Betrüger kennen kein Januarloch. Auch in den ersten Tagen und Wochen des neuen Jahres werden Schweizerinnen und Schweizer massenhaft mit Phishing-Textnachrichten belästigt. Bei der aktuellen Smishing-Kampagne (Phishing per SMS) werden die Textnachrichten im Namen der Post verschickt. Sie sehen beispielsweise so aus.
Wir haben Security-Experte Daniel Stirnimann von Switch, das Bundesamt für Cybersicherheit, die Kantonspolizei Zürich, die Post sowie Swisscom gebeten, die drängendsten Fragen zu dieser massiven Smishing-Welle zu beantworten.
Weil die Adresse unvollständig sei, könnte die Sendung nicht zugestellt werden. Man soll daher die Adresse aktualisieren, heisst es in der Fake-Nachricht im Namen der Post. Der Link führt auf eine perfekt gemachte Kopie der Post-Webseite. Dort soll man seine Adresse inklusive E-Mail-Adresse und Telefonnummer aktualisieren. Für die erneute Zustellung werde eine Servicegebühr von 0.27 Franken fällig. Diese könne man bequem online per Kreditkarte bezahlen.
Die Kriminellen haben es auf die persönlichen Daten sowie die Kreditkartendaten abgesehen, um sich unrechtmässig zu bereichern. «Die Daten werden meistens für Käufe eingesetzt, können aber auch für Abo-Fallen verwendet werden», sagt die Kantonspolizei Zürich.
«Die Kriminellen hinter diesen Kampagnen sind unter dem Namen ‹Roaming Mantis› bekannt. Eine Gruppierung aus Asien, die neben asiatischen Ländern seit 2019 vermehrt auch diverse europäische Länder im Visier hat», sagt Security-Experte Daniel Stirnimann von der Stiftung Switch, die für den Betrieb und die Sicherheit der Schweizer Internetadressen verantwortlich ist.
Die Gruppe hat bei uns bereits im Juni 2019 im Namen der Schweizerischen Post Apple-ID-Phishing betrieben. Die Kriminellen kauften mit den ergaunerten Daten von Apple-Usern vor allem iTunes-Gutscheine auf Kosten der Opfer.
«Seit November 2022 haben wir Roaming Mantis praktisch nicht mehr in der Schweiz beobachtet», sagt Stirnimann. Sehr geholfen habe, dass Swisscom im März 2022 einen SMS-Filter einführte. Sunrise und Salt zogen nach.
Seit ungefähr August 2023 sei Roaming Mantis wieder aktiv in der Schweiz, seither vor allem mit Kreditkarten-Phishing. Die Kriminellen haben einen Weg gefunden, den SMS-Filter zu umgehen, wie wir bei den Antworten 6 und 7 sehen werden.
Nein.
Nein, das Öffnen der Phishing-Webseite an sich ist nicht gefährlich. Es gibt laut Switch und den IT-Spezialisten der Post keine Hinweise, dass die Kriminellen nebst dem Adressen- und Kreditkarten-Phishing versuchen, den potenziellen Opfern eine Schadsoftware unterzujubeln.
Selbstverständlich sollte man verdächtige Links trotzdem nie anklicken und insbesondere keine Apps installieren, die über Links in Chat-Nachrichten verschickt werden. Bereits 2019 versuchten die gleichen Kriminellen Android-User zur Installation einer schädlichen App zu verleiten. Gelang dies, wurden die Kontaktdaten gestohlen und die Mobilgeräte für den weiteren SMS-Versand missbraucht.
Tobias Lang, Mediensprecher der Post, schreibt auf Anfrage:
In diesem Beispiel dürfte die SMS mit dem verdächtigen Absender +84 von einem infizierten Smartphone eines anderen Opfers der kriminellen Bande Roaming Mantis stammen, vermutet Stirnimann. Diese Person weiss vermutlich nicht, dass ihr Handy für den Phishing-Betrug missbraucht wird.
