WhatsApp geht über ein US-Gericht gegen chinesische Passwortbetrüger vor

Wenn du sie nicht schlagen kannst, verklage sie!

Eigentlich geht das ursprüngliche Zitat nicht ganz so, aber Sie verstehen schon: Wenn Sie die Leute nicht daran hindern können, gefälschte, mit Malware verseuchte Apps herunterzuladen, die vorgeben, von Ihrer mächtigen, globalen Marke unterstützt zu werden …

… warum nutzen Sie nicht stattdessen Ihre mächtige, globale Marke, um die Entwickler dieser bösartigen Malware-verbreitenden Apps zu verklagen?

Dies ist keine neue Technik (rechtliche Schritte von Giganten der IT-Branche haben schon früher dazu beigetragen, bösartige Websites und Malware-Verteilungsdienste auszuschalten), und sie wird die nächste Welle von Tätern nicht davon abhalten, dort weiterzumachen, wo die letzte Gruppe aufgehört hat.

Aber alles, was es Malware-Händlern erschwert, vor aller Augen zu agieren, ist einen Versuch wert.

WhatApp in der Offensive

WhatsApp ist zusammen mit seiner Muttergesellschaft Meta gestartet Klage gegen drei Unternehmen, die es behauptet „über eine Million WhatsApp-Benutzer dazu verleitet, ihre Konten im Rahmen eines Kontoübernahmeangriffs zu kompromittieren.“

Grob gesagt, Selbstkompromiß bezieht sich in diesem Zusammenhang auf App-basiertes Phishing: Erstellen Sie einen falschen Anmeldedialog, der eine nicht autorisierte Kopie von allem, was Sie eingeben, einschließlich persönlicher Daten wie Passwörter, behält.

Wie Sie sich wahrscheinlich vorstellen können und wie WhatsApp in seiner Gerichtsakte behauptet, bestand der Hauptwert dieser kompromittierten Konten für die mutmaßlichen Rechtsverletzer darin, dass sie zum „Versenden von kommerziellen Spam-Nachrichten“ verwendet werden konnten.

Im Gegensatz zum E-Mail-Ökosystem, in dem jeder jedem eine E-Mail senden kann (oder im Fall von Massennachrichten-Versendern, in dem jeder jedem eine E-Mail senden kann), basieren Messaging- und Social-Media-Apps wie WhatsApp auf geschlossenen Gruppen.

Diese Art von Online-Welt ist für Spammer und Betrüger nicht annähernd so einfach zu infiltrieren.

Tatsächlich kennen wir viele Menschen, die E-Mails kaum noch nutzen und es vorziehen, mit Freunden und Familie über genau diese Art von geschlossenen Gruppen zu kommunizieren, vor allem, weil sie die Flut von aufdringlichem und unerwünschtem Müll umgehen, dem sie per E-Mail ausgesetzt sind.

Die Kehrseite eines Messaging-Ökosystems für geschlossene Gruppen ist natürlich, dass Sie eher glauben oder zumindest einen Blick darauf werfen, was Sie von Leuten erhalten, die Sie kennen.

Es ist unwahrscheinlich, dass Sie Dokumente öffnen oder auf Links klicken, die eindeutig von einem E-Mail-Absender stammen, den Sie noch nie zuvor getroffen haben, nicht treffen möchten und niemals treffen werden …

…aber selbst wenn du weißt, dass deine Cousine Chazza dazu neigt, stöhnende Memes und Augenbrauen hochziehende Videos zu teilen, schaust du sie dir wahrscheinlich trotzdem an, weil du bereits weißt, was dich erwartet, und, hey, es ist deine Cousine, nicht einige ganz Zufälliger Online-Absender.

Mit anderen Worten, wenn Betrüger in Ihre Social-Media-Konten gelangen können, erhalten sie nicht nur Zugriff auf Ihre Personen-mit-dem-ich-gerne-chat-Liste, sondern erhalten auch die Möglichkeit, diese Liste mit Personen-die zu spammen -freuen-sich-von-dir-zu-hören mit Botschaften, die offenbar mit Deinem Segen verschickt wurden.

ILeider reicht es nicht aus, nur dem Absender zu vertrauen, denn Sie müssen auch dem Gerät des Absenders und seinem Konto vertrauen.

Spamming und Betrug in sozialen Netzwerken auf der Grundlage kompromittierter Konten ist ein bisschen so Kompromiss zwischen geschäftlichen E-Mails (BEC), bei dem Gauner sich die Mühe machen, Zugang zu einem offiziellen E-Mail-Konto innerhalb eines Unternehmens zu erhalten.

Das bedeutet, dass sie die Mitarbeiter dieser Firma viel überzeugender austricksen können, als sie es als externe Absender könnten:

Benannt und beschämt

WhatsApp nannte in der Klage drei Unternehmen, die in Südostasien unter drei verschiedenen Markennamen tätig sind.

Die Unternehmen sind Rockey Tech HK Ltd (Hongkong), Peking Luokai Technology Co. Ltd (PRC) und Chitchat Technology Ltd (Taiwan).

Die Markennamen, unter denen WhatsApp angeblich gefälschte Apps und Add-Ons verkauft hat, sind Heymods, Hebe Mobi hervor und HeyWhatsApp.

