Die Bedrohungslandschaft im Bereich Social-Media-Sicherheit wird zunehmend professionalisiert. Cyberkriminelle haben erkannt, dass kompromittierte Business-Accounts auf Plattformen wie TikTok erheblichen Missbrauchspotenzial bieten. Die neue Kampagne nutzt ausgefeilte Social-Engineering-Techniken, um Opfer in die Falle zu locken.
Die Angriffsauslöser bestehen aus täuschend echten Phishing-E-Mails oder bösartigen Links, die Nutzer zu gefälschten Seiten führen. Diese impersonieren entweder TikTok for Business oder geben sich als Google Careers aus – einer Variante, die sogar ein Termin-Buchungsangebot einschließt, um zusätzliche Glaubwürdigkeit zu schaffen.
Das technische Novum dieser Kampagne ist die Umgehung von Cloudflare Turnstile. Der Sicherheitsdienst dient normalerweise dazu, automatisierte Scanner und Bots zu blockieren. Indem die Angreifer diese Schutzmaßnahme überwinden, können sie ihre bösartigen AitM-Phishing-Seiten vor Sicherheitsanalysen verbergen und gezielt Nutzer-Zugangsdaten abfangen.
Push Security weist darauf hin, dass TikTok historisch ein bevorzugtes Ziel für Cyberkriminelle ist. Über die Plattform wurden bereits mehrfach Malware-Varianten wie Vidar, StealC und Aura Stealer verbreitet – häufig getarnt als legitime Aktivierungsanleitungen für Windows, Spotify oder CapCut, unterstützt durch KI-generierte Videos.
Parallel zur TikTok-Kampagne beobachten Sicherheitsexperten von WatchGuard eine weitere Phishing-Welle, die SVG-Dateien (Scalable Vector Graphics) als Angriffsvektoren nutzt. Ziele befinden sich derzeit vorwiegend in Venezuela. Die Dateien sind als spanischsprachige Rechnungen, Quittungen oder Budgets getarnt. Beim Öffnen laden sie Malware herunter, die mit BianLian-Ransomware-Proben verknüpft ist.
Besonders raffiniert: Kriminelle nutzen den URL-Shortener ja.cat in Kombination mit legitimen Domains, die Umleitungssicherheitslücken aufweisen, um ihre echten Malware-Quellen zu verschleiern.
Für deutsche Nutzer und Unternehmen bedeutet dies eine verstärkte Wachsamkeit beim Umgang mit E-Mail-Anhängen und verdächtigen Links – insbesondere bei vermeintlich harmlosen Dateitypen wie SVG-Dateien.