Die Warnung des FBI stellt einen Meilenstein bei der Verfolgung dieser Angriffskampagnen dar. Zum ersten Mal wird eine staatliche US-Behörde öffentlich konkrete Verbindungen zwischen den Phishing-Angriffen und russischen Geheimdiensten. Dabei handelt es sich nicht um vage Vermutungen, sondern um eine fundierte Analyse, die mit den vorangegangenen Warnungen der niederländischen und französischen Behörden korrespondiert.
Die Angriffsmethode ist bemerkenswert simpel, aber effektiv: Statt technische Schwachstellen auszunutzen, setzen die Angreifer auf Social Engineering. Opfer erhalten gefälschte Nachrichten, die scheinbar von Platform-Support-Teams stammen. Diese Nachrichten fordern die Benutzer auf, Verifikationscodes zu teilen oder QR-Codes zu scannen. Auf diese Weise können Angreifer das Konto mit ihren Geräten verlinken oder zusätzliche Geräte hinzufügen – eine Technik, die Signal und WhatsApp eigentlich für legitime Zwecke ermöglichen.
Sobald die Angreifer Zugriff erlangen, können sie alle privaten Nachrichten lesen, Kontaktlisten einsehen und sich als das Opfer ausgeben. Besonders tückisch: Sie können unbemerkt in Gruppenchats teilnehmen und Nachrichten versenden, was die Erkennung des Missbrauchs erheblich erschwert. Von dieser Basis aus starten sie weitere Phishing-Kampagnen gegen die Kontakte des Opfers – nun mit deutlich erhöhter Glaubwürdigkeit, da die Nachrichten von einem bekannten Kontakt stammen.
Wichtig zu betonen ist: Die Verschlüsselung selbst ist nicht gebrochen worden. Signal und WhatsApp haben keine technischen Sicherheitslücken offenbart, die ausgenutzt werden. Das Problem liegt rein bei der menschlichen Schwachstelle – der Bereitschaft, Codes zu teilen oder Geräte zu verbinden.
Die deutsche Cybersicherheitslandschaft sollte diese Warnung ernst nehmen. Bereits im September 2024 warnte das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor ähnlichen Account-Hijacking-Angriffen. Zielgruppen sind typischerweise Personen in sensiblen Positionen: Regierungsbeamte, Diplomaten, Sicherheitsfachleute und Journalisten.
Für Nutzer gilt klare Prävention: Niemals Verifikationscodes teilen, auch nicht mit vermeintlichen Support-Mitarbeitern. Unerwartete Aufforderungen zum Scannen von QR-Codes ablehnen. Die Zwei-Faktor-Authentifizierung aktivieren und regelmäßig überprüfen, welche Geräte mit dem Konto verbunden sind. Diese einfachen Maßnahmen können einen großen Unterschied machen.