Eine harmlose Bitte um eine Abstimmung, ein WhatsApp-Code – und nur wenige Minuten später verschicken Betrüger Nachrichten über das eigene Konto.
Genau das ist in einem aktuellen Fall passiert, der uns vorliegt. Die Nachricht bat darum, für ein Mädchen namens „Klara“ abzustimmen. Der Link führte auf eine vermeintliche Voting-Seite.
Nach Eingabe eines Codes wurde ein fremdes Gerät mit dem WhatsApp-Konto verbunden. Rund fünf Minuten später erkannte WhatsApp offenbar die ungewöhnliche Aktivität und sperrte den Account.
Zu diesem Zeitpunkt hatten jedoch bereits zahlreiche Kontakte dieselbe Betrugsnachricht erhalten.
Die Nachricht wirkt zunächst vollkommen harmlos:
Hallo! Könntest du für Klara abstimmen? Sie ist die Tochter meiner engen Freunde, und dieser Sieg bedeutet ihr sehr viel. Vielen Dank.
Das Gefährliche daran: Die Nachricht kommt nicht von einer offensichtlich fremden Telefonnummer.
Sie wird über ein zuvor kompromittiertes WhatsApp-Konto verschickt. Für den Empfänger sieht es deshalb so aus, als würde ein Freund, Kollege oder Familienmitglied lediglich um einen kleinen Gefallen bitten.
Genau dieses Vertrauen nutzen die Täter aus.
Nach dem Klick auf den Link landet das Opfer auf einer angeblichen Abstimmungsseite. Im weiteren Verlauf wird die Telefonnummer abgefragt und anschließend ein Code verlangt.
Dieser Code hat mit der Abstimmung allerdings nichts zu tun.
Stattdessen wird damit ein zusätzliches Gerät mit dem WhatsApp-Konto des Opfers verknüpft. Die Betrüger erhalten damit Zugriff auf WhatsApp und können Nachrichten im Namen des Kontoinhabers verschicken.
Die Täter hacken dabei nicht das komplette Smartphone. Sie missbrauchen eine reguläre WhatsApp-Funktion zur Geräteverknüpfung.
Besonders auffällig ist der zeitliche Ablauf in unserem Fall.
Zwischen der Eingabe des Codes und der Sperrung des WhatsApp-Kontos lagen lediglich rund fünf Minuten.
Trotz dieses kurzen Zeitfensters hatten die Täter bereits zahlreiche Kontakte angeschrieben.
Das zeigt, wie schnell solche Angriffe ablaufen können. Nach erfolgreicher Übernahme wird das kompromittierte Konto offenbar unmittelbar genutzt, um die nächste Welle der Fake-Abstimmung zu verbreiten.
Das nächste Opfer erhält die Nachricht wiederum von einem echten Kontakt – und vertraut dem Link dadurch möglicherweise ebenfalls.
Ein verknüpftes WhatsApp-Gerät kann Nachrichten empfangen und Nachrichten im Namen des Kontoinhabers verschicken.
Darüber hinaus werden beim Verbinden eines neuen Geräts auch WhatsApp-Daten synchronisiert.
Dazu können unter anderem gehören:
Wie viele Daten innerhalb von nur fünf Minuten tatsächlich übertragen wurden, lässt sich im Nachhinein kaum zuverlässig feststellen.
Dass innerhalb dieses kurzen Zeitraums jahrelange Chatarchive einschließlich sämtlicher Fotos und Videos vollständig kopiert wurden, ist eher unwahrscheinlich.
Aktuelle Chats und einzelne ältere Nachrichten könnten jedoch durchaus bereits synchronisiert worden sein.
Wichtig ist die Unterscheidung zwischen einem übernommenen WhatsApp-Konto und einem vollständig kompromittierten Smartphone.
Durch die WhatsApp-Geräteverknüpfung erhalten die Täter nicht automatisch Zugriff auf das gesamte iPhone oder Android-Gerät.
Allein dadurch erhalten sie beispielsweise keinen allgemeinen Zugriff auf:
Das unmittelbare Risiko konzentriert sich auf die über WhatsApp verfügbaren Informationen.
Wer Passwörter, Ausweiskopien, Zugangsdaten oder andere vertrauliche Dokumente über WhatsApp verschickt hat, sollte zumindest aktuelle Chats vorsichtshalber als möglicherweise eingesehen betrachten.
Klassische Phishing-Nachrichten lassen sich häufig bereits am Absender erkennen. Eine unbekannte Telefonnummer, eine angebliche Bank oder eine ungewöhnliche Paketbenachrichtigung sorgen bei vielen Nutzern inzwischen für Misstrauen.
Bei dieser WhatsApp-Masche funktioniert genau das nicht.
Die Nachricht kommt aus einem echten Account.
Name und Profilbild stimmen. Der Kontakt ist möglicherweise seit Jahren gespeichert und der vorhandene Chatverlauf passt ebenfalls.
Nur schreibt zu diesem Zeitpunkt möglicherweise nicht mehr der eigentliche Besitzer des Accounts.
Dadurch entsteht eine Kettenreaktion: Ein übernommener WhatsApp-Account wird genutzt, um weitere echte Kontakte anzuschreiben. Einige davon geben ebenfalls ihren Code ein, wodurch wiederum neue Konten übernommen werden können.
Im uns vorliegenden Fall erkannte WhatsApp die verdächtigen Aktivitäten offenbar bereits nach ungefähr fünf Minuten.
Das Konto wurde zunächst gesperrt. Nach der Wiederfreigabe konnte das unbekannte Gerät unter den verknüpften Geräten entfernt werden.
Damit war der weitere Zugriff über dieses Gerät beendet.
Die schnelle Reaktion von WhatsApp hat das Zeitfenster für die Täter deutlich begrenzt. Sie zeigt allerdings gleichzeitig, dass selbst wenige Minuten ausreichen können, um zahlreiche weitere Personen anzuschreiben.
Wer einen entsprechenden Code bereits eingegeben hat, sollte sofort die verknüpften Geräte kontrollieren.
In WhatsApp findet sich die Funktion unter:
Einstellungen → Verknüpfte Geräte
Unbekannte Geräte sollten sofort abgemeldet werden.
Zusätzlich sollte die Zwei-Schritt-Verifizierung aktiviert werden:
Einstellungen → Account → Verifizierung in zwei Schritten
Auch eine eventuell hinterlegte E-Mail-Adresse sollte kontrolliert werden.
Wurden bereits Nachrichten im eigenen Namen verschickt, sollten die betroffenen Kontakte möglichst schnell gewarnt werden. Links aus den zuvor versendeten Nachrichten sollten nicht geöffnet und dort angeforderte Codes keinesfalls eingegeben werden.
Für eine normale Online-Abstimmung muss kein zusätzliches Gerät mit dem eigenen WhatsApp-Konto verbunden werden.
Auch ein WhatsApp-Verifizierungscode ist für eine Abstimmung nicht erforderlich.
Fordert eine Voting-Seite einen solchen Code oder eine WhatsApp-Geräteverknüpfung, sollte der Vorgang sofort abgebrochen werden.
Das gilt auch dann, wenn der Link von einem guten Freund oder einem Familienmitglied kommt.
Denn genau darin liegt der Trick dieser Betrugsmasche: Die Nachricht stammt von einem echten WhatsApp-Konto – aber möglicherweise längst nicht mehr von der Person, der dieses Konto gehört.
Kategorie
News
Aktuelle Meldungen aus der Tech-Welt – kompakt eingeordnet, ohne Clickbait-Überschriften.
