Criminelen misbruiken webapps op Android en iOS voor phishing

Meestal, als het gaat over inbreuken op Android en iOS, gebeurt dat via apps die je ook in de Apple App Store of Google Play Store kunt tegenkomen. Criminelen proberen enerzijds gevaarlijke apps via deze appwinkels aan te bieden, of verspreiden ze via losse installatiebestanden. ESET is deze keer een nieuwe ‘aanvalsmethode’ op het spoor gekomen die gebruikmaakt van zogeheten Progressive Web Apps (PWA). Dat zijn webgebaseerde apps die je via de browser installeert en vergelijkbare functies bieden als reguliere mobiele apps, zij het in een kleiner pakketje.

Mobiele bankapps

Het gemak waarmee gebruikers zulke apps kunnen installeren, is inmiddels ook bij criminelen doorgedrongen, zegt ESET. Cybercriminelen maken hier ‘handig gebruik’ van door slachtoffers via geautomatiseerde telefoongesprekken, sms’jes en malafide advertenties op sociale media te misleiden om zo’n app te installeren. Ze krijgen dan een link doorgestuurd die hen leidt naar een neppe versie van de App Store of Play Store in een browser naar keuze. Vanuit daar kunnen ze vervolgens nietsvermoedend de gevaarlijke webapp installeren.

Bij zulke aanvallen gaat het meestal om malafide bankapps. Na het installeren van de app verschijnt er ook een icoontje op het startscherm, vaak van een vertrouwde partij. De hoop is dat gebruikers vervolgens proberen in te loggen op die bankapp. De hackers zien precies wat je hebt ingevuld en krijgen zo toegang tot je bankaccount, om vervolgens geld afhandig te maken.

Beveiliging van appwinkels

Wat deze aanvallen zo gevaarlijk maakt, is dat het haast onmogelijk is om ze te voorkomen. De PWA’s worden namelijk niet gecontroleerd voordat je ze kunt installeren, wat wel het geval is bij apps in mobiele appwinkels. Hoewel je die beveiliging op Android al vrij makkelijk kunt omzeilen, is dat een ander verhaal op iOS. Zelfs voor alternatieve appwinkels in de EU heeft Apple strenge beveiligingsregels opgesteld. Soortgelijke regels zijn er niet voor PWA’s, waardoor gebruikers nu dus alsnog om de tuin geleid kunnen worden.

Net zo gevaarlijk is het feit dat PWA’s niet te onderscheiden zijn van reguliere mobiele apps. De icoontjes zijn vaak identiek aan die van de mobiele apps, en ook het uiterlijk van de app zelf is soms hetzelfde. Door logo’s van bekende merken te gebruiken, zijn gebruikers bovendien sneller geneigd te geloven dat het om de ‘echte app’ gaat.

Hoeveel slachtoffers dit type aanval al heeft gemaakt, is niet precies bekend. ESET zegt dat de techniek al is ingezet in Polen, Tsjechië, Hongarije en Georgië. Voorlopig lijkt het zich dus vooral te richten op Oost-Europa, al kan de techniek ook zomaar in onze contreien worden ingezet. Als je ooit het slachtoffer wordt van dit type aanval, is het in de eerste plaats belangrijk om je bank of Card Stop te bellen én aangifte te doen.