Symbolbild
© stock.adobe.com/#472303707 

Phishing-Kampagne nimmt TikTok for Business-Konten ins Visier

Sicherheitsforscher von Push Security haben eine Phishing-Kampagne aufgedeckt, die gezielt „TikTok for Business“-Konten angreift.

Diese Konten werden von Marketing-Teams in Unternehmen zur Verwaltung von Werbekampagnen genutzt und sind für Angreifer aufgrund ihrer Reichweite und wahrgenommenen Legitimität attraktive Ziele. Nach einer erfolgreichen Kompromittierung können sie für bösartige Werbung – so genanntes „Malvertising“ –, Werbebetrug und die Verbreitung von Schadsoftware missbraucht werden.

Die Angriffskette ist technisch anspruchsvoll und darauf ausgelegt, automatisierte Sicherheitsanalysen zu umgehen. Opfer werden zunächst über eine legitime Google-Storage-URL weitergeleitet, wodurch der Link vertrauenswürdig erscheint. Ein Cloudflare-Turnstile-Check blockiert anschließend Sicherheitsbots. Danach werden den Opfern gefälschte Landingpages präsentiert, die entweder TikTok for Business oder Google Careers imitieren und zur Eingabe von Daten in ein Formular auffordern. Wer dem nachkommt, wird schließlich auf eine gefälschte Login-Seite weitergeleitet.

Adversary-in-the-Middle-Technik umgeht Multi-Faktor-Authentifizierung

Die Login-Seite fungiert als Adversary-in-the-Middle-Phishing-Kit (AITM). Sie arbeitet als Reverse Proxy zwischen dem Opfer und dem legitimen Dienst und erfasst dabei Anmeldedaten, Session-Cookies und Codes der Multi-Faktor-Authentifizierung (MFA) in Echtzeit. Dadurch kann der Angreifer Konten übernehmen, selbst wenn MFA aktiviert ist. Die Technik ist nicht neu – sie kam bereits bei früheren Kampagnen gegen Google-Ad-Manager-Konten zum Einsatz – erweist sich jedoch weiterhin als wirksam.

Das Risiko wird durch die verbreitete Nutzung von Single Sign-On (SSO) zusätzlich verstärkt. Viele geschäftliche Nutzer melden sich bei TikTok über ihr Google-Konto an. Ein erfolgreicher Phishing-Angriff kompromittiert in diesem Fall nicht nur das TikTok-Konto, sondern auch das verknüpfte Google-Konto. Der Angreifer erhält damit Zugriff auf die Werbeinfrastruktur beider Plattformen und potenziell auf weitere über SSO angebundene Anwendungen – einschließlich sensibler Unternehmensdaten.

Phishing-Angriffe werden technisch immer schwerer erkennbar

Diese Kampagne verdeutlicht einen breiteren Trend: Phishing-Angriffe werden zunehmend so konzipiert, dass sie technische Sicherheitskontrollen umgehen. Der Einsatz legitimer Weiterleitungsdienste, CAPTCHA-basierter Bot-Erkennung und AITM-Techniken erschwert es automatisierten Erkennungssystemen erheblich, diese Seiten zu identifizieren und zu blockieren. Traditionelle Kompromittierungsindikatoren wie verdächtige Domains verlieren an Aussagekraft, wenn Angreifer neue Domains in großer Zahl registrieren und schnell rotieren.

Menschliche Wachsamkeit bleibt der entscheidende Faktor

Auch der technisch ausgefeilteste Phishing-Angriff ist letztlich darauf angewiesen, dass eine Person auf einen Link klickt, ein Formular ausfüllt und ihre Anmeldedaten eingibt. Genau hier können Organisationen am wirksamsten ansetzen. Mitarbeitende, die geschäftliche Konten auf Social-Media- und Werbeplattformen verwalten, müssen gezielt darin geschult werden, solche Angriffsmuster zu erkennen. Dazu gehört die Fähigkeit, gefälschte Login-Seiten zu identifizieren, URLs vor der Eingabe von Anmeldedaten zu überprüfen und unaufgeforderte Nachrichten mit angemessener Skepsis zu behandeln, selbst wenn sie von legitimen Plattformen zu stammen scheinen.

Organisationen sollten ihre technischen Abwehrmaßnahmen durch einen systematischen Human Risk Management-Ansatz ergänzen. Dazu gehören regelmäßige, gezielte Security Awareness Trainings, realistische Phishing-Simulationen, die aktuelle Angriffstechniken wie AITM widerspiegeln, sowie adaptive Trainingsprogramme, die auf die spezifischen Risikoprofile einzelner Mitarbeitender und Teams zugeschnitten sind. Das Ziel ist die Etablierung von Verhaltensmustern, die auch unter Druck zuverlässig funktionieren, denn bei einem Phishing-Angriff ist immer derjenige Moment am kritischsten, wenn ein Mensch entscheidet, ob er einer Nachricht vertraut oder nicht.

-PM knowbe4-