Ausnutzung von Schwachstellen
Cyberkriminelle Plätzchen-Diebe
Weihnachtlicher Süßkram wie Plätzchen und Co sind out. Virtuelle „Kekse“ aber – also Browser-Cookies – erfreuen sich jedoch weiterhin anhaltender Beliebtheit vor allem bei Cyberkriminellen. Nutzer sollten daher einige Regeln beachten.
Save to Folio
Der US-Bundespolizei zufolge haben es die Kriminellen besonders auf „Remember me“-Cookies abgesehen. Im Deutschen meist als „Dieses Gerät merken“ bezeichnet, speichern diese Cookies den Nutzernamen und ein Hash-basierendes Token im Regelfall für 30 Tage im Browser. Nutzer können sich damit anmelden, ohne ständig Benutzername, Passwort oder Multifaktor-Authentifizierung (MFA) heranziehen zu müssen.
Dies macht diese Cookies auch für Cyberkriminelle interessant: Gelingt es ihnen, diese Cookies zu stehlen, können sie sich unbemerkt mit den Zugangsdaten ihres Opfers anmelden – beispielsweise bei Webmail- oder Online-Shopping-Seiten. Aus diesen Gründen konzentrieren sich Angreifer zunehmend darauf, Remember-Me-Cookies zu stehlen, beispielsweise über bösartige Websites oder via Phishing-Mails.
Cookies im Blick behalten
- Die „Dieses Gerät merken“-Funktion auf Websites mag zwar komfortabel sein, kann es unter Umständen aber auch Cyberkriminellen ermöglichen, unberechtigt und unbemerkt auf Ihre Online-Konten zuzugreifen. Seien Sie sich dieses Risikos bewusst, wenn Sie diese Funktionalität nutzen.
- Zudem sollten Sie in den Privatsphäre-Einstellungen regelmäßig alle Cookies in Ihrem Internet-Browser löschen. Achten Sie bei besonders gefährdeten Konten (wie Webmail) auch auf den Verlauf der letzten Anmeldungen, um unberechtigte Zugriffe zu erkennen.
- Klicken Sie außerdem nicht auf verdächtige Links oder Websites! Besuchen Sie nur Websites mit einer sicheren Verbindung (HTTPS), damit Ihre Daten bei der Übertragung nicht abgefangen werden können.
Dieser Beitrag (wie auch schon frühere) ist zuerst im connect professional Security Awareness Newsletter erschienen. Interessenten können sich hier kostenlos für den Newsletter anmelden.