Microsoft Teams-Benachrichtigungsspam birgt Phishing-Risiko

In Berichten aus der ganzen Welt wurde heute berichtet, dass Nutzer von Microsoft Teams unerwartete Benachrichtigungen auf ihren Geräten erhalten haben, was Anlass zur Sorge über mögliches Phishing gibt.

Während Nutzer ihre Erfahrungen auf Reddit teilten, deuten erste Analysen darauf hin, dass dies mit einer kürzlich veröffentlichten Sicherheitslücke in Googles Firebase Cloud Messaging (FCM)-Plattform zusammenhängen könnte.

Die vom Sicherheitsforscher Abhishek Dharani entdeckte Schwachstelle ermöglicht es, die in APK-Dateien gespeicherten FCM-Schlüssel auszunutzen, um Nachrichten an jeden zu senden, der eine Firebase-basierte Anwendung verwendet.

Die scheinbar harmlosen Nachrichten von heute lauten einfach "Testbenachrichtigung!", aber laut Abss könnte die Sicherheitslücke eine viel realere Phishing- oder Malware-Bedrohung darstellen, wenn sie von böswilligen Angreifern missbraucht wird.

Er erklärte gegenüber CyberNews : "Beachten Sie, dass der Inhalt der Benachrichtigung vom Angreifer kontrolliert werden kann. Sie kann auch Bilder enthalten (ja, auch grafische und beunruhigende Bilder), also achten Sie auf den Inhalt und folgen Sie keinen Links.

Zum Zeitpunkt der Erstellung dieses Artikels ist nicht klar, ob diese Nachrichten von den Google/Microsoft-Teams verfasst wurden oder ob es sich um einen neugierigen Forscher oder Hacker handelte.

Anfang der Woche sahen Google Hangouts-Nutzer eine Reihe ähnlicher " FCM-Nachrichten" Testbenachrichtigungen , die bei einem ähnlichen Vorfall verschickt wurden.

Laut dem Firebase-Blog gibt es mehr als 2 Millionen Apps, die Firebase jeden Monat aktiv nutzen. Abhishek erklärte gegenüber CyberNews, dass es viele App-Entwickler mit Firebase-Projekten gibt, deren Apps noch immer betroffen sein könnten, wobei leicht 15 % der bestehenden Apps potenziell anfällig sind.

Eine beunruhigende Frage für viele könnte sein, welcher Dienst als nächstes betroffen sein wird.

Phish wo die Fische sind

Dieser Vorfall sollte jedem Unternehmen, das neue Messaging-Plattformen einsetzt, als Warnung dienen. Cloud-basierte Dienste wie Microsoft Teams und Slack wachsen schneller als je zuvor, da Unternehmen auf langfristige, flexible Arbeitsvereinbarungen umstellen.

Wäre in diesen Nachrichten ein bösartiger Link enthalten gewesen, hätten allein die Sicherheitstools für die Endgeräte und die Benutzer verhindern können, dass ein Angriff Schaden anrichtet. Phishing oder andere Social-Engineering-Angriffe könnten einen ähnlichen Angriffskanal nutzen. Ich glaube jedoch, dass regelmäßige und effektive Phishing-Schulungen dazu beitragen können, dass die Mitarbeiter so vorsichtig sind, dass sie selbst bei neuartigen Bedrohungen wie dieser misstrauisch werden.

Der aufsehenerregende Twitter-Bitcoin-Diebstahl im Juli hat gezeigt, wozu Angreifer fähig sind, wenn sie die Gelegenheit haben, ahnungslose Nutzer von Verbraucherdiensten in großem Stil anzugreifen. In diesem Fall können sich viele glücklich schätzen, dass es keine bösartige Nutzlast, Social Engineering oder Diebstahl gab.

Dies ist nicht das erste Mal, dass Firebase aus den falschen Gründen in den Nachrichten ist. Eine Klage wurde im Juli eingereicht, in der Google beschuldigt wird, gegen das Bundesgesetz über Abhörmaßnahmen und das kalifornische Datenschutzgesetz zu verstoßen. Es wird behauptet, dass die Datenerfassung durch Googles Firebase erfolgt, obwohl die Nutzer die Anweisungen von Google befolgt haben, die vom Unternehmen erfassten Web- und App-Aktivitäten zu deaktivieren.

Microsoft hat im Laufe des Tages eine Antwort an die Kunden auf Twitter geschickt. Sie lautete: "Wir haben die Quelle des Problems isoliert und eine Entschärfung vorgenommen. Wir haben bestätigt, dass keine weiteren unerwarteten Benachrichtigungen an die Android-Geräte der Benutzer gesendet werden. Weitere Details finden Sie im Admin-Center unter TM221041."