Gefälschte Login-Seiten mit Ihrer Marke: wie sie entstehen und wie Sie sie entfernen lassen

Eine gefälschte Login-Seite ist eine Kopie Ihrer Anmeldemaske auf einer Domain, die Sie nicht kontrollieren. Sie dient dazu, Benutzernamen, Passwörter und manchmal Einmalcodes Ihrer Kunden oder Mitarbeiter abzugreifen, die über eine E-Mail, eine SMS, eine Suchanzeige oder einen Link im Chat dorthin gelangen.

Betreiben Sie ein Kundenportal, Webmail, ein SaaS-Produkt oder irgendetwas mit Login, lässt sich Ihre Seite in Minuten kopieren, denn HTML, Logo und Styles werden jedem Besucher ausgeliefert. Angreifer brauchen nur eine glaubwürdig wirkende Domain und einen Weg, Menschen dorthin zu lenken.

Viele dieser Seiten können Sie erkennen, bevor sie breit eingesetzt werden, und es gibt eine klare Reihe von Stellen, bei denen Sie sie melden können, damit sie blockiert und entfernt werden.

Wie gefälschte Login-Seiten aufgesetzt werden

Die meisten folgen denselben Schritten:

1. Eine Domain. Meist eine ähnliche Domain (examp1e.com, example-login.com) oder eine Subdomain auf einer fremden Domain (example.com.secure-verify.net). Siehe ähnliche Domains und Typosquatting.
2. Ein Zertifikat. Browser zeigen bei jeder Website mit gültigem Zertifikat ein Schloss, also besorgen sich Angreifer eines für die Domain. Dieses Zertifikat wird in den Certificate Transparency Logs erfasst.
3. Eine Kopie Ihrer Seite. Oft Ihr eigenes HTML, bei dem die Formularaktion so geändert ist, dass die Zugangsdaten anderswohin gehen. Manche Varianten leiten die Zugangsdaten in Echtzeit an Ihre echte Seite weiter und können so auch Einmalcodes abfangen.
4. Verbreitung. E-Mails, SMS, Nachrichten in sozialen Medien oder bezahlte Anzeigen, die auf die Kopie verweisen.

Die ersten 2 Schritte hinterlassen Spuren, die sich beobachten lassen, bevor viele Menschen die Seite sehen.

So erkennen Sie sie früh

Beobachten Sie die Ausstellung von Zertifikaten. Durchsuchen Sie die Certificate Transparency Logs nach Namen, die Ihre Marke enthalten, zum Beispiel auf crt.sh mit einer Abfrage wie %example%. Ein neues Zertifikat für example-account-check.com, das Sie nicht beantragt haben, verdient einen Blick. Unser Artikel über Certificate Transparency Logs erklärt, was diese Logs zeigen.

Beobachten Sie neue ähnliche Domains. Werkzeuge wie dnstwist listen registrierte Varianten Ihrer Domain auf und vergleichen mit der Option --lsh deren HTML mit Ihrem:

dnstwist --lsh https://example.com/login example.com

Ein hoher Ähnlichkeitswert bei einer Domain, die Ihnen nicht gehört, ist ein starkes Signal.

Hören Sie Ihren Nutzern zu. Support-Tickets wie „Ich habe mich angemeldet, aber nichts ist passiert“ oder „Ihre Seite hat zweimal nach meinem Code gefragt“ sind oft das erste Anzeichen. Geben Sie dem Support einen einfachen Weg, verdächtige Links an die Person weiterzuleiten, die sich um Sicherheit kümmert.

Prüfen Sie Ihre eigenen Logs. Manche Kopien laden Bilder, Skripte oder Schriften direkt von Ihrer Website. Anfragen nach Ihren Dateien mit einem Referer-Header von einer unbekannten Domain können Sie zur Kopie führen.

So lassen Sie eine gefälschte Login-Seite entfernen

Gehen Sie diese Schritte parallel an, nicht nacheinander:

1. Browser-Sperrlisten. Melden Sie die URL bei Google Safe Browsing und bei Microsoft. Sobald sie gelistet ist, zeigen große Browser vor dem Laden der Seite eine Warnung, was Menschen schützt, auch solange die Seite noch online ist.
2. Anti-Phishing-Community. Die Anti-Phishing Working Group bittet darum, Phishing-E-Mails an reportphishing@apwg.org weiterzuleiten.
3. Der Registrar. Ermitteln Sie ihn mit whois und nutzen Sie seinen Abuse-Kontakt. Von der ICANN akkreditierte Registrare müssen nach Abschnitt 3.18 des Registrar Accreditation Agreement von 2013 einen Abuse-Kontakt veröffentlichen und angemessene und zügige Schritte unternehmen, um Missbrauchsmeldungen zu untersuchen.
4. Der Hosting-Anbieter. Ermitteln Sie die IP mit dig example-login.com +short, finden Sie dann mit whois <ip> den Netzbetreiber und melden Sie den Fall an dessen Abuse-Adresse.

Eine gute Meldung ist kurz und überprüfbar: die genaue URL, ein Screenshot, der Zeitpunkt, zu dem Sie die Seite gesehen haben, Ihre echte Domain und ein Satz, der erklärt, dass die Seite Ihren Login imitiert, um Zugangsdaten abzugreifen. Versuchen Sie nicht, sich auf der gefälschten Seite anzumelden, und interagieren Sie mit ihr nicht mehr als nötig, um sie zu dokumentieren.

Den Schaden begrenzen

Abschaltungen brauchen Zeit, also senken Sie den Wert eines gestohlenen Passworts:

• Bieten Sie phishing-resistente Anmeldung an und fördern Sie sie, etwa Passkeys oder Sicherheitsschlüssel, die an Ihre echte Domain gebunden sind und auf einer Kopie nicht funktionieren.
• Achten Sie nach einer Phishing-Meldung auf ungewöhnliche Anmeldungen: neue Orte, viele Konten von einer IP oder massenhafte Passwortzurücksetzungen.
• Sagen Sie Ihren Nutzern, wo Sie sich anmelden. Ein kurzer Hinweis („Wir bitten Sie ausschließlich auf example.com um eine Anmeldung“) hilft.
• Setzen Sie DMARC auf Ihrer echten Domain durch, damit die E-Mails, die zur Kopie führen, nicht Ihre exakte Adresse verwenden können. Siehe SPF, DKIM und DMARC erklärt.
• Setzen Sie betroffene Konten zurück und beenden Sie die Sitzungen von Nutzern, die melden, ihr Passwort eingegeben zu haben.

Checkliste

• Certificate-Transparency-Suche nach Ihrem Markennamen, nach festem Zeitplan wiederholt.
• Scan nach ähnlichen Domains mit Seitenvergleich.
• Ein Support-Prozess zur Weiterleitung verdächtiger Links.
• Meldevorlagen für Google, Microsoft, APWG, Registrare und Hoster liegen bereit.
• Phishing-resistente Anmeldung steht Ihren Nutzern zur Verfügung.

Wie Datahorses hilft

Datahorses beobachtet Ihr Unternehmen jeden Tag von außen auf gefälschte Login-Seiten auf ähnlichen Domains, neu ausgestellte Zertifikate mit Ihrem Namen und bekannte Phishing-Meldungen, die Ihre Marke erwähnen. Wir dringen nicht in Ihre Systeme ein und benötigen keine Zugänge. Finden wir eine Seite, die Ihren Login imitiert, prüft sie ein Mensch, und Sie erhalten die Details und die Schritte zur Abschaltung, wie unter was passiert, wenn wir etwas finden beschrieben. Wie ein solcher Fund aussieht, sehen Sie im Beispiel-Dashboard.