Betrüger missbrauchen Shop App mit gefälschten Bestellungen für Callback-Phishing-Angriffe

Cyberkriminelle haben eine neue Methode gefunden, die Shop App auszunutzen, indem sie gefälschte Kaufbelege direkt in den Bestellverlauf der Nutzer einfügen. Die betrügerischen Bestellungen erscheinen neben echten Einkäufen und fordern die Opfer dazu auf, gefälschte Kundendienstnummern anzurufen. Dort versuchen Betrüger, persönliche und finanzielle Daten zu stehlen.

Forscher warnen, dass diese Methode überzeugender ist als herkömmliche Phishing-E-Mails, da Nutzer der Shop App vertrauen und dort echte Bestellaktualisierungen erwarten.

Shop-App-Betrug nutzt gefälschte Kaufbelege

Die Shop App von Shopify ermöglicht es Nutzern, Lieferungen zu verfolgen, digitale Belege einzusehen und Bestellungen verschiedener Online-Shops an einem Ort zu verwalten.

Laut Forschern von Gen Digital missbrauchen Angreifer dieses Vertrauen, indem sie gefälschte Rechnungen in den Bestellverlauf der Nutzer einfügen. Die gefälschten Belege geben sich als Mitteilungen bekannter Marken wie Norton, McAfee, Apple und PayPal aus.

Da die gefälschten Bestellungen neben echten Einkäufen erscheinen, halten viele Nutzer sie für legitim.

Gefälschte Supportnummern führen zu Callback-Phishing

Jeder gefälschte Beleg enthält eine Telefonnummer eines angeblichen Kundendienstes, die Nutzer anrufen sollen, um den Kauf anzufechten.

Anstatt mit dem echten Unternehmen verbunden zu werden, sprechen die Anrufer mit Betrügern, die sich als Kundendienstmitarbeiter ausgeben. Mithilfe von Social Engineering versuchen sie, ihre Opfer dazu zu bringen, Zugangsdaten, Kreditkarteninformationen und Einmalcodes zur Authentifizierung preiszugeben.

In einigen Fällen überreden sie die Opfer außerdem dazu, Fernwartungssoftware zu installieren. Nach der Installation können die Angreifer direkten Zugriff auf das Gerät des Opfers erhalten.

Warum der Betrug so erfolgreich ist

Nach Einschätzung der Forscher hat der Shop-App-Betrug einen entscheidenden Vorteil gegenüber herkömmlichen Callback-Phishing-E-Mails.

Die meisten Nutzer vertrauen darauf, dass die Shop App korrekte Bestellinformationen anzeigt. Deshalb glauben sie einer verdächtigen Rechnung innerhalb der App eher als einer vergleichbaren Nachricht per E-Mail.

Viele der gefälschten Belege enthalten Grammatikfehler und ungeschickte Formulierungen. Dennoch übersehen Nutzer diese Warnsignale häufig, weil sie glauben, für einen teuren Einkauf belastet worden zu sein.

Forscher wissen noch nicht, wie die gefälschten Bestellungen eingefügt werden

Gen Digital konnte bislang nicht bestätigen, wie die Angreifer die gefälschten Belege in den Bestellverlauf der Nutzer einschleusen.

Die Shop App kann Bestellinformationen auf verschiedene Weise importieren, unter anderem durch das Auslesen von E-Mails, verknüpfte Konten und Bestellprozesse von Händlern. Die Forscher konnten jedoch bislang nicht feststellen, welchen dieser Wege die Angreifer ausnutzen.

Wichtig ist außerdem, dass die Untersuchung keine Hinweise darauf ergab, dass Shopify, die Shop App oder eines der imitierten Unternehmen von einer Sicherheitsverletzung betroffen war.

So schützen Sie sich

Wer in der Shop App einen unbekannten Einkauf entdeckt, sollte keinesfalls die auf dem Beleg angegebene Telefonnummer anrufen.

Stattdessen sollte die Transaktion direkt bei der Bank oder dem Kreditkartenanbieter über die offiziellen Kontaktwege überprüft werden. Nutzer, die bereits vertrauliche Informationen an die Betrüger weitergegeben haben, sollten umgehend die Passwörter der betroffenen Konten ändern und ihren Kartenanbieter kontaktieren, um ihre Konten zu schützen.

Der aktuelle Shop-App-Betrug zeigt, wie Cyberkriminelle ihre Callback-Phishing-Methoden weiterentwickeln, indem sie vertrauenswürdige Plattformen missbrauchen, anstatt sich ausschließlich auf betrügerische E-Mails zu verlassen.