Betrug und Sicherheit, Insights
SMS-Spoofing erklärt: So verhindern Sie Betrug
Betrug und Sicherheit, Insights
Auf einen Betrug hereinzufallen kann jedem passieren. SMS-Spoofing ist eines der vielen Cybersicherheitsprobleme, über die Unternehmen und Privatpersonen Bescheid wissen sollten, um nicht das nächste Opfer zu werden.
Wenn Sie die Warnzeichen eines SMS-Spoofs übersehen, kann das weitreichende Folgen haben: Ein Spoofing-Angriff ist nicht nur unangenehm, sondern kann auch mit Identitätsdiebstahl, Ransomware und großen finanziellen Verlusten einhergehen. Vielleicht sind Sie sogar selbst unabsichtlich die Person im Unternehmen, die die Tür für einen weitreichenden Angriff auf Ihr Unternehmen (und seine Kunden) öffnet.
Spoofing kann Sie auch zu einem unwissenden Teilnehmer an einem Botnetz machen. Dabei ist Ihr Gerät eins von vielen infizierten Systemen, die Betrüger per Fernsteuerung zusammengeschleust haben, um so dieses Netz and Bots für bestimmte Aktionen zu missbrauchen.
Wenn Sie auf die Gefahren von SMS-Spoofing achten, tragen Sie nicht nur zum Schutz Ihrer persönlichen Daten sowie Ihres Unternehmens bei, sondern unterstützen auch die allgemeinen Bemühungen um die Cybersicherheit. Je besser Sie SMS-Spoofing ausmachen können, desto höher der Schutz. Im Folgenden erläutern wir darum genauer, was SMS-Spoofing genau ist und wie Sie es verhindern können.
Spoofing ist nicht auf SMS beschränkt. Es kann auch per E-Mail, über soziale Medien und sogar über gefälschte Online-Anzeigen geschehen. Spoofing beschreibt Situationen, in denen sich ein Cyberbetrüger als vertrauenswürdige Person oder Institution ausgibt, um Endbenutzer dazu zu bringen, etwas zu tun, was dem Hacker zunutze kommt, etwa auf einen Link klicken, eine Datei herunterladen oder einen Anhang öffnen.
Beim SMS-Spoofing erfolgt dieser Betrug entsprechend per SMS. Kern der kriminellen Masche ist es dabei, die Absender-Identität (Absender-ID) zu manipulieren. Eine Absender-ID ist der Name oder die Telefonnummer des Absenders, den Sie auf Ihrem Handy sehen, wenn Sie eine Nachricht bekommen.
Dabei kann es sich um eine unbekannte oder sogar um eine bekannte Nummer handeln. Betrüger betten häufig Links in diese gefälschten SMS-Nachrichten ein und fordern die Empfänger auf, für ein „Sonderangebot“ oder eine „dringende Mitteilung“ zu klicken. Häufig wird auch eine Versandbestätigung oder eine wichtige Nachricht über eine Bestellung als Thema gewählt. Schließlich ist die Chance hoch, dass Sie gerade wirklich auf ein Päckchen warten. Hier sehen Sie einige Beispiele vom Landeskriminalamt Niedersachsen, bei denen verschiedene Fake-SMS gezeigt werden.
Wenn Sie darauf hereinfallen, geben Sie den Betrügern möglicherweise Zugang zu wertvollen persönlichen Informationen oder laden Malware auf Ihr Gerät herunter, die später Probleme verursacht.
Neben SMS-Spoofing ist auch Phishing per SMS (Smishing) eine beliebte Masche von Internetbetrügern.
Beim Smishing liegt der Fokus überwiegend darauf, Nutzer dazu zu bringen auf bestimmte Links zu klicken oder gewisse Handlungen auszuführen. Spoofing konzentriert sich darauf, über eine gefälschte Absender-ID Vertrauen beim Endnutzer zu wecken. Diese Taktiken gehen aber oftmals Hand in Hand. So können gespoofte Nachrichten durchaus Smishing-Strategien enthalten, um die Botschaft der SMS glaubwürdiger wirken zu lassen.
Damit Sie SMS-Spoofing schneller erkennen können, werfen wir im Folgenden einen Blick darauf, wie die Masche genau funktioniert.
Bei einem Spoofing-Angriff verbirgt der Angreifer die wahre Identität der Person, die hinter einer Handlung steckt. Beim SMS-Spoofing findet der Betrüger einen Weg, den Anschein zu erwecken, dass seine Textnachricht von einer anderen Nummer oder Absender-ID stammt. Das sieht dann beim Empfänger (also bei Ihnen auf dem Gerät) so aussehen, dass die Nachricht von einem echten Unternehmen oder einer Ihnen bekannten Person stammt.
