verdächtige Aktivitäten auftauchen, sollte die Fraud-Abteilung der Bank über eine verifizierte Nummer so schnell wie möglich kontaktiert werden.
Je früher die Meldung erfolgt, desto mehr Zeit hat das Finanzinstitut, die Transaktion zu untersuchen, das Konto zu schützen und zu prüfen, ob Geld zurückgeholt werden kann.
FaceTime ist der Kanal, nicht die Schwachstelle
Die Existenz von Bankbetrug über FaceTime bedeutet nicht, dass FaceTime selbst technisch kompromittiert wurde.
Kriminelle nutzen ein legitimes Kommunikationswerkzeug für Social Engineering.
Dieser Unterschied ist wichtig.
Auch eine sichere Plattform kann einen Nutzer nicht vollständig schützen, wenn dieser überzeugt wird, Informationen freiwillig preiszugeben.
Deshalb sollten Nutzer beurteilen, was ein Anrufer von ihnen verlangt, statt eine Unterhaltung nur deshalb für vertrauenswürdig zu halten, weil sie über einen vertrauten Apple-Dienst stattfindet.
Unerwartete Forderungen nach Passwords, One-Time Codes, Screen Sharing oder sofortigen Geldtransfers sollten als Warnsignal gelten – unabhängig davon, ob sie über FaceTime, einen normalen Anruf, Email oder SMS kommen.
