Was ist Smishing (SMS-Phishing)?

Betrüger können sich als die Bank des Opfers ausgeben, um ein vermeintliches Problem mit dem Konto zu melden, oft durch eine gefälschte Benachrichtigung, die dem Format und Wortlaut einer echten Benachrichtigung ähnelt. Wenn das Opfer auf den Link klickt, wird es auf eine gefälschte Website oder App weitergeleitet, die vertrauliche Finanzinformationen wie PINs, Zugangsdaten, Passwörter und Bankkonto- oder Kreditkarteninformationen stiehlt.  

Nach Angaben der Federal Trade Commission (FTC) ist das Vortäuschen einer Bankverbindung der häufigste SMS-Betrug und macht 10 % aller Smishing-Nachrichten aus^.4

Betrüger können sich als Polizeibeamte, Finanzbeamte oder andere Behördenvertreter ausgeben. In diesen Smishing-Texten wird oft behauptet, dass das Opfer eine Geldstrafe zahlen oder sofort handeln müsse, um eine staatliche Leistung zu erhalten.

So warnte das Federal Bureau of Investigation (FBI) im April 2024 vor einem Smishing-Betrug, der auf US-Fahrer abzielt^.5 Die Betrüger versenden Textnachrichten, die vorgeben, von Mauteinzugsunternehmen zu stammen, und behaupten, dass die Zielperson unbezahlte Mautgebühren schuldet. Die Nachrichten enthalten einen Link zu einer gefälschten Website, die das Geld und die Informationen der Opfer stiehlt.

Angreifer geben sich als Kundenbetreuer bei vertrauenswürdigen Marken und Einzelhändlern wie Amazon, Microsoft oder sogar dem Mobilfunkanbieter des Opfers aus. In der Regel wird dabei behauptet, dass ein Problem mit dem Konto des Opfers oder eine nicht verfügbare Belohnung oder Rückerstattung vorliegt. Normalerweise leiten diese SMS das Opfer auf eine gefälschte Website, die der echten Website täuschend ähnlich sieht, um dann deren Kreditkartennummern, Bankdaten oder Kontodetails zu stehlen.

Diese Smishing-Nachrichten stammen angeblich von Versandunternehmen wie DHL, Hermes oder der Deutschen Post. Darin wird dem Opfer mitgeteilt, dass es ein Problem bei der Zustellung eines Pakets gab, und es wird aufgefordert, eine „Paketgebühr“ oder sich bei seinem Konto anzumelden, um das Problem zu beheben. Dann nehmen die Betrüger das Geld oder die Kontoinformationen und machen sich davon. Auch werden Menschen aufgefordert, eine angebliche Tracking-App herunterzuladen, bei der es sich in Wahrheit um gefährliche Malware handelt. 

Bei der Kompromittierung geschäftlicher Textnachrichten (ähnlich der Kompromittierung geschäftlicher E-Mails, nur eben per SMS) geben Hacker vor, ein Chef, Mitarbeiter, Kollege, Lieferant oder Anwalt zu sein, der Hilfe bei einer dringenden Aufgabe benötigt. Diese Betrugsmaschen verlangen häufig ein sofortiges Handeln und enden damit, dass das Opfer Geld an die Hacker sendet.

Betrüger senden eine Nachricht, die offenbar für eine andere Person als das Opfer bestimmt ist. Wenn das Opfer den Betrüger auf den „Fehler“ hinweist, beginnt dieser ein Gespräch mit dem Opfer.

Diese Betrügereien mit angeblich falschen Telefonnummern sind in der Regel auf lange Sicht angelegt. Der Betrüger versucht, die Freundschaft und das Vertrauen des Opfers durch wiederholten Kontakt über Monate oder sogar Jahre zu gewinnen. Der Betrüger könnte sogar vorgeben, romantische Gefühle für das Opfer zu entwickeln. Das Ziel ist es, das Geld des Opfers durch eine betrügerische Investitionsmöglichkeit, eine Kreditanfrage oder eine ähnliche Geschichte zu stehlen.

Bei diesem Betrug, der als Multi-Faktor-Authentifizierungs-Betrug (MFA-Betrug) bezeichnet wird, versucht ein Hacker, der bereits über den Benutzernamen und das Passwort des Opfers verfügt, den Verifizierungscode oder das Einmalpasswort zu erlangen, das für den Zugriff auf das Konto des Opfers erforderlich ist.

Dafür gibt sich ein Hacker beispielsweise als einer der Freunde des Opfers aus und behauptet, aus seinem Instagram- oder Facebook-Konto ausgesperrt worden zu sein. Daraufhin bittet er das Opfer, einen Code für ihn zu empfangen. Das Opfer erhält einen MFA-Code – der eigentlich für sein eigenes Konto bestimmt ist – und gibt ihn an den Hacker weiter, der daraufhin sein Konto übernimmt.

Einige Smishing-Betrügereien verleiten Opfer zum Herunterladen scheinbar legitimer Apps – z. B. Dateimanager, digitale Zahlungs-Apps oder sogar Antiviren-Apps –, bei denen es sich in Wirklichkeit um Malware oder Ransomware handelt. 

Die Betriebssysteme Android und iOS verfügen über integrierte Schutzfunktionen und Optionen zum Blockieren nicht genehmigter Apps und zum Filtern verdächtiger Texte in einen Spamordner.  

Auf organisatorischer Ebene können Unternehmen Unified Endpoint Management (UEM)-Lösungen und Tools zur Betrugserkennung nutzen, um mobile Sicherheitskontrollen einzurichten, Sicherheitsrichtlinien durchzusetzen und böswillige Aktivitäten abzufangen.  

Unternehmen können mehr Betrugsfälle stoppen, indem sie ihre Mitarbeiter darin schulen, die Warnzeichen für Cyberangriffe und Smishing-Versuche zu erkennen, z. B. ungewöhnliche Telefonnummern, unbekannte Absender, unerwartete URLs und ein erhöhtes Gefühl der Dringlichkeit.

Viele Unternehmen nutzen Smishing-Simulationen, um Mitarbeitern dabei zu helfen, neue Fähigkeiten im Bereich der Cybersicherheit zu üben. Diese Simulationen können Sicherheitsteams auch dabei helfen, Schwachstellen in Computersystemen und Unternehmensrichtlinien aufzudecken, die das Unternehmen auf Betrug anfällig machen.  

Unternehmen können diese Schwachstellen beheben, indem sie Tools zur Bedrohungserkennung mit Richtlinien für den Umgang mit sensiblen Daten, die Autorisierung von Zahlungen und die Überprüfung von Anfragen kombinieren, bevor sie darauf reagieren.