Angriff per Signal: BfV und BSI warnen Politiker, Militärs und Diplomaten

Das Bundesamt für den Verfassungsschutz und das Bundesamt für Sicherheit in der Informationstechnik warnen gemeinsam vor einem Phishingversuch eines mutmaßlich staatlichen oder staatlich gesteuerten Angreifers im Messenger Signal.

„Im Fokus stehen hochrangige Ziele aus Politik, Militär und Diplomatie sowie Investigativjournalistinnen und -journalisten in Deutschland und Europa“, heißt es in einem unter anderem an den Bundestag und seine Abgeordneten verschickten Sicherheitshinweis. „Die aktuell zu beobachtende Angriffskampagne ist insbesondere im Hinblick auf hochrangige Zielpersonen als sicherheitsrelevant einzustufen.“

Für den Angriff würden legitime Sicherheitsfunktionen missbraucht – die aber die Mithilfe der Nutzer erfordern. Vergleichbare Vorgehensweisen würden auch bei WhatsApp funktionieren, warnen die beiden Behörden, von denen das BfV mit der Spionageabwehr und das BSI mit der Cybersicherheit des Bundes betraut ist.

Erste Variante führt zu Accountverlust

Eine von zwei beschriebenen Angriffsvarianten verläuft dabei nach denkbar einfachem Muster: Ein angeblicher Support-Bot oder ein angebliches Support-Team schreiben die Nutzer an und behaupten, dass ihre Gerätesicherheit gefährdet sei.

Bild 1 von 2

Phishing-Attacke per Signal (2 Bilder)

Nur wenn sie unmittelbar ihre Sicherheitspin oder eine Verifizierungs-SMS übermitteln würden, wäre ihr Gerät sicher. Folgen die Angeschriebenen der Aufforderung, nutzen die Angreifer das Konto ab diesem Moment in selbst kontrollierter Umgebung. Wer dann dem Konto schreibt, schreibt nur noch den Angreifern. Immerhin haben die dann aber keinen Zugriff auf die Kontakte des Nutzers und auch nicht auf vorher erfolgte Chatinhalte. Dennoch: Eine Wiederherstellung des Kontos durch den Nutzer ist dann nicht mehr möglich.

Zweite Variante ermöglicht weitergehenden Zugriff

BfV und BSI warnen aber auch vor einer zweiten Variante, bei der auch Inhalte und Kontakte kompromittiert werden können. Dabei wird ein Vorwand gesucht, warum der angegriffene Nutzer einen QR-Code scannen soll. Doch der ist die Berechtigung dafür, dass die Angreifer dann ein neues Gerät mit dem Konto verknüpfen können – was ihnen Nachrichten und Inhalte der vergangenen anderthalb Monate zugänglich macht und das Mitlesen aktueller Nachrichten erlaubt. Außerdem können sie im Namen des Opfers Nachrichten verschicken – und somit weitere mögliche Opfer erreichen.

Angesichts der Berichte über Sichtungen der Angriffe scheint es sich dabei nicht um einen sehr gezielten Angriff auf einzelne Akteure zu handeln, sondern um einen Streuschuss. Da Signal auf die Ende-zu-Ende-verschlüsselten Nachrichten keinen Zugriff hat und auch kein Client-Side-Scanning zu Spam oder Phishing betreibt, ist es auf die Aufmerksamkeit seiner Nutzer angewiesen, auf solche Versuche nicht hereinzufallen.

(dahe)