Achtung: Es kann durchaus auch vorkommen, dass die SMS wirklich von den Geräten des Unternehmens oder der bekannten Person stammt, wenn sich die Hacker bereits in diese Geräte eingeschleust haben.
Cyberkriminelle machen sich diese Mühe, weil ein bekannter Absender natürlich sofort für Vertrauen beim Empfänger sorgt. Wenn Sie eine SMS von einer bekannten Person erreichen, ist es wahrscheinlicher, dass Sie die Nachricht öffnen und auch einer Handlungsaufforderung darin folgen (auf einen Link klicken oder eine Handlung ausführen).
Genau darauf warten die Kriminellen aber nur. Denn sobald Sie das tun, haben Sie entweder sensible Informationen über sich selbst oder ihr Unternehmen preisgegeben oder eine Tür für Cyberangriffe und Malware-Attacken geöffnet. Und das kann Konsequenzen haben, nicht nur für Sie als Privatperson, sondern auch für Unternehmen.
Smishing, Phishing, Spoofing, Spamming – es gibt viele Möglichkeiten für Betrüger, Ihnen unter Ausnutzung digitaler Technologien Ärger zu bereiten. SMS- und Rufnummer-Spoofing ist nur eine davon. Die meisten davon verfolgen ein ähnliches Ziel: an Ihre sensiblen Daten gelangen und diese gegen Sie oder eine andere Person verwenden. Viele der Betrugsmethoden sind identisch, etwa gefälschte Rechnungen, gefälschte Versandmitteilungen oder der Versuch über Panikmache („IHR KONTO WURDE GESPERRT: Handeln Sie JETZT!“) unüberlegte Handlungen auszulösen.
SMS-Spoofing hat dabei einen entscheidenden Alleinstellungsmerkmal: das Verschleiern des Absenders. Kriminelle machen sich dabei die Mühe, die SMS so aussehen zu lassen, dass Sie von einem bekannten Sender kommt.
Das macht es schwieriger, den Betrug zu erkennen, und Sie können dies nur, indem Sie den Inhalt der Nachricht genau unter die Lupe nehmen. Würde Ihr Freund, Verwandter oder ihre Kollegin Ihnen das wirklich schicken?
Sie müssen also besonders wachsam sein, um eine gefälschte Nachricht zu erkennen.
Den folgenden Arten von SMS-Spoofing, beziehungsweise Telefone-Spoofing könnten Ihnen auf Ihrem Smartphone begegnen.
Bei unerwünschten Nachrichten denken die meisten zunächst an Spam-E-Mails. Doch es gibt auch Spam-SMS und diese Art von SMS-Spoofing-Angriff macht sich diese Tatsache zunutze. Dabei kann es sich um SMS zu einem beliebigen Thema handeln, die wie Werbe-SMS aussehen und in einigen Fällen unsinnig oder absurd erscheinen.
Oft enthalten SMS von einer gespooften Nummer auch Rechtschreibfehler. Nicht selten wird eine solche SMS an Millionen von Menschen versendet, doch die Betrüger sind bereits zufrieden, wenn nur eine Handvoll von ihnen auf den Link in der Nachricht klickt.
Beispiel: „Tolle Fotos von Prominenten bei Preisverleihungen. Klicken Sie hier, um mehr zu sehen.“
Belästigendes SMS-Spoofing kann viele Formen annehmen. Typischerweise erfolgt es, nachdem der Angreifer durch andere Cyberattacken bereits einige Ihrer Informationen erlangt hat.
Mit Ihren Kontaktinformationen und anderen Informationen über Ihr Privatleben kann er Ihnen nun mit einer peinlichen Bloßstellung oder anderen Folgen drohen, wenn Sie kein Lösegeld zahlen. Oder er lügt und bringt Sie dazu, Geld für einen vorgeschobenen Zweck zu schicken.
Beispiel: „Ihr Freund steckt in rechtlichen Schwierigkeiten und sammelt Geld für seine Verteidigung. Bitte schicken Sie Geld, um zu helfen.“
Diese Art von SMS-Spoofing zielt auf Mitarbeiter in meist größeren Unternehmen ab, die möglicherweise über wertvolle Kundendaten verfügen oder die Mittel haben, ein hohes Lösegeld zu zahlen, wenn die Betrüger die Kontrolle über die Unternehmensdaten erlangen können.
