Jeder mit einem Gmail-Konto wird in Alarmbereitschaft versetzt und muss sechs neue Regeln befolgen

Die meisten E-Mail-Nutzer sind sich der Betrugsmaschen und Angriffe bewusst, die täglich in ihren Postfächern landen. Google erkennt betrügerische Nachrichten mittlerweile so gut, dass die meisten davon sofort gefiltert werden, lange bevor sie Kundenkonten erreichen. Dennoch scheint es jetzt nicht ratsam zu sein, sich auf seinen Lorbeeren auszuruhen. Hackern ist es kürzlich gelungen, einen Cyberangriff durchzuführen, der die Multi-Faktor-Authentifizierung von Google umgeht.

Das bedeutet, dass Cyberkriminelle vollen Zugriff auf Konten erhalten könnten, ohne dass der Eigentümer jemals etwas davon mitbekommt.

Der neue Angriff wurde von Sicherheitsforschern der Google Threat Intelligence Group entdeckt, die bestätigten, dass bereits gezielte Angriffe stattgefunden haben.

Google-Konten sind in der Regel sehr sicher. Nutzer müssen mehrere Methoden verwenden, um auf Dienste wie Gmail zuzugreifen. Dazu gehört oft die Zwei-Faktor-Authentifizierung, bei der eine Nachricht an ein zweites Gerät gesendet wird, bevor die Anmeldung gestattet wird.

Doch anscheinend haben russische Cyberkriminelle einen Weg gefunden, es auf ältere Telefone und andere Geräte abgesehen zu haben, die diesen zusätzlichen Verifizierungsschritt nicht bewältigen können.

Google bietet sogenannte App-Passwörter an. Dabei handelt es sich um spezielle 16-stellige Codes, die dazu dienen, weniger moderne Geräte zu schützen.

Da bei App-Passwörtern jedoch der zweite Überprüfungsschritt übersprungen wird, können Hacker sie leichter stehlen oder per Phishing abgreifen.

Laut Malwarebytes nutzten die Betrüger diese Methode, um prominente Akademiker und Russlandkritiker ins Visier zu nehmen.

„Die Angreifer nahmen zunächst Kontakt auf, indem sie sich als Vertreter des Außenministeriums ausgaben und das Ziel zu einer Beratung im Rahmen eines privaten Online-Gesprächs einluden“, erklärte Malewarebytes.

„Während das Ziel glaubt, dass es ein App-Passwort erstellt und weitergibt, um auf sichere Weise auf eine Plattform des Außenministeriums zuzugreifen, gewährt es dem Angreifer tatsächlich vollen Zugriff auf sein Google-Konto.“

Obwohl es sich um einen sehr gezielten Angriff handelte, bedeutet das nicht, dass nicht als Nächstes die Allgemeinheit betroffen sein könnte.

„Da diese Umgehung nun bekannt ist, können wir in Zukunft mit mehr Social-Engineering-Angriffen rechnen, bei denen app-spezifische Passwörter ausgenutzt werden“, warnte Malwarebytes.

Wenn Sie über diesen neuen Angriff besorgt sind, haben Sicherheitsexperten Ratschläge herausgegeben, wie Sie sich schützen können.

• Verwenden Sie App-Passwörter nur, wenn es unbedingt nötig ist. Wenn Sie die Möglichkeit haben, auf Apps und Geräte umzusteigen, die sicherere Anmeldemethoden unterstützen, nutzen Sie diese Möglichkeit.

• Die Empfehlung, MFA zu aktivieren, bleibt weiterhin bestehen, aber nicht alle MFA sind gleich. Authentifizierungs-Apps (wie Google Authenticator) oder Hardware-Sicherheitsschlüssel (FIDO2/WebAuthn) sind widerstandsfähiger gegen Angriffe als SMS-basierte Codes, ganz zu schweigen von App-Passwörtern.

• Informieren Sie sich und andere regelmäßig über das Erkennen von Phishing-Versuchen. Angreifer umgehen MFA häufig, indem sie Benutzer durch Phishing dazu verleiten, Anmeldeinformationen oder App-Passwörter preiszugeben.

• Achten Sie auf ungewöhnliche Anmeldeversuche oder verdächtiges Verhalten, beispielsweise Anmeldungen von unbekannten Standorten oder Geräten. Und beschränken Sie diese Anmeldungen, wenn möglich.

• Aktualisieren Sie Ihr Betriebssystem und die von Ihnen genutzten Apps regelmäßig, um Schwachstellen zu beheben, die Angreifer ausnutzen könnten. Aktivieren Sie nach Möglichkeit automatische Updates, damit Sie nicht selbst daran denken müssen.

• Verwenden Sie Sicherheitssoftware, die bösartige Domänen blockieren und Betrug erkennen kann.