Was ist Smishing?
Stoppen Sie mehr Bedrohungen mit Trend Micro Email Security – fortschrittlicher Schutz für Ihre Inbox!
Smishing ist eine Form des Phishings, bei der Smartphones als Angriffsplattform genutzt werden. Der Betrüger führt den Angriff aus in der Absicht, personenbezogene Daten zu beschaffen, darunter Sozialversicherungs-, Ausweis- und Kreditkartennummern. Smishing erfolgt über Textnachrichten oder SMS, weshalb der Angriff den Namen SMiShing trägt.
Smishing: Bedeutung und Definition
Smishing-Angriffe nutzen Short Message Services (SMS), auch bekannt als Textnachrichten. Diese Form des Angriffs wird immer beliebter, da Nutzer einer Nachricht, die über eine Messaging-App auf ihrem Telefon eingeht, eher vertrauen als einer per E-Mail übermittelten Nachricht.
Viele Opfer bringen Phishing-Betrug nicht mit persönlichen SMS in Verbindung. Tatsächlich ist es für Betrüger einfacher, Ihre Telefonnummer zu ermitteln als Ihre E-Mail-Adresse. Bei Telefonnummern ist die Anzahl der Optionen begrenzt – in den USA beispielsweise sind Telefonnummern 10-stellig.
Für E-Mail-Adressen hingegen existieren keine Längenbeschränkungen. Es gibt nur eine bestimmte Anzahl Zeichen, die vernünftigerweise zu erwarten sind. E-Mail-Adressen können Zahlen, Buchstaben und Sonderzeichen (!, # und %) enthalten. Es ist viel einfacher, zehn zufällige Ziffern aneinanderzureihen, um ein Opfer zu erreichen, als eine Person über eine E-Mail-Adresse zu kontaktieren.
Der Hacker kann einfach Nachrichten an eine beliebige Kombination von Ziffern senden, die in der Länge einer Telefonnummer gleicht. Dabei kann er einfach jede beliebige Zahlenkombination ausprobieren, ohne Probleme oder Risiken. Gartner zufolge werden 98 % der SMS-Nachrichten gelesen und 45 % beantwortet. Dies macht SMS-Nachrichten für Hacker zu einem sehr logischen Angriffsmittel – vor allem da laut Gartner im Gegensatz dazu nur 6 % aller E-Mails beantwortet werden.
SMS Phishing
Ein Hacker kann mit einer SMS sehr unterschiedliche Absichten verfolgen. Dazu gehört auch der Diebstahl Ihrer personenbezogenen Daten, indem er sich als Vertreter Ihrer Bank ausgibt. Er könnte versuchen, Sie dazu zu bringen, auf den Link in einer SMS zu klicken, um die Website der Bank aufzurufen und eine kürzlich erfolgte verdächtige Abbuchung zu bestätigen. Oder er könnte Sie bitten, die Kundendienstnummer anzurufen, die praktischerweise in der SMS enthalten ist, um mit ihm über eine kürzlich erfolgte verdächtige Abbuchung oder ein kompromittiertes Konto zu sprechen.
Hacker versuchen zudem, mit einfühlsamen Methoden an vertrauliche Informationen zu gelangen. Ein Beispiel sind Nachrichten im Zusammenhang mit Katastrophenhilfe, in denen Sie ein Betrüger um eine Spende für wohltätige Zwecke bittet. Der Hacker fordert Sie auf, den beigefügten Link anzuklicken und Ihre Kreditkartendaten, Ihre Adresse und häufig auch Ihre Sozialversicherungs- oder Ausweisnummer einzugeben. Sobald der Hacker Ihre Kreditkartennummer in Erfahrung gebracht hat, kann er Ihre Kreditkarte sogar monatlich belasten – damit Sie nicht misstrauisch werden.
Smartphone-Phishing
Ein weiteres Beispiel für einen Smishing-Angriff ist das Angebot Ihres Netzbetreibers mit einem Rabatt für einen Dienst oder ein Telefon-Upgrade. In der Nachricht werden Sie aufgefordert, auf den angegebenen Link zu klicken, um das Angebot zu aktivieren. Auf der gefälschten Website, die wie die Ihres Anbieters aussieht, sollen Sie dann Ihre Kreditkartennummer, Adresse und möglicherweise Ihre Sozialversicherungs- oder Ausweisnummer bestätigen. Denken Sie immer daran: Wenn es zu gut klingt, um wahr zu sein, ist es das vermutlich auch.
Instant Messaging Phishing
Phishing über Instant-Messenger-Freeware wie Facebook Messenger oder WhatsApp fällt technisch nicht in die Kategorie Smishing. Es ist jedoch eng damit verwandt. Der Hacker setzt auf die zunehmende Gewöhnung der Nutzer, Nachrichten von Fremden zu öffnen und Nachrichten über Social-Media-Plattformen zu beantworten.