Aber nicht immer machen es uns die Betrüger so einfach: Bei Phishing-SMS lässt sich der Name des Absenders mit Web-Tools faken – entsprechend glaubwürdiger wirken die Nachrichten.
Wichtig: Ganz grundsätzlich «fragt die Post ihre Kundinnen und Kunden nie per E-Mail, SMS oder Telefon nach persönlichen Sicherheitselementen wie Passwörtern oder Kreditkartenangaben», stellt Mediensprecher Lang klar.
Betrugsversuche sind oft daran zu erkennen, dass die Kriminellen ihre Opfer mit einem knappen Zeitlimit unter Druck setzen. Man müsse z. B. innert 12 Stunden handeln, sonst werde das Paket zurückgeschickt.
Swisscom, Sunrise und Salt nutzen SMS-Filter gegen betrügerische Phishing-SMS. «SMS mit Links werden automatisiert und anonymisiert mit einer Blacklist gefährlicher URLs abgeglichen», erklärt eine Swisscom-Mediensprecherin. SMS mit gefährlichen Links werden anschliessend blockiert. Dies scheine «gut zu funktionieren», sagt Security-Experte Stirnimann. Ansonsten würden noch weit mehr gefährliche SMS auf unseren Handys landen.
Das Problem: Die Kriminellen umgehen die SMS-Spamfilter der Mobilfunkprovider immer öfter. Hierzu versenden sie statt SMS neuerdings iMessage-Nachrichten an iPhone-User oder RCS-Nachrichten – quasi der Nachfolger der SMS – an Android-Smartphones.
Diese moderneren und von Apple und Google gepushten Textnachrichten werden von Swisscom und Co. nicht gefiltert. Die Kriminellen haben folglich auf iMessage und RCS umgesattelt, «weil sie realisiert haben, dass die Schweiz das grossflächig unterstützt, es aber dafür keinen Spam-Filter gibt», erklärt Stirnimann.
Der SMS-Filter der Mobilfunkprovider greift bei der neuen Phishing-Kampagne nicht. Textnachrichten wie «RCS und iMessage, aber auch WhatsApp und Co. kann Swisscom nicht filtern. Dies können nur die jeweiligen Dienstanbieter übernehmen», sagt der grösste Schweizer Mobilfunkanbieter. Swisscom spielt den Ball also Google, Apple und Meta zu.
Anders als bei den alten, unverschlüsselten SMS-Nachrichten sehen die Mobilfunkprovider den Inhalt von verschlüsselten WhatsApp- oder iMessage-Nachrichten nicht und können sie deshalb nicht blockieren. Der Inhalt kann folglich erst auf dem Endgerät von der jeweiligen Chat-App von Apple, Meta etc. auf Phishing analysiert werden.
Google versucht betrügerische Chatnachrichten daher direkt auf dem Smartphone zu blockieren. Das funktioniert umso besser, je schneller die Phishing-Nachrichten von den Betroffenen gemeldet werden.
Machtlos gegen Phishing sind Google und Apple also auch bei verschlüsselten Nachrichten nicht. Wichtig ist, dass die Chat-Apps einen Spam-Schutz integriert haben. «Meistens kann man verdächtige Nachrichten als solche markieren und zurückmelden», sagt Stirnimann.
Bei RCS-Nachrichten, gewissermassen dem SMS-Nachfolger, sei die Ende-zu-Ende-Verschlüsselung zudem «standardmässig inaktiv», sagt der Sicherheits-Experte. «Hier, denke ich, können sowohl Apple, Google und die Mobilprovider etwas unternehmen», sprich Spam-RCS-Nachrichten abfangen, bevor sie auf dem Handy eintreffen. Swisscom sagt jedoch, dass man RCS nicht mehr unterstütze. «Wir sehen den Traffic darum nicht und können ihn deshalb nicht filtern. Es gibt darum aktuell keine Pläne für eine solche Filterlösung.»
