Adam Mosseri, der Chef von Instagram, hat enthüllt, dass er beinahe auf eine äußerst überzeugende Phishing-Attacke hereingefallen wäre, die scheinbar von Google stammte. Der Betrug, bei dem ein Telefonanruf mit einer raffiniert getarnten E-Mail kombiniert wurde, zeigt, wie fortschrittlich Phishing-Methoden inzwischen sind – und dass sie selbst erfahrene Tech-Führungskräfte täuschen können.
Mosseri teilte seine Erfahrung in einem Beitrag auf Threads, der von Meta betriebenen Social-Media-Plattform.
„Gestern eine raffinierte Phishing-Attacke erlebt“, schrieb er. „Jemand mit perfektem Englisch rief von 818-538-7922 an. Die Person sagte, mein Google-Konto sei kompromittiert worden, und schickte mir eine E-Mail, um meine Identität zu bestätigen.“
Der Anrufer, der sich als Google-Vertreter ausgab, drängte ihn, sein Gmail-Passwort zu ändern – direkt während des Anrufs – und warnte ihn davor, es laut auszusprechen.
Gefälschte E-Mail, echte Domains
Besonders gefährlich war der Betrug laut Mosseri, weil die E-Mail scheinbar von einer legitimen Google-Adresse stammte: forms-receipts-noreply@google.com. Der in der Nachricht enthaltene Link führte zu einer Seite, die auf Googles Domain gehostet wurde: https://sites.google.com/view/pendingtickets.
„Dass sowohl die E-Mail als auch das Formular von sicheren Google-Domains (über Google-Produkte) stammten, hätte mich vielleicht getäuscht, wenn ich nicht von einem Freund gehört hätte, der ein Jahr zuvor einen ähnlichen Angriff erlebt hatte“, fügte Mosseri hinzu.
Google reagiert: „Wir werden Sie niemals anrufen“
Nachdem Mosseri auf das Problem aufmerksam gemacht hatte, reagierte Google Workspace auf Threads und bestätigte, dass das betrügerische Formular und die Website abgeschaltet worden waren.
„Danke für den Hinweis – wir haben das Formular und die Website gestern gesperrt und führen ständig Schutzmaßnahmen gegen diese Art von Angriffen ein. Zur Erinnerung: Google wird Sie niemals wegen Ihres Kontos anrufen.“
Gegenüber ABC News betonte ein Google-Sprecher, dass die Sicherheit der Nutzer höchste Priorität habe.
„Wir haben zahlreiche Schutzmaßnahmen eingeführt, um Nutzer vor diesem speziellen Angreifer und ähnlichen Phishing-Methoden zu schützen“, sagte der Sprecher. „Wir empfehlen Nutzern dringend, eine Zwei-Faktor-Authentifizierung zu aktivieren und Passkeys zu verwenden, die einen starken Schutz vor Phishing-Kampagnen bieten.“
Was Experten empfehlen
Experten raten Nutzern, bei dringenden Aufforderungen per Telefon oder E-Mail, in denen nach Anmeldedaten oder Passwörtern gefragt wird, vorsichtig zu sein. Seriöse Unternehmen, darunter Google, werden Sie nicht auffordern, auf einen Link zu klicken oder Ihr Passwort am Telefon zu ändern.
Hier sind einige schnelle Tipps, wie Sie sich schützen können:
- Auf Dringlichkeit achten: Betrüger versuchen oft, Panik zu verbreiten, damit Sie schnell handeln.
- Domainnamen prüfen: Eine Website kann „Google“ anzeigen, aber dennoch eine raffiniert getarnte Fälschung sein.
- Vor dem Klicken mit dem Mauszeiger über Links fahren: Dadurch kann die tatsächliche Webadresse angezeigt werden, zu der Sie weitergeleitet werden.
- Klicken Sie nicht auf Links in unerwarteten Textnachrichten oder E-Mails, insbesondere wenn darin persönliche Informationen angefordert werden.
Reaktionen in den sozialen Medien
Der Vorfall löste online unterschiedliche Reaktionen aus – einige besorgt, andere sarkastisch. Auf Threads zeigten sich Nutzer überrascht, dass der Instagram-Chef offenbar keine direkte Verbindung zu Google hat.
„Nicht etwa der Instagram-Chef, der glaubt, Google rufe dich wegen der Zurücksetzung deines Passworts an?“, scherzte ein Nutzer. Ein Nutzer mit einer ähnlichen Erfahrung sagte: „Das ist fast identisch mit dem Angriff, von dem ich letzten Sommer betroffen war … mein Geld würde darauf wetten, dass es dieselben Leute waren …“
Ein anderer scherzte: „Adam, ich kann dir hier helfen. Ich brauche nur den Mädchennamen deiner Mutter und die Straße, in der du aufgewachsen bist.“
Trotz der Witze erinnert Mosseris Erfahrung daran, dass jeder zum Ziel werden kann – selbst Tech-Führungskräfte.