Wie bei einem echten Phishing-Betrug besteht das Ziel des Angriffs darin, dass Sie dem Angreifer personenbezogene Daten zur Verfügung stellen, darunter Passwörter und Kreditkartennummern. Um an solche Informationen zu gelangen, kann der Angreifer Ihnen einen Deal oder etwas Wertvolles anbieten. Solche Angebote enthalten oft einen anklickbaren Link.
Eine Nachricht von einem Fremden, der um Informationen bittet, ist häufig ein Indikator für Instant-Messaging-Phishing. Diese Angriffe können aber auch den Anschein erwecken, von Personen zu stammen, die Sie kennen und mit denen Sie bereits in Verbindung stehen. Dies geschieht häufig, wenn das Social-Media-Konto einer Person gehackt oder gefälscht wurde.
Beispiele für Smishing
Bankbetrug:
Hacker senden Textnachrichten, die scheinbar von Ihrer Bank stammen, Sie vor verdächtigen Aktivitäten warnen oder auffordern, Ihre Kontodaten zu überprüfen. Wenn Sie auf den Link in der Warnung klicken, werden Sie zu einer betrügerischen Website weitergeleitet. Diese ist darauf ausgelegt, Ihre Anmeldedaten, Passwörter und Finanzinformationen zu stehlen.
Staatsbetrug:
Bei diesen Betrugsversuchen geben Cyberkriminelle vor, Regierungsbehörden wie das Finanzamt oder die örtliche Polizei zu sein. Sie behaupten zum Beispiel, dass der Empfänger Bußgelder oder Steuern schuldet. Im Anschluss folgt dann die Aufforderung, auf einen Link zu klicken oder persönliche Angaben zu machen, um Strafen zu vermeiden.
Lieferbetrug:
Angreifer geben sich oft als Versandunternehmen wie FedEx, DHL oder UPS aus und informieren Opfer über Probleme mit einer Paketzustellung. Die Adressaten werden gebeten, eine Gebühr zu zahlen oder Anmeldedaten anzugeben, um das Problem zu lösen. Das führt im nächsten Schritt zum Diebstahl persönlicher oder Zahlungsinformationen.
Beispiel für einen „fehlgeschlagene Zustellung“-Betrug.
Kundensupport-Betrug:
Bei dieser Form von Smishing tarnen sich Betrüger als Kundendienstmitarbeiter von bekannten Unternehmen wie Amazon oder Microsoft. Sie behaupten, es gebe ein Problem mit dem Konto des Opfers. Andere bieten gefälschte Belohnungen an, indem sie Opfer auf Phishing-Websites verweisen, um persönliche oder finanzielle Details zu stehlen.
Falsche Anzahl von Betrugsfällen:
Hacker geben vor, Ihnen versehentlich einen Text gesendet zu haben, der für jemand anderen gedacht war. Sobald Sie antworten, führen sie Gespräche und bauen langsam Vertrauen auf, bevor sie versuchen, Sie dazu zu bringen, persönliche Informationen weiterzugeben oder Geld zu senden.
Betrug: „Kreditwürdigkeit gesunken“
Bei diesem Betrug sollen Sie auf einen Link klicken, der zu einer gefährlichen Website führt. Dazu behauptet der Angreifer, Ihre Kreditwürdigkeit sei gesunken.
Beispiel für einen „Kredit abgelehnt“-Betrug.
Trend Micro Email Security-Lösungen
Trend Micro™ Email Security erkennt bösartige Absender und analysiert Inhalte, um Spam herauszufiltern. Authentizität und Reputation des Absenders werden analysiert und bösartige URLs abgewehrt.
Generationsübergreifende Techniken zur Bedrohungsabwehr verbessern den Schutz und bieten Transparenz und Kontrolle von Bedrohungen, die sich ständig weiterentwickeln.
Verwandte Informationen über Smishing
Weltweite E-Mail-Phishing-Statistiken und Beispiele für 2023
Lesen Sie nach, warum es nicht ausreicht, sich auf die in Microsoft 365 und Google Workspace™ integrierte Sicherheit zu verlassen. Das zeigen die im Jahr 2023 entdeckten E-Mail-Bedrohungen.
Bewährte E-Mail-Sicherheitspraktiken zur Phishing-Prävention
Informieren Sie sich über die neuesten Phishing-Trends und Best Practices, um Ihre E-Mail-Sicherheit zu verbessern und das Cyberrisiko zu reduzieren.
Weiterführende Artikel
Weiterführende Forschung