Google hat kürzlich seinen Betrugs- und Scam-Bericht vom Juni 2026 veröffentlicht. Er beleuchtet zahlreiche Angriffe auf mobile Endgeräte, die zu einem bevorzugten Vektor der Angreifer geworden sind. Zwischen Techniken, die darauf ausgelegt sind, Kontrollen zu umgehen, und durch KI industrialisierten Kampagnen entwickeln sich die mobilen Bedrohungen unaufhörlich weiter.
Der Bericht betont die Zunahme mobiler Erpressung über gefälschte Banking- und Finanz-Apps. Getarnt als Apps für die persönliche Finanzverwaltung, fordern sie Berechtigungen, die nichts mit ihrer angegebenen Funktion zu tun haben: Zugriff auf Kontakte, den SMS-Verlauf oder Fotos. Apps dieser Art wurden bereits mehr als acht Millionen Mal heruntergeladen.
Diese Art von Bedrohung ist nicht neu. Was sich ändert, ist die Art und Weise, wie diese Apps ihre Nutzer erreichen. Angesichts der verschärften Kontrollen von Google Play greifen Angreifer zunehmend auf Versioning zurück. Sie reichen zunächst eine seriös wirkende App ein, die die Prüfung des App Stores besteht, und verbreiten dann ein Update mit dem Schadcode, sobald die App installiert ist. Dieser nutzt anschließend die Bedienungshilfen (Accessibility Services) des Geräts aus. Um diesen Taktiken entgegenzuwirken, priorisieren Googles Teams nach eigenen Angaben die Erkennung sogenannter ruhender Berechtigungen.
Der Google-Bericht beschreibt außerdem ein Phishing im Wandel, das immer neue Techniken einsetzt, um herkömmliche Schutzmaßnahmen zu umgehen. Unter den genannten zielt das Quishing, also Phishing per QR-Code, direkt auf das Mobilgerät. Ein manipulierter QR-Code wird mit einem Smartphone gescannt und öffnet sofort einen betrügerischen Link auf dem Gerät, ohne dass der Nutzer das Ziel überprüfen kann und außerhalb der Reichweite von E-Mail-Filtern. Diese QR-Codes setzen ihrerseits auf Umgehungstechniken wie Überlagerung oder Fragmentierung, um Analysewerkzeuge auszutricksen.
Über diese neuen Techniken hinaus haben sich diese Kampagnen vor allem industrialisiert. Sie werden inzwischen schlüsselfertig als Phishing-as-a-Service verkauft, und die generative KI vervielfacht ihre Reichweite.
Google hat zudem vergangenen Monat Klage eingereicht gegen eines dieser Netzwerke mit dem Namen Outsider Enterprise. Für ein Abonnement ab 88 Dollar pro Woche bot das Kit Zugang zu mehr als 290 Vorlagen für gefälschte Websites und diente dazu, 2,5 Millionen betrügerische SMS innerhalb von zwei Wochen im Mai an Android-Geräte zu versenden. Um diese gefälschten Seiten in Serie zu erzeugen, missbrauchten die Betreiber Gemini, die generative KI von Google. Genau dieser Missbrauch war der Anlass für diese erste Klage gegen den missbräuchlichen Einsatz der eigenen KI. Der Fall verdeutlicht das Ausmaß, das mobiles Phishing inzwischen erreicht, bei dem Automatisierung die erforderlichen Fähigkeiten senkt, um groß angelegte Kampagnen durchzuführen.
Das Mobilgerät ist heute ein bevorzugter Angriffsvektor, aber noch immer zu wenig gesichert. Die Lösung Pradeo Mobile Threat Defense schützt die mobilen Flotten von Unternehmen, indem sie Bedrohungen über alle Vektoren hinweg automatisch erkennt (Anwendungen, Netzwerk und System):