Ein neuer X-Phishing-Scam kopiert echte Login-Benachrichtigungen bis ins letzte Pixel, um Konten zu kapern und Passwörter zu stehlen. Gekaperte Konten werden für Krypto-Betrug und Phishing genutzt. Die Phishing-E-Mails warnen die Empfänger vor einem Login „von einem neuen Gerät“ an einem Ort, an dem sie sich noch nie aufgehalten haben. Die E-Mails enthalten das X-Logo, die korrekte Formatierung, einwandfreie Grammatik und das gleiche Farbschema wie echte Benachrichtigungen. Die Empfänger werden aufgefordert, auf einen Link zu klicken, um ihr Passwort zu ändern oder den App-Zugriff zu überprüfen. Die Links führen zu gefälschten Websites, die darauf ausgelegt sind, Anmeldedaten zu stehlen oder eine bösartige App zu autorisieren, die Angreifern direkten Zugriff auf das Konto ermöglicht – ohne dass ein Passwort benötigt wird. Ein Kommentar von Darren Guccione, CEO und Mitbegründer von Keeper Security.
„Die neueste Phishing-Kampagne gegen X-Nutzer zeigt, wie weit Angreifer darin gekommen sind, Echtheit vorzutäuschen. Die E-Mails ahmen die Login-Benachrichtigungen von X fast pixelgenau nach – Logo, Farbschema und Grammatik stimmen so präzise überein, dass sie auf den ersten Blick als echt durchgehen. Die einzigen verlässlichen Hinweise sind die Absenderadresse und das tatsächliche Ziel des eingebetteten Links. Beide Details sind unter Druck leicht zu übersehen.
Hier geht es sowohl um Zugangsdaten als auch um Phishing. Die Angreifer müssen die Infrastruktur von X nicht kompromittieren, wenn sie Nutzer dazu bringen können, die Schlüssel freiwillig preiszugeben. Sobald sie Zugriff auf ein Konto haben, nutzen sie diesen, um weitere Krypto-Betrugsmaschen durchzuführen, Falschinformationen zu verbreiten oder in das weitere Kontaktnetzwerk des Opfers vorzudringen – der Schaden geht damit weit über das ursprüngliche Ziel hinaus.
Für X-Nutzer lautet der leider viel zu oft ignorierte Rat: Niemals auf einen Login-Link in einer E-Mail klicken. Öffnen Sie die Plattform direkt und betrachten Sie jede Passwortanfrage, die per E-Mail oder Direktnachricht eintrifft, standardmäßig als betrügerisch. Für Organisationen ist das Problem sowohl struktureller als auch verhaltensbedingter Natur. Sich darauf zu verlassen, dass Mitarbeiter eine gut gemachte Fälschung erkennen, ist keine Sicherheitsstrategie. Die Durchsetzung von Multi-Faktor-Authentifizierung, die Nutzung phishing-resistenter Anmeldedatenspeicherung und das Vermeiden der Wiederverwendung von Passwörtern für private und geschäftliche Konten schließen die Lücke, die solche Kampagnen ausnutzen sollen – unabhängig davon, wie überzeugend die nächste Fälschung aussieht.“
#KeeperSecurity