«Man muss in erster Linie gut prüfen, ob die Telefonnummer des Absenders Sinn macht, die Sprache richtig ist und ob ein valider Absendername draufsteht», antwortet die Post. Besonders wichtig: «Links unbedingt überprüfen, bevor man draufklickt.» Sicherheits-Experte Stirnimann hat dafür einen Tipp:
Wer auf Nummer sicher gehen will, ruft die Webseite der Post oder des jeweiligen Paketdienstes im Browser direkt auf, um die Sendungsverfolgung einzugeben und den Status des Paketes zu prüfen.
Alternativ kann man einen zugesandten Link mit der Webseite CheckShortURL testen. Diese zeigt an, zu welcher Webseite man weitergeleitet würde, wenn man den meist kryptischen Short-Link anklickt. Erkennen lässt sich der Betrugsversuch daran, dass der hinterlegte Link nicht auf post.ch führt, sondern auf Webseiten wie chpost24.top/ch.
Beim kleinsten Verdacht gilt: «Empfängerinnen und Empfänger von solchen SMS sollten den darin angegebenen Link nicht anklicken und niemals Aufforderungen nachkommen, eine Fernwartungssoftware zu installieren», schreibt das Bundesamt für Cybersicherheit BACS.
Die Post rät ihren Kundinnen und Kunden, wenn eine Nachricht verdächtig erscheint, sich an den Kundendienst (Contact Center 0848 888 888) zu wenden oder sich auf der Website der Post zu informieren.
Zudem hilft eine Meldung an das Nationale Zentrum für Cybersicherheit (reports@antiphishing.ch), damit Phishing-Seiten schneller vom Netz genommen werden können.
«In der Regel werden die Nummern zufällig ausgewählt, allenfalls stammen sie auch aus Datenleaks», heisst es bei der KAPO Zürich. Auch die Post geht davon aus, dass die Kriminellen die Handynummern auf Online-Telefonverzeichnissen abgrasen oder im Darknet günstig kaufen.
Eventuell stammen die Nummern auch aus früheren Malware-Kampagnen, «wo sie auf infizierten Android-Geräten die Adressbücher gestohlen hatten», vermutet Stirnimann.
Allerding müssen die Kriminellen die Nummern nicht zwingend stehlen oder kaufen. Mit einer simplen Excel-Formel lassen sich beliebig viele, potenzielle Handy-Nummern von z. B. Swisscom-Kunden erstellen.
Phishing-Angriffe laufen grösstenteils automatisiert ab. Laut Kapo Zürich werden «Hunderte Personen gleichzeitig angeschrieben, damit die Erfolgsquote höher ausfällt». Das Bundesamt für Cybersicherheit BACS schreibt auf Anfrage: «Solange auch nur ein Bruchteil der angeschriebenen Personen den Angriff nicht erkennt, lohnt sich dies für die Angreifer. Denn der Versand von SMS ist relativ kostengünstig, sodass der ‹Return on Investment› relativ schnell erreicht sein dürfte.»
Kommt hinzu: Sofern die Kriminellen die SMS über zuvor infizierte Smartphones verschicken, fallen für sie gar keine Kosten an.
«Ausserdem machen es sich die Angreifer zunutze, dass seit der Pandemie viele Personen zu Online-Bestellungen übergegangen sind. Die Wahrscheinlichkeit ist also relativ gross, dass die eine oder andere Person, die eine solche SMS erhält, tatsächlich auf eine Lieferung der Post wartet», so das BACS.
Sei die Phishing-Website wie in der aktuellen Kampagne gut gemacht, «erhöht sich die Chance für die Angreifer, dass einige Empfängerinnen und Empfänger den Betrugsversuch nicht als solchen erkennen».
«Für den Massenversand der SMS werden sogenannte SMS-Gateways (Software oder Hardware) verwendet», erklärt die KAPO Zürich. Diese erlauben über Web-Anwendungen den grossflächigen Versand von Phishing-SMS aus dem Ausland.
