Missbrauch von Microsoft Customer Voice
Phishing-Link kommt per Sprachnachricht
Sicherheitsforscher von Avanan, einer Tochter von Check Point Software, warnen vor einer neuen Phishing-Variante: Kriminelle nutzen Microsofts Dynamic 365 Customer Voice für den Versand von Phishing-Links, um Kundendaten zu stehlen.
Dynamics 365 Customer Voice dient in erster Linie dazu, Feedback von Kunden zu erhalten. Es kann für Umfragen zur Kundenzufriedenheit zum Einsatz kommen, um Feedback zu verfolgen und Daten zu verwertbaren Erkenntnissen zusammenzufassen. Zudem lässt es sich für die telefonische Interaktion mit Kunden verwenden. Statt diese Funktion für das Sammeln von Kundenfeedback zu nutzen, nutzen Kriminelle das Tool, um deren Daten zu stehlen.
Sie machen sich dabei laut den Security-Forschern „Static Expressway“ zunutze, um Sicherheitsscanner zu umgehen. Denn Sicherheits-Services können Microsoft nicht einfach blockieren, sonst wäre es für alle Nutzer von Microsoft-Diensten unmöglich, ihrer Arbeit nachzugehen. Deshalb stuft Security-Software Links aus derlei Quellen in der Regel automatisch als vertrauenswürdig ein. Dies öffnet den Kriminellen eine Tür, um sich einzuschleusen.
Ähnliche Beispiele dafür lassen sich bei Facebook, PayPal, QuickBooks oder anderen finden, so die Avanan-Forscher. Für Security-Lösungen sei es unglaublich schwierig, herauszufinden, was echt ist und was sich hinter dem scheinbar legitimen Link verbirgt. Außerdem erkennen viele Dienste laut den Security-Fachleuten zwar Links einer bekannten Adresse, scannen ihn aber standardmäßig nicht.
Der Customer-Voice-Angriff ist laut Avanan besonders trickreich, da der Phishing-Link erst im letzten Schritt auftaucht. Die Benutzer werden zunächst auf eine legitime Site weitergeleitet – der Mauszeiger über der URL im E-Mail-Text bietet also keinen Schutz. Diese Angriffe seien damit für Scanner sehr schwer zu stoppen und für die Benutzer noch schwieriger zu erkennen.
Um sich vor diesen Angriffen zu schützen, raten die Security-Fachleute zu folgenden Schritten:
- Alle URLs gründlich überprüfen – auch solche, die nicht im Text der E-Mail enthalten sind.
- Wenn Sie eine E-Mail mit einer Voicemail erhalten, vergewissern Sie sich, dass es sich um eine bekannte Art von E-Mail handelt, bevor Sie sich darauf einlassen.
- Wenn Sie sich bei einer E-Mail unsicher sind, fragen Sie den ursprünglichen Absender auf einem anderen Kommunikationskanal.
Lesen Sie mehr zum Thema
