Alexa: “Phishing” Skills

Forscher von SRLabs haben herausgefunden, wie über Skills von Drittanbietern über Alexa, sensible Daten des Nutzers abgegriffen werden können. Phishing ist hier das Stichwort ähnlich wie in E-Mails.

Vielen Nutzers sollte bekannt sein das Alexa oder Google niemals nach dem Passwort fragen. Genau das ist aber die Methode wie die Daten abgegriffen werden sollen. Einige von euch haben bestimmt schon mal von sogenannten „Phishing-Attacken“ gehört. Meistens geht es da um E-Mails, wo man einer vermeintlichen Mail von eBay, Amazon oder PayPal bekommt. Dort ist dann ein Link eingebunden dessen Klicken zur Bestätigung der AGBs notwendig wäre.

Wenn man aber drauf klickt landet man immer auf einer Login Seite. Nach dem man dann blauäugig seine Daten eingegeben hat, wird man auf die richtige Website geleitet und bemerkt das erst einmal nicht. Da sei gesagt achtet immer auf die Mail Adressen, Amazon würde euch so eine Mail niemals über @marketplace-amozon.de schicken, oder euch mit 100 anderen ins cc nehmen. Wer auf die Sachen achtet, ist hier schon ziemlich sicher.

Beim Sprachassistenten solltet ihr drauf achten wenn ihr Skills Installiert und diese euch nach einem Passwort fragt, egal in welchem Zusammenhang vertraut diesem Skill besser nicht. So haben es die Forscher von SRLabs nun in zwei Videos präsentiert. Das als Horoskop getarntes Programm, gibt nach dem Start eine Fehlermeldung aus, „Der Dienst ist in dieser Region verfügbar“. Hier gehen die meisten Nutzer nun davon aus, dass das der Skill nicht gestartet wurde. Hier folgt aber lediglich eine ein minütige Pause, nach welcher der Sprachassistent bekannt gibt, dass ein Update zur Verfügung steht. Um es zu starten, soll man sein Amazon/Google Passwort angeben.

Noch einmal, eindringlich, diese Abfrage darf nicht beantwortet werden.