Ganz einfach ausgedrückt argumentiert WhatsApp, dass die Angeklagten genau wussten, dass ihr Verhalten nicht den verschiedenen Geschäftsbedingungen von Meta entsprach, und dass der Zweck des Verstoßes gegen diese Geschäftsbedingungen darin bestand, Zugang zu legitimen Benutzerkonten zu erhalten und diese zu missbrauchen.

Das von WhatsApp eingereichte Gerichtsdokument enthält einen Screenshot der angeblich betrügerischen App namens HeyWhatsApp Android, das auf dem alternativen Android-Downloadmarkt landete Malavida, wo die App-Beschreibung die Benutzer ganz offen warnt:

WhatsApp autorisiert den Benutzer dieser [Änderungswerkzeuge] überhaupt nicht, so dass das Herunterladen von HeyWhatsApp […] dazu führen kann, dass der Dienst gesperrt wird […] Es garantiert auch nicht die korrekte Funktion, was bedeutet, dass wir häufig auf einen Mangel an Stabilität stoßen.“

Andere betrügerische Apps in der Klage, sagt Meta, waren im Google Play Store selbst erhältlich, was bedeutet, dass sie nicht nur das offizielle Imprimatur von Google erhielten, sondern möglicherweise auch ein viel breiteres Publikum erreichten (und wahrscheinlich ein Publikum mit einer vorsichtigeren Einstellung zur Cybersicherheit).

Eine dieser Apps wurde mehr als 1,000,000 Mal heruntergeladen, sagen die Kläger, und eine zweite App hat mehr als 100,000 Downloads erreicht.

Wie WhatsApp ironisch feststellt, „Die Beklagten haben im Google Play Store oder in seinen Datenschutzrichtlinien nicht offengelegt, dass diese Anwendung Malware enthielt, die darauf ausgelegt war, die WhatsApp-Authentifizierungsinformationen des Benutzers zu sammeln.“

(Nebenbei bemerkt kommen wir nicht umhin, uns zu fragen, wie viele Leute die App überhaupt installiert hätten, selbst wenn die Angeklagten im Voraus zugegeben hätten, dass „diese Software Ihr Passwort stiehlt“.)

Was ist zu tun?

• Vermeiden Sie nach Möglichkeit Off-Market. Dieser Fall erinnert uns daran, dass eine Menge Malware den automatisierten „Software-Überprüfungsprozess“ von Google Play passiert, aber es gibt zumindest einige grundlegende Cybersicherheits-Checks und -Balances, die von Google angewendet werden. Im Gegensatz dazu verfolgen viele Off-Market-Android-Downloadseiten ganz bewusst einen „Alles ist erlaubt“-Ansatz, und einige sind sogar stolz darauf, Apps zu akzeptieren, die Google abgelehnt hat.
• Ziehen Sie eine Cybersicherheits-App eines Drittanbieters für Ihr Android in Betracht. Apps von Cybersicherheitsspezialisten helfen Ihnen dabei, eine Vielzahl von betrügerischen Websites und bösartigen Apps zu erkennen und zu blockieren, selbst wenn der Play Store von Google sie durchlässt. (Ja, Sophos hat einen, und es ist kostenlos.)
• Wenn es zu gut klingt, um wahr zu sein, ist es zu gut, um wahr zu sein. Müssen Sie wirklich die WhatsApp-Farben ändern? Wenn die offizielle App dies nicht zulässt, warum sollten Sie einer vertrauen, die behauptet, eine Problemumgehung entdeckt zu haben? Schenken Sie insbesondere den Crowd-Sourcing-Bewertungen auf App-Download-Sites, einschließlich Google Play selbst, nicht viel oder gar keine Aufmerksamkeit. Diese Bewertungen hätten von jedem hinterlassen werden können.
• Entfernen Sie regelmäßig Apps, die Sie nicht wirklich benötigen oder die Sie nicht oft verwenden. Grob gesagt, je mehr Apps Sie auf Ihrem Telefon haben, desto größer ist Ihre Angriffsfläche und desto wahrscheinlicher werden Sie persönliche Daten preisgeben, die Sie nicht beabsichtigt haben. Warum sollten Sie Apps Raum geben, die keinen klaren und nützlichen Zweck erfüllen?

Seien Sie besonders vorsichtig bei Apps, die aus verblüffend klingenden Gründen wie „Google möchte nicht, dass Sie diese App haben, weil sie ihre Werbeeinnahmen verringert“ oder „Diese Investment-App ist erhältlich“ behaupten, dass sie nur auf alternativen Downloadseiten verfügbar sind Nur Einladungen, also teilen Sie diesen speziellen Link mit niemandem“.

Es gibt viele legitime und nützliche Apps, die nicht mit den Geschäfts- und Handelsregeln von Google übereinstimmen und die es daher niemals in die Wettbewerbswelt von Google Play schaffen werden …

…aber es gibt noch viel, viel mehr Apps, die von Google abgelehnt werden, weil sie eindeutig Cybersicherheitsmängel aufweisen, entweder weil Programmierer faul, inkompetent oder beides waren, oder weil die Ersteller der App unrekonstruierte Cyberkriminelle waren.

Wie wir gerne sagen: Im Zweifelsfall/Lassen Sie es weg.

---