Wenn Sie auf Links in solchen Nachrichten klicken, merken Sie in der Regel noch nicht, dass etwas Schlimmes passiert ist, da die Hacker Malware von Ihrem Gerät auf andere Geräte innerhalb des Unternehmens übertragen. Sie werden zum „vertrauenswürdigen Absender“, mit dem Ihre Mitarbeiter in die Irre geführt werden.
Beispiel: „Unser System wurde aktualisiert. Bitte klicken Sie hier, um Ihr Passwort zurückzusetzen.“
In diesem Fall verspricht der Betrüger Geld, das angeblich auf das Konto des Opfers überwiesen werden soll. Dabei ist der Name des Absenders oft der einer Bank, von PayPal oder einem anderen bekannten Finanzinstitut oder -dienst und die Nachricht ähnelt einer üblichen Transaktions-SMS.
Ziel des SMS-Spoofers ist es, Zugang zu Ihren Kontoinformationen zu erhalten. Die Nachricht kann sich auf eine Cashback-Transaktion beziehen, die nie stattgefunden hat, gefälschte Preisgewinne oder Rückerstattungen, angebliche rechtliche Ausgleiche und Ähnliches mehr.
Beispiel: „Ihnen wurde bei Ihrem letzten Einkauf zu viel berechnet. Bitte beantragen Sie Ihre Erstattung, indem Sie auf diesen Link klicken.“
Betrüger wollen alle persönlichen Informationen über Sie, die sie bekommen können, etwa medizinische Daten, Kontoinformationen, Passwörter, Kreditkartennummern, Telefonnummern und mehr.
Mit diesen Daten können die Kriminellen sich als Sie ausgeben und auf diesem Weg Geld stehlen, zum Beispiel, indem die Betrüger mit Ihrer Kreditkarte bezahlen. Die Daten, die für diese Täuschungen benötigt werden, lassen sich per Spoof-SMS auf verschiedene Weise sammeln.
Beispiel: „Ihre Krankenversicherung muss erneuert werden. Klicken Sie hier, um Ihr Konto zu aktualisieren.“
Diese Arten von Spoofing können sowoh im eigenen Land als auch dann geschehen, wenn Sie auf einer Auslandsreise sind. In diesem Fall können Betrüger die International Mobile Subscriber Identity (IMSI) verwenden und Roaming-Gebühren ausnutzen, indem sie gefälschte SMS mit hohen Gebühren verschicken, sodass die Empfänger finanzielle Verluste erleiden, ohne es sofort zu merken.
Wie bereits erwähnt, können auch Unternehmen Opfer von Spoofing-Angriffen werden. Tatsächlich sind Firmen beliebte Ziele von Spoofing-Attacken, weil Betrüger hier besonders vielversprechende Daten vermuten.
Unternehmen sind auf verschiedene Weise durch SMS-Spoofing gefährdet. Das erste und am häufigsten thematisierte Risiko ist, dass Betrüger Zugang zu den Systemen und Kundendaten eines Unternehmens erlangen können, wenn ein Mitarbeiter auf einen bösartigen Link in einer gefälschten SMS klickt. Dies kann dazu führen, dass Kunden betrogen werden.
Oder der Betrüger könnte seinen Zugang nutzen, um Viren einzuschleusen und die gesamte digitale Infrastruktur eines Unternehmens zum Absturz zu bringen.
Ebenso kann der Angreifer Ransomware einschleusen und sensible Daten „entführen“. Diese nutzen Kriminelle dann als Druckmittel. Sie können etwa eine Zahlung dafür verlangen, dass das Unternehmen den Zugang zu seinen Daten wiedererlangt, oftmals auch mit dem Argument, dass dem Unternehmen mehr Kosten entstehen, wenn der Angreifer die Daten veröffentlicht.
Oft nutzen Betrüger die Kontaktinformationen von Mitarbeitern und Kunden, um weitere SMS-Spoofs an Millionen andere Personen zu senden und ihren potenziellen Opferkreis zu vergrößern. Dabei machen sie sich den guten Ruf der Marke und das Vertrauen in sie zunutze.
Dieses Vertrauen der Verbraucher können Unternehmen bei einem solchen Spoofing-Angriff verlieren. Dazu kommen der Aufwand und die Kosten für die Behebung interner Datenbankschäden und für die Folgen der Veröffentlichung vertraulicher Informationen über Mitarbeiter, Lieferanten oder Konkurrenten. All das kann langfristige, sehr teure Probleme verursachen.
Neben den realen Kosten durch die verlorene Zeit und Geld für die Schadensbegrenzung kann natürlich auch der Ruf des Unternehmens einen schweren Schlag erleiden. Wenn Kunden entscheiden, dass sie es sicherer finden, bei einem anderen Unternehmen zu kaufen, sinkt der Umsatz schnell.
