reCAPTCHA missbraucht:
Kriminelle schützen ihre Phishing-Seiten

Auf dieses Problem haben die Sicherheitsforscher von Barracuda Networks hingewiesen, die schon sei einiger Zeit die entsprechenden missbräuchlichen Nutzungen reCAPTCHAs beobachten. Ihnen fielen in den vergangenen Monaten verstärkt Fälle auf, in denen Phishing-Kampagnen durch den Einsatz des Captcha-Dienstes besser vor anderen Sicherheitsmaßnahmen verborgen wurden. Dabei vollzieht das System eigentlich genau die Aufgabe, zu der man es entwickelte: Es lässt menschliche Nutzer auf die Phishing-Seiten, sperrt aber die automatisierten Scanner der diversen Security-Unternehmen und Browser-Hersteller effektiv aus. Denn diese können die Schranke nicht ohne weiteres überwinden.

Streben nach Microsoft-Accounts

In einem Fall wurde beispielsweise eine Phishing-Kampagne beobachtet, in der die dahinterstehenden Betrüger rund 128.000 E-Mails relativ gezielt an Unternehmen beziehungsweise deren Mitarbeiter verschickten. Hinter der reCAPTCHA-Absicherung befand sich dabei eine gefälschte Microsoft-Login-Seite, über die die Angreifer Zugangsdaten zu den Accounts von Beschäftigten erlangen wollten. Hier verbergen sich immerhin oft reichlich Firmen-Interna, die kommerziell recht gut weitergenutzt werden können.

In anderen Fällen zeigte sich aber noch ein weiterer Effekt als nur die Absicherung vor Security-Scannern: Die meisten Nutzer verbinden mit Googles Captcha-System auch ein gewisses Maß an Sicherheit und Seriösität. Sie sind dann eher geneigt, auch der dahinterstehenden Webseite zu vertrauen, so dass die Betreiber der Phishing-Kampagnen leichter an die gewünschten Daten gelangen können. Hier zeigt sich daher einmal mehr, dass ein aufmerksamer Umgang mit der Technik notwendig ist, weil man sich besser nicht blind auf technische Sicherheits-Maßnahmen verlässt.

Siehe auch: