Cybersicherheit
Wie Hacker Ihre Abwehrkräfte abnutzen
Eine neue Betrugsmasche nutzt ständige, lästige Anfragen, um die Abwehrkräfte zu schwächen. Wer nachgibt, hat verloren.
Der iPhone-MFA-Bombenangriff
Das Ziel des iPhone MFA-Bombing-Angriffs besteht darin, die Opfer dazu zu bringen, einem Hacker die Kontrolle über ihr iCloud-Konto zu überlassen. Der Kriminelle kann dann auf iCloud-Dateien zugreifen, Geräte aus der Ferne deaktivieren und möglicherweise auf Zahlungsdaten und andere sensible Informationen zugreifen.
Der Angriff selbst funktioniert folgendermaßen:
- Der Angreifer besucht iCloud.com und versucht, sich in das Konto des Opfers einzuloggen.
- Apple sendet automatisch eine Benachrichtigung an das Telefon des Opfers mit der Frage, ob es sein iCloud-Passwort zurücksetzen möchte. Der Benutzer klickt in der Regel auf „Nicht zulassen“, um die Meldung zu löschen.
- Der Hacker setzt diesen Prozess fort, indem er Dutzende von lästigen Pop-ups erzeugt, in der Hoffnung, den Benutzer dazu zu bringen, auf „Zulassen“ zu klicken, um die Bombardierung zu beenden. Genau wie ein müdes Kleinkind, das kein Nein als Antwort akzeptiert.
Der Angriff endet jedoch nicht hier. In der Regel ruft ein Betrüger auch an und behauptet, von Apple zu sein und dem iPhone-Besitzer mitzuteilen, dass sein iCloud-Konto angegriffen wird. Um den Angriff zu beenden, muss der Benutzer nur auf „Zulassen“ klicken und dem Betreiber den einmaligen Verifizierungscode vorlesen.
Sobald jedoch das Einmalpasswort weitergegeben wurde, hat der Betrüger alles, was er braucht, um die Kontrolle zu übernehmen und das Opfer aus seinem eigenen iCloud-Konto auszusperren.
Ist der Angriff wirksam?
Zum Glück sind die Berichte über den iCloud-MFA-Bombardierungsangriff recht begrenzt. Um effektiv zu sein, müssen die Angreifer die E-Mail-Adresse und die Telefonnummer kennen, die mit der Apple ID verbunden sind.
Wer ständig Push-Benachrichtigungen erhält, in denen aufgefordert wird, das Kennwort zurückzusetzen, könnte ein Ziel sein. Und wie ein vorsichtiges Elternteil muss bei jeder unaufgeforderten Anfrage auf „Nicht zulassen“ geklickt werden. Außerdem sollte der Angriff bei den zuständigen Behörden (und Apple) gemeldet werden. Niemandem, der anruft, darf ein Einmalpasswort gegeben werden, egal wie überzeugend er klingt. Apple wird niemals am Telefon nach diesen Informationen fragen.
Wie immer gilt: Der beste Schutz vor dieser Art von Betrug ist, wachsam zu bleiben.