21.12.2018
Phishing-Attacke
Google- und Yahoo-Konten trotz 2FA gekapert
Autor: Alexandra Lindner
Kheng Guan Toh / shutterstock.com
Hunderte Google- und Yahoo-Konten wurden trotz 2-Faktor-Authentifizierung von Cyberkriminellen gekapert. Die Zugangsdaten wurden über professionelle Phishing-Attacken erbeutet.
Hackern ist es gelungen, Hunderte Google- und Yahoo-Konten trotz 2-Faktor-Authentifizierng (2FA) zu kapern. Wie Amnesty International berichtet, nutzten die Angreifer dafür eine Phishing-Attacke.
Nach dem Anklicken landeten die Opfer auf täuschend echten Login-Seiten. Die Angreifer wiegten die Nutzer sogar mittels https-Verschlüsselung in vermeintlicher Sicherheit. Neben Account-Name und Passwort wurden auf diese Weise auch die erforderlichen 2FA-Codes erbeutet. Damit erhielten die Angreifer sämtliche Zugangsdaten, die für den Zugriff das jeweilige Konto benötigt wurden.
Um den Nutzer weiterhin in Sicherheit zu wähnen, wurde er auf der Fake-Seite sogar noch dazu aufgefordert, sein Passwort für den Google- oder Yahoo-Login zu ändern.
Auch Tutanota und Protonmail im Visier der Hacker
Wie Amnesty berichtet, richteten sich die Attacken vor allem gegen Ziele im Nahen Osten und in Nordafrika. Außerdem identifizierte die Menschenrechtsorganisation noch eine weitere Angriffswelle auf Nutzer der verschlüsselten Mailing-Dienste Tutanota und ProtonMail.
Diese werden gerade von Nutzern verwendet, die viel Wert auf Datenschutz legen. Meist handelt es sich dabei um Journalisten, politische Akteure und Menschenrechtsaktivisten. Sie wurden auf eine ganz ähnliche Vorgehensweise von den Angreifern auf gefälschte Clone der jeweilige Anbieterseite gelockt. Die URLs unterschieden sich dabei nur minimal. Bei Tutanota etwa gelang es den Kriminellen, der Domain Totanota.org habhaft zu werden. Die echte Seite endet hingegen auf .com.
Auch bei 2FA auf Sicherheit achten
Auch wenn es den Hackern durch diese Vorgehensweise gelungen ist, die 2FA-Sicherung der Konten zu umgehen, bietet eine zusätzliche Sicherheitsebene dennoch deutlich mehr Sicherheit als herkömmliche Passwörter. In der Praxis müssen Nutzer aber trotzdem auf Details achten:
Landet eine Benachrichtigung bezüglich auffälliger Login-Aktivitäten im Postfach, sollte niemals der mitgelieferte Link verwendet werden, um auf die Anmeldeseite zu gelangen. Vielmehr ist es ratsam, diese stets separat in einem neuen Browser-Fenster aufzurufen. So kann sich der Nutzer in der Regel gefahrlos anmelden.
Bad News
Game macht Fake News spielerisch erkennbar
Wissenschaftler der Universität Uppsala haben ihr Online-Spiel "Bad News" erfolgreich an 516 Schülern getestet. Es soll helfen, manipulative Techniken in Social-Media-Posts zu erkennen.
>>
Tools
GitLab Duo Chat mit KI-Chat-Unterstützung
Der DevSecOps-Plattform-Anbieter GitLab führt den GitLab Duo Chat ein. Dieses Tool integriert Künstliche Intelligenz in die DevSecOps-Workflows.
>>
Cyberbedrohungen überall
IT-Sicherheit unter der Lupe
Cybersecurity ist essentiell in der IT-Planung, doch Prioritätenkonflikte und die Vielfalt der Aufgaben limitieren oft die Umsetzung. Das größte Sicherheitsrisiko bleibt der Mensch.
>>
Glasfasernetz
GlobalConnect stellt B2C-Geschäft in Deutschland ein
Der Glasfaseranbieter GlobalConnect will sich in Deutschland künftig auf das B2B- und das Carrier-Geschäft konzentrieren und stoppt die Gewinnung von Privatkunden mit Internet- und Telefonanschlüssen.
>>