Brüssel (Berlin Morgen Zeitschrift) – Ein von POLITICO geprüfte Dokument zeigt, dass staatlich unterstützte Hacker hochrangige Beamte der Europäischen Union durch maßgeschneiderte Spear-Phishing-Kampagnen auf WhatsApp ins Visier nahmen und damit neue Bedenken hinsichtlich der Sicherheit der internen Kommunikation des Blocks aufwarfen.
Die Angriffe wurden in einer Präsentation beschrieben, die von EU-Cybersicherheitsbeamten erstellt wurde. Darin wurde gewarnt, dass Hacker gezielte und personalisierte Köder verwendet hätten, um Beamte dazu zu bringen, auf bösartige Links zu klicken, Anhänge zu öffnen oder Informationen weiterzugeben, die den Zugriff auf ihre Konten ermöglichen könnten.
In der Präsentation wurden die betroffenen Beamten nicht identifiziert, es wurde nicht offengelegt, wie viele Konten erfolgreich kompromittiert wurden, und es wurde auch nicht der Staat genannt, der für die konkrete WhatsApp-Operation verantwortlich war. Sie enthielt auch keinen Hinweis darauf, dass die Ende-zu-Ende-Verschlüsselung von WhatsApp gebrochen worden sei.
Wie wurden EU-Beamte ins Visier genommen?
Die Kampagne nutzte das, was Cybersicherheitsexperten als staatlich unterstütztes Spear-Phishing bezeichnen. Im Gegensatz zu Massen-Phishing, bei dem identische Nachrichten an eine große Zahl von Menschen gesendet werden, richtet sich Spear-Phishing gegen bestimmte Personen. Angreifer recherchieren ihre Ziele und bereiten Nachrichten vor, die so wirken, als stünden sie im Zusammenhang mit offiziellen Treffen, Kollegen, Regierungsbehörden oder Sicherheitswarnungen.
Die Hacker könnten versucht haben, WhatsApp-Verifizierungscodes, PINs oder die Genehmigung zum Verbinden eines zusätzlichen Geräts mit einem Konto zu erhalten. Sobald der Zugriff gesichert ist, kann ein Angreifer möglicherweise neue Nachrichten lesen, Gruppenchats überwachen, sich als Kontoinhaber ausgeben und vertrauenswürdige Kontakte nutzen, um die Operation auszuweiten.
Die gemeldete Aktivität scheint sich daher eher darauf konzentriert zu haben, Nutzer und Geräte zu kompromittieren, als die Verschlüsselungstechnologie von WhatsApp zu überwinden. Ende-zu-Ende-Verschlüsselung schützt Nachrichten auf ihrem Weg zwischen Geräten, kann jedoch nicht verhindern, dass ein Nutzer einen Sicherheitscode herausgibt oder eine bösartige Anmeldung genehmigt.
Das öffentlich zugängliche Dokument legte nicht fest, ob sensible EU-Dokumente gestohlen wurden, ob die betroffenen Beamten offizielle oder private Telefone nutzten oder ob die Angriffe entdeckt wurden, bevor ein Kontozugriff erlangt wurde.
Wovor warnten EU-Cybersicherheitsbeamte?
Die EU-Präsentation sagte Berichten zufolge, dass die Institutionen des Blocks im Jahr 2026 acht bedeutende Cybervorfälle erlebt hätten. Sie hob auch Bedenken hinsichtlich fragmentierter Cybersicherheitsstrukturen und des Fehlens einer gemeinsamen Lösung für den Austausch sensibler und klassifizierter Dokumente hervor.
Die EU-Institutionen arbeiten nicht in einem einzigen einheitlichen technischen Netzwerk. Die Europäische Kommission, das Europäische Parlament, der Rat der EU und andere Einrichtungen unterhalten separate Systeme und Sicherheitspraktiken. Diese Fragmentierung kann es erschweren, Warnungen auszutauschen, Vorfälle zu melden und auf Angriffe zu reagieren, an denen Beamte beteiligt sind, die institutionen- und regierungsübergreifend arbeiten.
Die Europäische Kommission lehnte es ab, ihre internen Sicherheitsvorkehrungen zu erörtern. Das Fehlen öffentlicher Details bedeutet, dass weiterhin unklar ist, ob die WhatsApp-Vorfälle eine bestätigte Sicherheitsverletzung oder eine Reihe blockierter Angriffsversuche betrafen.
Wie ist dies mit früheren Angriffen vergleichbar?
Die jüngste Kampagne unterscheidet sich von der Pegasus-Operation von 2019, einem der schwerwiegendsten früheren Vorfälle im Zusammenhang mit WhatsApp.
Im Mai 2019 gab WhatsApp bekannt, dass Angreifer eine Schwachstelle in seinem Anrufsystem ausgenutzt hatten, um Pegasus-Spyware auf gezielten Telefonen zu installieren. Das Unternehmen erklärte, dass etwa 1.400 Nutzer in 20 Ländern ins Visier genommen worden seien, darunter Journalisten, Aktivisten, Diplomaten und Regierungsbeamte.
Bei dieser Operation wurde eine Softwareschwachstelle ausgenutzt, die eine umfassende Überwachung eines Geräts ermöglichen konnte. Die aktuelle Kampagne basiert nach den öffentlich verfügbaren Informationen hauptsächlich auf Phishing und Täuschung.
Ähnliche Spyware-Vorfälle betrafen später katalanische Politiker und Aktivisten, polnische Oppositionsvertreter, ungarische Journalisten und spanische Regierungsbeamte. Das Pegasus Project untersuchte 2021 eine Liste von etwa 50.000 Telefonnummern, die möglicherweise für eine Überwachung ausgewählt worden waren, obwohl die Aufnahme in die Liste keine Infektion nachwies.
Die Fälle, in denen Journalisten von Al Jazeera betroffen waren, zeigten ebenfalls das anhaltende Interesse staatlicher Akteure an Medienfachleuten. Citizen Lab berichtete, dass 36 Telefone von Journalisten und Führungskräften von Al Jazeera im Jahr 2020 ins Visier genommen wurden.
Der jüngste Angriff verdeutlicht, dass selbst bei intakter Verschlüsselung vertrauenswürdige Kommunikation durch kompromittierte Konten, betrügerische Nachrichten und schwache Sicherheitspraktiken gefährdet werden kann. Für EU-Institutionen könnte die Offenlegung der Kontakte, Gespräche und Gruppennetzwerke von Beamten für Nachrichtendienste ebenso wertvoll sein wie der Inhalt einzelner Nachrichten.
