Risikofaktor Meta Threat-Brutstätte Threads

Foto: sdx15 – shutterstock.com

Social-Media-Riese Meta hat seinen X- respektive Twitter-Klon Threads im Juli 2023 mit großem Tamtam an den Start gebracht. Schon kurz nach dem Start konnte die Zuckerberg-Company eine Rekordzahl neuer User vermelden – innerhalb von fünf Tagen meldeten sich rund 100 Millionen User an. Das lag zum einen an der engen Koppelung von Threads mit Instagram (ersteres setzt einen Account bei letzterem voraus), zum anderen daran, dass Elon Musk mit seinen fragwürdigen Gestaltungsmaßnahmen seriöse Nutzer und Werbekunden zunehmend abschreckte.

In der EU ist die App wegen Datenschutzbedenken weiterhin nicht erhältlich. Anderenorts ist das Interesse an Threads weiterhin groß – allerdings nicht nur unter “normalen” Usern: Die Social-Media-Plattform ist längst auch zur Anlaufstelle für Betrugs- und Missbrauchsversuche geworden, wie eine aktuelle Untersuchung von CSC Research belegen will. Demnach beobachteten die Forscher zwischen Ende Juni und Ende Juli 2023 mehr als 400 Domain-Neuregistrierungen mit Beteiligung des Brands – laut den Forschern ein Anlass für Unternehmen, ganz genau hinzuschauen, denn unrechtmäßig registrierte URLs könnten leicht dazu benutzt werden, um im Namen bekannter Marken oder Unternehmen Malware zu verbreiten.

“Wie bei jeder neuen Plattform sollten Unternehmen die Initiative ergreifen, um sich über die Risiken zu informieren und Sicherheitsmaßnahmen zu evaluieren – auch weil Cyberkriminelle versuchen werden, Ihnen in Sachen Domain-Registrierung zuvorzukommen. Unternehmen müssen einen umfassenden Überblick über ihre gesamte Domain-Landschaft haben und aktiv Schritte unternehmen, um Betrug und Rechtsverstöße zu vermeiden”, schreiben die Experten.

Aktuell beobachten die Sicherheitsexperten von Veriti täglich rund 700 Domain-Registrierungen in Zusammenhang mit Threads – wobei zahlreiche URLs verdächtige Charakteristiken aufwiesen, die auf eine betrügerische oder missbräuchliche Verwendung hindeuteten.

Die soziale Bedrohungsbrutstätte

Dass Produkte mit hohem Bekanntheitsgrad zügig das Interesse böswilliger Akteure wecken, weiß auch Alexander Applegate, Senior Threat Researcher bei DNSFilter. Metas Threads bilde hierbei keine Ausnahme, meint der Experte – eher im Gegenteil: “Threads zog in der ersten Woche 100 Millionen Nutzer an und verdrängte damit ChatGPT als am schnellsten wachsende Anwendung. In der gleichen Woche fanden Forscher 200 Millionen verdächtige URLs, die mit dem Tool in Verbindung gebracht wurden. Viele davon führten zu Malware-Downloads, andere waren darauf ausgelegt, Nutzer zu kompromittieren.”

Trifft es dabei Mitarbeiter von Unternehmen, besteht die Gefahr, dass sensible Daten nach außen dringen. Auch die Funktion, als Nutzer seinen Standort zu teilen, ist potenziell risikobehaftet. Erschwerend kommt hinzu, dass Instagram Direct und damit auch Threads standardmäßig keine Ende-zu-Ende-Verschlüsselung für Nachrichten verwendet. Bei einer Kompromittierung sind diese Daten also für Angreifer potenziell zugänglich. Die enge Verknüpfung von Threads und Instagram schürt weitere Sicherheitsbedenken, wie in einem Blogbeitrag von AgileBlue zu lesen ist: “Instagram, Facebook und Threads gehören zu Meta und viele Nutzer verwenden für ihre Konten auf allen Plattformen dieselben Anmeldedaten. Das macht es böswilligen Akteuren sehr viel einfacher, an Informationen zu gelangen.”

Zudem setze sich Metas problematische Datenschutz-Historie auch mit Threads nahtlos fort, wie Applegate mahnend unterstreicht: “Threads verlangt den Zugriff auf alle möglichen persönlichen Daten, einschließlich Informationen zur Standortbestimmung, Daten aus sozialen Netzwerken und Finanzdaten – selbst wenn die Anwendung nicht genutzt wird.”

Sie wollen weitere interessante Beiträge rund um das Thema IT-Sicherheit lesen? Unser kostenloser Newsletter liefert Ihnen alles, was Sicherheitsentscheider und -experten wissen sollten, direkt in Ihre Inbox.

Jetzt CSO-Newsletter sichern

Dieser Beitrag basiert auf einem Artikel unserer US-Schwesterpublikation CSO Online.