Das Facebook-Anmeldefenster war ein Bild eines Facebook-Anmeldefensters
Sie haben sich bei Meta beworben. Ein Recruiter schickt einen Calendly-Link. Sie wählen einen Termin von dreißig Minuten für ein Telefongespräch, tragen Ihre Daten ein, lösen etwas, das wie ein CAPTCHA aussieht, und dann bittet die Seite Sie, sich bei Facebook anzumelden. Kurz darauf will sie auch noch Ihr Google-Konto, angeblich aus Sicherheitsgründen. Alles daran ist gefälscht, außer den Zugangsdaten, die Sie gerade abgegeben haben.
Malwarebytes hat die Kampagne am 14. Oktober dokumentiert. Die Buchungsseite ist eine sorgfältige Kopie von Calendly, betitelt mit Calendly | Meta Careers, mit Monatsansicht und Zeitzonenauswahl an den richtigen Stellen. Der Trick steckt im Facebook-Fenster: Es ist in die Bewerbungsseite hineingezeichnet, mit aufgemalten Browserschaltflächen und einer Adressleiste, in der facebook.com steht. Ihre echte Adressleiste zeigt weiterhin etwas wie joinhire.cfd oder jointheteam.works. Die Forscher fanden elf solcher Domains.
Zwei-Faktor-Anmeldung rettet Sie hier nicht. Die Seite hält eine Live-Verbindung zum Server der Angreifer, der eingetippte Code wird also innerhalb von Sekunden beim echten Facebook verwendet, bevor er abläuft. Sie kann auch die Handy-Abfrage auslösen, das heißt, ein Tippen auf Bestätigen auf Ihrem eigenen Gerät lässt die Angreifer hinein. Konten, die an eine Unternehmensseite oder ein Werbekonto gekoppelt sind, sind das eigentliche Ziel.
Die Gegenwehr ist unspektakulär. Trauen Sie niemals einem Anmeldefenster, das innerhalb einer anderen Seite auftaucht. Versuchen Sie, es zu verschieben: Ein echtes Browserfenster bewegt sich unabhängig von der Seite dahinter, ein Bild davon nicht. Oder rufen Sie facebook.com einfach selbst in einem neuen Tab auf und schauen Sie, ob Sie schon angemeldet sind. Passkeys helfen ebenfalls, weil es gar keinen Code gibt, den man Ihnen abschwatzen könnte. Die Datenschutz- und Kontenprüfung von Tendvane geht durch, wie Sie sich bei Windows anmelden und welche Kontoschutzfunktionen derzeit aktiv sind.