Fake-Fenster-GefahrBrowser im Browser: Vorsicht vor neuartiger Phishing-Masche
ntv bei Google bevorzugenDie Adresszeile sieht echt aus, das Browserfenster auch - und doch landen die eigenen Anmeldedaten bei Betrügern. Wie Sie die raffinierte Falle entlarven, die rund um KI-Dienste lauert.
Ein gefälschtes Browserfenster im Browser, um Nutzende zu täuschen: Diese neuartige Angriffsmethode zum Abfischen sensibler Daten haben Sicherheitsforschende entdeckt. Die Fake-Browserfenster sehen täuschend echt aus, arbeiten sogar mit jeweils korrekten Internetadressen in den Adresszeilen, berichtet "Computer Bild".
Derzeit würden vor allem bekannte KI-Dienste wie ChatGPT, Gemini oder Claude nachgeahmt. Zudem ziele die Phishing-Kampagne aktuell primär auf Unternehmen, die auf der Suche nach KI-gestützter Hilfe sind - etwa für das Konzipieren von Werbekampagnen, die Kundenakquise oder die Budget-Verwaltung; das kann sich aber natürlich jederzeit ändern.
Nachgebautes Fenster mit legitimer Adresse
Und so funktioniert die Masche im Detail: Angeblich um die angebotenen Dienste nutzen zu können, soll ein eigenes Konto - etwa der Google-Account -mit dem jeweiligen KI-Dienst verbunden werden. Beim Einloggen öffnet sich dann ein nachgebautes Browserfenster innerhalb der Webseite, das selbst die Adresszeile mit legitimen Internetadressen von OpenAI, Google & Co. vortäuscht.
Tatsächlich befindet sich der Nutzer aber weiterhin auf der Phishing-Seite. Die Fake-Browserfenster werden dabei immer optisch passend zum jeweiligen Betriebssystem und zum jeweiligen Browser generiert.
So entlarvt man Fakes
Das Browser-im-Browser-Phishing lässt sich dem Bericht zufolge aber relativ einfach entlarven: Ein gefälschtes Fenster innerhalb einer Webseite kann nicht aus dem Browser herausbewegt oder frei in der Größe verändert werden wie ein echtes Browserfenster - also vor Konto-Verknüpfungen oder anderen sensiblen Dateneingaben sicherheitshalber einfach einmal kurz das Fenster auf diese Punkte hin überprüfen.
Außerdem sollten vermeintliche Angebote, Angebotsseiten und deren Adressen zunächst einmal immer kritisch geprüft werden, etwa mit einer kurzen Internetrecherche zum vermeintlichen Anbieter. Zudem lohnt sich grundsätzlich und insbesondere auch in diesem Zusammenhang der Umstieg auf Passkeys als passwortlose und Phishing-sichere Anmeldemethode bei Diensten.