Der Anruf, der wie Hilfe klingt
Die kanadische Cyberbehörde warnt vor einer laufenden Kampagne gegen Organisationen, darunter Kanzleien und Finanzunternehmen. Die Anrufer geben sich als interner IT-Support aus und behaupten, eine Änderung an Passkey, MFA oder Passwort sei dringend nötig. Angezeigte Rufnummern können gefälscht sein. [1] [3]
- Anruf vom angeblichen IT-Support
- Gefälschte Anmeldung
- Sitzung wird übernommen
- Zugriff auf Unternehmensdaten
Wie aus einer Anmeldung eine fremde Sitzung wird
Das Opfer wird auf eine täuschend gestaltete Anmeldeseite gelenkt. Ein zwischengeschalteter Dienst kann Zugangsdaten und bestimmte MFA-Antworten in Echtzeit an den echten Identitätsanbieter weiterreichen. Dadurch kann eine gültige Sitzung beim Angreifer landen. Das bedeutet nicht, dass jede MFA-Methode auf diese Weise überwunden wird. [1] [3]
Welche Schutzmaßnahmen den Ablauf unterbrechen
Unerwartete Anrufe über eine selbst herausgesuchte interne Nummer überprüfen. Für wichtige Konten phishingresistente Verfahren wie FIDO2-Sicherheitsschlüssel oder gerätegebundene Passkeys einsetzen. Auch Konto-Wiederherstellung, MFA-Reset und Registrierung neuer Geräte gegen Social Engineering absichern. [1] [2]
Was bei Verdacht zu tun ist
Den Vorfall über den bekannten internen Meldeweg melden; aktive Sitzungen und Tokens durch zuständige Administratoren widerrufen, Zugangsdaten zurücksetzen und unbekannte MFA-Methoden entfernen lassen. Anmelde-, Postfach- und Dateiprotokolle für die Untersuchung sichern. Maßnahmen auf den konkreten Vorfall und die Betriebsumgebung abstimmen. [1] [3]