Eine gefälschte Perplexity-Erweiterung hatte 4,7 Sterne und 10.000 Nutzer

Vier Kunden von Sophos installierten dieselbe Browsererweiterung. Sie trug den Namen von Perplexity, kam aus dem offiziellen Chrome Web Store statt von irgendeiner beliebigen Download-Seite, und zeigte eine Bewertung von 4,7 Sternen bei 67 Rezensionen mit 10.000 Installationen an. Was sie tatsächlich tat, war, ihre Suchanfragen zu kapern, über eine nachgeahmte Domain umzuleiten und ihre Browserdaten in Echtzeit an die Personen zu senden, die sie gebaut hatten.

Dieser Fall steckt in einem Bericht, den Sophos X-Ops diese Woche veröffentlicht hat, aus 12 Monaten eigener Vorfallsreaktionsarbeit zwischen dem 2. Juli 2025 und dem 29. Juni 2026. Von 86 als KI-bezogen markierten Fällen stellten sich 34 als tatsächlich bösartig heraus, und mit vier weiteren aus separaten Untersuchungen deckt der Bericht 38 Vorfälle ab. Softwarenachahmung machte davon 30 aus. Der mit weitem Abstand am häufigsten missbrauchte Name war Claude, in 26 Fällen, vor ChatGPT, Copilot und Perplexity.

Die andere Technik im Bericht lohnt sich, auf den ersten Blick erkennen zu lernen. Sophos nennt sie InstallFix, eine Verwandte des ClickFix-Tricks: Man landet auf einer typosquattenden Seite, meist über eine Anzeige, und sie zeigt eine saubere, professionell wirkende Installationsanleitung, die verlangt, irgendwo einen Befehl einzufügen. Ein Fall nutzte eine einzelne mshta-Zeile, die ihre Nutzlast von einer nachgeahmten Domain zog und sich anschließend in einem Browserprozess zu verstecken versuchte. Nirgendwo musste eingebrochen werden. Die Person am Rechner hat selbst installiert.

Also zwei Gewohnheiten. Beziehen Sie KI-Software nur von der eigenen Domain des Herstellers, von Hand eingetippt statt aus einem Suchergebnis angeklickt, und begegnen Sie jeder Installationsanleitung, die Sie zum Einfügen eines Befehls auffordert, mit derselben nüchternen Skepsis, die Sie einem Anruf entgegenbringen würden, der behauptet, von Ihrer Bank zu stammen. Sternebewertungen und Rezensionsanzahlen sind Dekoration, und beides lässt sich billig kaufen. Tendvanes Sicherheitscheck listet Ihre Browsererweiterungen neben Ihren installierten Programmen auf, und das ist für die meisten Menschen der einzige Moment, in dem diese Liste je angesehen wird.