Meta warnt ca. 1 Million Facebook-Nutzer, dass ihre Anmeldeinformationen eventuell durch bösartige Android- und iOS-Apps kompromittiert wurden
Das Sicherheitsteam von Meta, der Muttergesellschaft von Facebook, Instagram und WhatsApp, gab am Freitag bekannt, dass ihre Sicherheitsforscher in diesem Jahr 400 bösartige Android- und iOS-Drittanbieter-Apps identifiziert haben, die Facebook-Anmeldedaten stehlen würden. Infolgedessen informierten sie mittels Sicherheitswarnung etwa 1 Million Facebook-User darüber, dass ihre Kontoanmeldeinformationen möglicherweise aufgrund von Sicherheitsproblemen mit diesen Apps kompromittiert sein könnten.
Die schädlichen Apps tarnten sich dabei als völlig legitime Programme. Sie forderten die Benutzer nach der Installation auf, sich mit Facebook oder anderen Plattform-Logins anzumelden. Facebook warnt:
„Wenn die Anmeldeinformationen gestohlen werden, könnten Angreifer möglicherweise vollen Zugriff auf das Konto einer Person erhalten und beispielsweise Nachrichten an ihre Freunde senden oder auf private Informationen zugreifen. […] Seien Sie beispielsweise misstrauisch gegenüber einer Fotobearbeitungs-App, die Ihren Facebook-Login und Ihr Passwort benötigt, bevor Sie sie verwenden können oder einer App, die Sie auffordert, sich bei Facebook anzumelden, um Anzeigen zu entfernen.“
Da eine Kontokompromittierung über die bösartigen Apps und nicht über Facebook erfolgte, kann das Unternehmen nicht sagen, wie viele Benutzer konkret kompromittiert wurden. Stattdessen verlässt sich das Unternehmen auf Signale wie das „Verhalten auf der Plattform und wie es mit dem Verhalten der bösartigen Apps korreliert“, um festzustellen, welche Anwender eine Benachrichtigung erhalten.
Als nützliche Dienstprogramme getarnte Apps stehlen Facebook- Anmeldedaten
Laut David Agranovich, Direktor des Sicherheitsteams Threat Disruption, bei Meta, wurden die Apps im Google Play Store und im App Store von Apple gelistet. Diese tarnten sich als Bildbearbeitungsprogramme, Spiele, VPN-Dienste, Business-Apps, Gesundheits- und Lifestyle-Dienste, Taschenlampen-Apps und andere Dienstprogramme, um die Leute zum Herunterladen zu verleiten. Laut Facebook forderten die bösartigen Apps die Benutzer häufig auf, sich „mit Facebook anzumelden“, um infolge den Benutzernamen und das Passwort zu stehlen. Einige Beispiele sind:
- Bildbearbeitungsprogramme, einschließlich solcher, die behaupten, es zu ermöglichen, „Bilder in einen Cartoon umzuwandeln“
- VPNs, die behaupten, die Surfgeschwindigkeit zu erhöhen oder Zugriff auf blockierte Inhalte oder Websites zu gewähren
- Telefondienstprogramme wie Taschenlampen-Apps, die behaupten, die Taschenlampe Ihres Telefons aufzuhellen
- Handyspiele versprechen fälschlicherweise hochwertige 3D-Grafiken
- Gesundheits- und Lifestyle-Apps wie Horoskope und Fitnesstracker
- Geschäfts- oder Anzeigenverwaltungs-Apps, die vorgeben, versteckte oder nicht autorisierte Funktionen bereitzustellen. Diese sind in offiziellen Apps von technischen Plattformen oftmals nicht zu finden.
Gemäß Facebook gelänge es einigen dieser Apps, sich einer Erkennung durch Malewareüberprüfung zu entziehen. Damit schaffen sie es in die legitimen App-Stores und zudem auf die Handys von Usern. Facebook meldete die schädlichen Apps bereits Apple und Google, wobei nur 46 der identifizierten Apps iOS-Apps waren. So konnten diese noch vor Berichtsveröffentlichung aus beiden App-Stores entfernt werden. Aber auch Benutzer sollten vorsichtig sein, wenn sie neue Apps herunterladen, die nach Social-Media-Logins fragen, gibt Facebook zu bedenken.
Hinweise für vom Datenklau Betroffene
Betroffene sollten die App von Ihrem Gerät löschen. Ferner sollten sie das Passwort zurücksetzen und neue, sichere Passwörter erstellen. Niemals sollte man dabei ein Passwort auf mehreren Webseiten verwenden. Eine Aktivierung der Zwei-Faktor-Authentifizierung und das Einschalten der Facebook-Anmeldewarnung verspricht zusätzliche Sicherheit. Bei Letzterem wisse man, wenn jemand versucht, auf das Facebook-Konto zuzugreifen. Eine Überprüfung der vorigen Sitzungen stelle sicher, dass man erkennt, welche Geräte Zugriff auf das Konto haben.
