Der Betrug nutzt PWAs, um Bankdaten zu stehlen

Kriminelle nutzen eine neue Technik, um Opfer dazu zu verleiten, sensible Daten ihrer Bankinstitute in gefälschte PWA-Apps auf Android und iOS einzugeben.

PWAs sind Anwendungen, die auf verschiedenen Systemen ausgeführt werden können und versuchen, die nativen Anwendungen des Systems nachzuahmen, dafür jedoch nur den Browser verwenden. Dies bietet ein praktisch natives App-Erlebnis, weist jedoch dennoch einige Einschränkungen auf.

Der Einsatz dieser Art von Webanwendung kann für Kriminelle einige Vorteile haben, da einige der Sicherheitsmechanismen, die normalerweise für reguläre Anwendungen gelten, umgangen werden und eine größere Anzahl von Endbenutzern erreicht werden kann.

Sicherheitsunternehmen ESET Es wurde festgestellt, dass mehrere aktuelle Kampagnen identifiziert wurden, bei denen Kriminelle in PWAs erstellte gefälschte Websites nutzen, um Opfer auszutricksen, sodass diese sich auf gefälschten Websites in ihre Konten einloggen und glauben, sie würden direkt über die offizielle App ihres Bankunternehmens darauf zugreifen.

Der Betrug beginnt normalerweise mit einem Anruf oder einer SMS, bei der dem Opfer ein PWA-Installationslink bereitgestellt wird. Dies scheint eine Nachricht der Bank zu sein und gaukelt den Nutzern unter verschiedenen Vorwänden vor, dass sie die offizielle App der Bank installieren.

Die gefälschte Website versucht außerdem, den Nutzern vorzutäuschen, dass sie auf den App Store zugreifen, je nachdem, über welches System der Zugriff erfolgt. Im Fall von Android werden Benutzer auf eine Website weitergeleitet, die wie eine Play Store-Seite aussieht.

Da PWAs fast wie normale Apps aussehen, können einige Benutzer unter verschiedenen Vorwänden dazu verleitet werden, sie zu installieren. Darüber hinaus haben sie auch den Vorteil, dass sie einige der Schutzmaßnahmen umgehen, die Apple und Google für reguläre Apps und in ihren App Stores auferlegen.

Benutzer sollten immer auf empfangene Nachrichten achten, die verdächtige Links enthalten, insbesondere aus unbekannten Quellen. Die meisten Bankunternehmen leiten Benutzer nicht auf unbekannte Websites weiter und zwingen sie nicht, Anwendungen zu installieren oder auf bestimmte Seiten zuzugreifen.