Facebook Business – groß angelegte Phishing-Kampagne seit 20. Dezember 2024

Im schlimmsten Fall kann sich ein Phishing-Opfer nicht mehr in sein eigenes Konto einwählen

[datensicherheit.de, 02.03.2025] Laut einer Stellungnahme von Dr. Martin J. Krämer, „Security Awareness Advocate“ bei KnowBe4, vom 19. Februar 2025 haben vor Kurzem Cyber-Sicherheitsforscher der Öffentlichkeit im Blog-Beitrag „New Facebook Copyright Infringement Phishing Campaign“ (s.u.) eine neue, groß angelegte Phishing-Kampagne vorgestellt, welche auf „Facebook Business“-Nutzer abzielt: „Seit dem 20. Dezember 2024, so die Forscher, wurden mehrere tausend E-Mails mit Benachrichtigungen über angebliche Urheberrechtsverletzungen, an Mitarbeiter von Unternehmen mit ,Facebook Business’-Account versandt.“ Mehr als 12.000 Opfer seien bislang ausgemacht worden – beheimatet fast ausnahmslos in den USA (45,0%), der EU (45,5%) und Australien (9,5%). Da auch Vorlagen für Phishing-E-Mails in chinesischer und arabischer Sprache existierten, sei aber auch ein deutlich größerer Opferkreis denkbar.

Foto: KnowBe4

Dr. Martin J. Krämer empfiehlt Unternehmen, die unzähligen ihnen innewohnenden „Human Risks“ im Blick zu behalten und bestmöglich zu managen

Ein Link leitet das Opfer zu einer als „Facebook“-Support getarnten Webseite weiter

Für den Versand ihrer E-Mails nutzten die Angreifer den automatisierten E-Mail-Marketing-Service von „Salesforce“ – ganz legitim, ohne gegen die Nutzungsbedingungen oder die Sicherheitssysteme des Dienstes zu verstoßen. Da sie die Absender-ID nicht änderten, würden ihre E-Mails mit der Adresse „noreply [at] salesforce [dot] com“ gebrandet. „Ihren Opfern – und deren Sicherheitssystemen – erscheinen die Absender so absolut legitim und seriös“, warnt Dr. Krämer.

Er führt weiter aus: „Anders wahrscheinlich – in vielen Fällen – die Aufmachung der E-Mails. Den Kopf der Benachrichtigung ziert ein Fake-,Facebook’-Logo – in unzähligen Varianten, einige schlechter, andere besser gestaltet. Der E-Mail-Text dagegen, klingt dann wieder serös.“ Dem Opfer werde erklärt, dass sein Unternehmen auf „Facebook Business“ eine Urheberrechtsverletzung begangen habe. Es folge die Aufforderung, einen Link anzuklicken.

„Der Link leitet das Opfer dann zu einer Phishing-Webseite, getarnt als ,Facebook’-Supportseite, weiter.“ Dort werde es dazu aufgefordert, für eine Überprüfung seines Kontos seine Anmeldedaten einzugeben – ansonsten müsse Facebook das Unternehmens-Konto löschen.

Angriffskampagne auf „Facebook Business“ reiht sich ein in die zahlreichen Phishing-Attacken vergangener Jahre

„Haben sich die Cyber-Kriminellen in den Besitz der ,Credentials’ gebracht, ist es ihnen ein Leichtes, sich Zugang zum ,Facebook’-Unternehmenskonto zu verschaffen und – im schlimmsten Fall – die Kontrolle über die Seite zu übernehmen.“ Die Angreifer könnten dann etwa Inhalte löschen oder ändern, Nachrichten manipulieren oder auch Änderungen an den Sicherheitseinstellungen vornehmen. Im schlimmsten Fall könne sich das Opfer dann nicht mehr in sein eigenes Konto einwählen. Die möglichen Folgen seien ein Stillstand des Online-Vertriebs und Vertrauensverluste bei Partnern, Zulieferern und Kunden.

Diese Attacke auf „Facebook Business“ reihe sich ein in die zahlreichen Phishing-Angriffskampagnen der vergangenen Jahre, welche es auf die „Credentials“ von Business-Plattformen abgesehen hätten. „Erinnert sei hier nur an die unzähligen Kampagnen der letzten Monate, die ,LinkedIn’- und ,Xing’-Accounts zum Gegenstand hatten.“

Unternehmen aller Branchen – auch und gerade die kleinen und mittleren – könne nur geraten werden, hier möglichst rasch gegenzusteuern, ihr Human-Risk-Management besser in den Blick und in den Griff zu bekommen. „Denn nach wie vor stellen gestohlene Anmeldedaten das Einfallstor Nr. 1 eines jeden erfolgreichen Cyber-Angriffs dar!“, so Dr. Krämer.

Moderne Anti-Phishing-E-Mail-Lösungen kombinieren KI mit Crowdsourcing

Die eigenen Mitarbeiter, wie in den vergangenen Jahren in vielen Unternehmen nur allzu häufig geschehen, von Zeit zu Zeit einem Phishing-Trainingkurs zu unterziehen, genüge nicht mehr. Um die Risiken der eigenen Mitarbeiter umfassend im Blick und im Griff zu behalten, müsse das Human-Risk-Management professioneller, zielgerichteter, kontinuierlicher aufgestellt werden.

Längst ließen sich Phishing-Trainings, -Schulungen und -Tests, KI sei Dank, personalisieren, zuschneiden auf die spezifischen Schwachstellen der einzelnen Mitarbeiter, und automatisiert – und damit kontinuierlicher – zum Einsatz bringen.

Moderne Anti-Phishing-E-Mail-Lösungen kombinierten KI mit sogenanntem Crowdsourcing, um so selbst neueste „Zero Day“-Bedrohungen frühzeitig aufspüren und rechtzeitig abwehren zu können – so dass sie gar nicht erst in die Posteingänge der Mitarbeiter gelangten. Dr. Krämers abschließender Kommentar: „Mit solchen und ähnlichen Lösungen wird es Unternehmen auch in Zukunft gelingen, die unzähligen ,Human Risks’, die jedem Unternehmen nun einmal innewohnen, im Blick zu behalten und bestmöglich zu managen.“

Weitere Informationen zum Thema:

CHECK POINT, Harmony Email & Collaboration team, 06.02.2025
SECURITY / New Facebook Copyright Infringement Phishing Campaign

KnowBe4, 19.11.2024
KnowBe4 Tackles Human Risk Management: Introducing HRM+: The All-in-One Human Risk Management Platform / HRM+ revolutionizes cybersecurity risk management for the AI era by making it personalized, relevant and adaptive

datensicherheit.de, 25.02.2025
Neue Phishing-Kampagne: Warnung vor Angriffen auf hochrangige X-Konten / Attacken auf „X“-Accounts u.a. von Politikern, Technologieunternehmen und Krypto-Währungen

datensicherheit.de, 23.02.2025
Phishing-Saison 2025: IT-Entscheider sollten sich auf KI-gesteuerte Kampagnen vorbereiten / Agentenbasierte KI-Modelle sind eine spezielle Form Künstlicher Intelligenz (KI), bei der diese in Form vieler autonomer Einheiten operieren

datensicherheit.de, 20.02.2025
Zimperium-Studie: Deutliche Zunahme von Mobile-Phishing-Angriffen / Neuer „zLabs Mishing Report“ ermittelt Anstieg von Betrug per SMS, QR-Code oder E-Mail