Die Phishing-Betrüger legen sich also bei den Anbietern solcher SMS-Dienste einen Account an und können mit sogenannten Large Accounts ohne grosse Kosten mit einem Klick Tausende Schweizer Handynummern erreichen. SMS-Gateway-Anbieter verlangen im Darknet aktuell knapp 0,004 Franken für den Versand einer Phishing-SMS.
«Hier hilft der SMS-Filter massiv und ist ein wirksames Instrument, um Kunden vor Betrugs- und Spam-SMS zu schützen», schreibt Swisscom. Wie bei Punkt 6 und 7 erklärt, hilft der Filter jedoch nur, wenn die Betrüger tatsächlich SMS versenden, und eben nicht RCS-Nachrichten, iMessage, WhatsApp etc.
Der Kampf gegen Phishing ist ein Katz-und-Maus-Spiel und Polizei und Behörden hinken den Kriminellen stets einen Schritt hinterher. «Bei entsprechenden Meldungen auf Cybercrimepolice.ch ersuchen wir bei den ausländischen Hostern und Registraren um Sperrung der betrügerischen Domain hinter dem Link», sagt die Kapo Zürich. Doch wird eine Phishing-Webseite gesperrt, bringt die Täterschaft postwendend eine neue online.
Grundsätzlich gilt: «Wenn niemand die Phishing-URL meldet, dann wird sie auch nicht blockiert», sagt Stirnimann von Switch. «Bei den aktuellen Gegenmassnahmen schätze ich, dass die Kriminellen mit circa drei Phishing-Seiten pro Tag auskommen. Wären wir schneller im Blockieren, würden sie die Zahl erhöhen.»
Auch «Swisscom sperrt ihr bekannte betrügerische Webseiten regelmässig für ihre Kunden und arbeitet hierzu eng mit den Behörden zusammen», teilt das Unternehmen mit. Zudem sei der SMS-Filter auch in Zeiten von WhatsApp, iMessage und RCS-Nachrichten «sehr wichtig im Kampf gegen Spam und Phishing, denn SMS funktioniert unabhängig vom Endgerät und damit ist es viel einfacher für Spammer und Betrüger, viele Nutzer zu erreichen». Man stelle aber fest, «dass wenn wir eine Türe schliessen, die Spammer und Betrüger eine neue suchen und ihre Vorgehensweise laufend anpassen».
Zu einem gewissen Grad sicher. «Neben den bekannten Betrugsversuchen via E-Mail (z. B. Phishing) sehen wir einen Anstieg von betrügerischen SMS seit ungefähr zwei Jahren – dies scheint ein weltweiter Trend zu sein», schreibt Swisscom.
Dafür gibt es mehrere Gründe: Phishing-Kampagnen per SMS (Smishing) sind ohne grosses Know-how durchführbar und günstig (siehe Punkt 9). Gleichzeitig können die Betrüger mit WhatsApp, iMessage oder RCS-Nachrichten die bisherigen SMS-Filter umgehen und mit KI-Tools beliebige Variationen von Textnachrichten und Fake-Webseiten in diversen Sprachen schnell und fehlerfrei erstellen.
Dies bestätigen auch die beim Bundesamt für Cybersicherheit BACS eingehenden Meldungen. So erhielt das BACS 2023 9359 Meldungen zu Phishing, was einem wöchentlichen Durchschnitt von 180 Meldungen entspricht – Tendenz steigend.
Nebst allen Zeichen, die auf Spam hinweisen, machen die Nachrichten selbst schon keinen Sinn.
Beim die eigene Partnerin darauf Sensibilisieren Versuchen von ihr die Antwort zu erhalten, ich sei überängstlich, neurotisch und sähe nur das Schlechte im Menschen, lässt mich jedoch zum Schluss gelangen, dass Sie damit die Zielgruppe der wirklich Gefährdeten gar nicht erreichen.