Das FBI warnt Nutzer sozialer Medien vor Kriminellen, die in persönliche Konten einbrechen, um nach intimen Fotos und Videos zu suchen, die später online verteilt oder zum Verkauf angeboten werden können. Die Angriffe basieren auf mehreren Methoden, darunter Phishing-Nachrichten, gefälschte Kundensupport-Interaktionen und Versuche, Konten mit zuvor offengelegten Passwörtern zu übernehmen.
Laut a public service announcement dem Internet Crime Complaint Center (IC3) des FBI können Angreifer bestimmte Personen ins Visier nehmen oder ein breiteres Netz nach Konten mit privatem Material suchen. Nachdem sie intime Inhalte erhalten haben, wurden Kriminelle dabei beobachtet, wie sie diese über Online-Communities teilen oder versuchen, sie auf illegalen Marktplätzen zu verkaufen.
Die Folgen können über den ursprünglichen Diebstahl hinausgehen. Das FBI sagt, dass gestohlene Bilder zusammen mit identifizierenden Informationen über die betroffene Person veröffentlicht werden können, darunter Namen, Geburtsdaten, E-Mail-Adressen, Telefonnummern und Social-Media-Benutzernamen. Die Kombination von intimem Material mit diesen Informationen kann die Opfer weiterer Belästigung und wiederholter Zielerfassung aussetzen.
Eine vom FBI beschriebene Methode beginnt damit, dass Kriminelle vorgeben, das Support-Team eines Social-Media-Unternehmens zu vertreten. Angreifer können überzeugende E-Mail-Adressen oder Webseiten erstellen und Nutzer mit einer gefälschten Warnung kontaktieren, dass jemand versucht hat, auf ihr Konto zuzugreifen.
Die Nachricht leitet den Empfänger dann auf einen bösartigen Link. Ein Opfer, das die Anweisungen befolgt, kann unwissentlich Informationen preisgeben, die es dem Angreifer ermöglichen, auf das echte Social-Media-Konto zuzugreifen.
Eine weitere Variante konzentriert sich auf Kontoverifizierungscodes. Kriminelle, die sich als Kundensupport ausgeben, können Nutzern mitteilen, dass ihr Konto kurz vor der Sperrung oder Löschung steht, und behaupten, ein Verifizierungscode sei erforderlich, um dies zu verhindern. Hinter den Kulissen startet der Angreifer ein echtes Passwort-Set, wodurch die Plattform einen Authentifizierungscode an den Kontoinhaber sendet.
Wenn dieser Code übergeben wird, kann der Kriminelle ihn nutzen, um den Reset durchzuführen und die Kontrolle über das Konto zu übernehmen. Der rechtmäßige Eigentümer kann dann feststellen, dass das Passwort geändert wurde und der Zugang verloren gegangen ist.
Nicht jede Kontokompromittierung erfordert direkte Interaktion mit dem Opfer. Das FBI warnt außerdem vor Passwortangriffen, bei denen Kriminelle Kombinationen von Benutzernamen und Passwörtern ausprobieren, bis sie funktionierende Zugangsdaten finden. Login-Informationen, die durch frühere Datenpannen offengelegt oder von kriminellen Marktplätzen bezogen wurden, können für diese Versuche verwendet werden.
Das FBI empfiehlt, die Speicherung sexuell expliziter Fotos und Videos auf sozialen Medienkonten oder anderen internetfähigen Diensten möglichst zu vermeiden. Nutzern wird außerdem geraten, Konten mit starken, einzigartigen Passwörtern zu schützen und, wo möglich, Multi-Faktor-Authentifizierung zu aktivieren.
Passwörter und PINs sollten nicht auf leicht auffindbaren persönlichen Angaben wie Geburtstagen oder Namen von Verwandten basieren. Die Wiederverwendung von Passwörtern ist ebenfalls riskant, da Zugangsdaten, die durch eine Sicherheitsverletzung mit einem Dienst offengelegt werden, potenziell gegen andere Konten getestet werden können.
Unerwartete Passwort-Zurücksetzungsbenachrichtigungen, Kontowarnungen und Nachrichten mit Login-Links sollten mit Vorsicht behandelt werden. Anstatt einem Link in einer E-Mail oder SMS zu folgen, können Nutzer die offizielle Anwendung der Plattform öffnen oder die Website manuell besuchen, um ihr Konto zu überprüfen.
Das FBI betont außerdem, dass Authentifizierungscodes und Zugangsdaten nicht an jemanden weitergegeben werden sollten, der behauptet, für ein Social-Media-Unternehmen zu arbeiten. Eine Anfrage nach diesen Informationen kann selbst ein Hinweis darauf sein, dass jemand versucht, die Kontrolle über das Konto zu übernehmen.