Was können Sie tun, um sich und andere davor zu schützen, Opfer eines SMS-Spoofs zu werden?
Zunächst muss Ihr Unternehmen seinen Mitarbeitern beibringen, wie sie die Warnzeichen einer gefälschten SMS erkennen können. Wenn Sie allen Personen in Ihrem Einflussbereich genau erklären, was passieren könnte, sind sie besser auf diesen Fall vorbereitet und können eine gespoofte Nummer erkennen und die SMS löschen. Hier sind die wichtigsten Anzeichen dafür, dass es sich um eine gefälschte SMS handelt:
Das Wichtigste ist: Wenn Sie eine verdächtige SMS erhalten, halten Sie inne, denken Sie nach und prüfen Sie sie, bevor Sie handeln. Betrüger verlassen sich darauf, dass Sie die Warnzeichen nicht erkennen. Wenn die Nachricht also verdächtig aussieht, klicken Sie nicht auf Links und antworten Sie nicht. Wenn die SMS angeblich von Ihrem Unternehmen oder einem Mitarbeiter stammt, zeigen Sie sie einem Vorgesetzten oder fragen Sie bei der Person nach, die sie angeblich geschickt hat. Wenn sie von einem Verwandten oder Freund kommt, rufen Sie ihn an, um es zu bestätigen. Melden Sie verdächtige Nachrichten zudem der IT-Abteilung. Es ist gut möglich, dass Betrüger nicht nur Sie, sondern auch weitere Kollegen im Blick haben.
Für Unternehmen ist es wichtig, durchgehend verlässlich zu handeln. Kommunizieren Sie klar und deutlich, auf welche Weise Ihr Unternehmen niemals vorgehen wird, etwa dass es nie unaufgefordert Links zum Zurücksetzen von Passwörtern sendet oder Kontoinformationen per SMS anfordert. So fördern Sie ein einheitliches Handeln Ihrer Angestellten und stärken das Vertrauen Ihrer Kundschaft, die erwartet, dass Ihr Unternehmen für Sicherheit und Integrität sorgt.
Gleichzeitig muss Ihr Unternehmen wachsam bleiben und proaktiv gegen potenzielle SMS-Spoofing-Bedrohungen vorgehen. Da SMS-Spoofing auf größere Sicherheitslücken oder Sicherheitsvorfälle hindeuten kann, sollten Sie verdächtige Aktivitäten umgehend untersuchen und geeignete Maßnahmen zur Risikominderung ergreifen, gegebenenfalls in Zusammenarbeit mit Strafverfolgungsbehörden oder Cybersecurity-Experten.
Zusammengefasst gilt also: Ihr Unternehmen muss Aufklärung, einheitliches Handeln und proaktive Maßnahmen zur Priorität machen, um seine Widerstandsfähigkeit gegen SMS-Spoofing und andere Cyberbedrohungen zu verbessern und Vertrauen in seine Prozesse aufzubauen.
Achten Sie als Unternehmen darauf, dass Ihre Kunden leicht erkennen können, ob SMS von Ihnen stammen.
Hier sind einige Strategien, um dies zu erreichen:
Beim Thema SMS-Spoofing sitzen alle in einem Boot – Angestellte, Unternehmen, Kunden, Freunde und Verwandte. Alle können zum Opfer werden und jede Person, die über die Kontaktinformationen des Opfers verfügt, kann auf diesem Wege wiederum selbst das nächste Opfer werden.
Bleiben Sie daher stets informiert und vor allem wachsam!
Wenn Sie auf der Suche nach externen Ressourcen zum Thema Betrug sind, finden Sie hier einige gute Anlaufstellen:
Als führendes Unternehmen in unserem Sektor hat sich Sinch verpflichtet, die höchsten Standards für Transparenz, Verantwortlichkeit sowie Daten- und Verbraucherschutz einzuhalten. Alle Unternehmen, die Sinch nutzen, vertrauen darauf, dass wir die persönlichen Daten ihrer Kunden schützen. Um diese Erwartung erfüllen zu können, müssen wir innerhalb eines soliden Rechtsrahmens agieren, aktiv mit anderen in der Wertschöpfungskette zusammenarbeiten, um Best Practices zu fördern und zu unterstützen, und innovative Lösungen suchen, um Bedrohungen zu erkennen und zu verhindern.
Außerdem halten wir unsere Vertrauenskette so kurz wie möglich – mit über 600 direkten Betreiber-Verbindungen. Erfahren Sie mehr über unseren Kampf gegen Betrug per SMS und bleiben Sie informiert.
Autor/in:
