TIL: Kein Klick vor 6

Gestern kurz nach fünf, las ich eine Nachricht von einem guten Bekannten:

Hallo, könntest du bitte für Sophia abstimmen? Sie ist die Tochter von engen Freunden von mir, und dieser Sieg ist für ihre Familie sehr wichtig! Es geht um ein Stipendium für ihre Ausbildung. Vielen, vielen Dank im Voraus für deine Unterstützung! 🙏

Dazu ein Link, und ich hielt mich nicht an das, was ich selbst in der Familie oft genug gepredigt habe: Keine Links anklicken, egal von wem. Ich habe draufgetippt. Die Seite lud nicht. Was ich erst als Konfigurationsproblem abtat, geriet in Vergessenheit. So wichtig war mir die Wahl ja auch nicht.

Etwas später am Morgen kam dann seine Entschuldigung. Der Account meines Bekannten war "gehackt" worden, die Nachricht ging an seine ganze Kontaktliste. Also schaute ich mir die Nachricht nochmal an, und ja, viel offensichtlicher geht es nicht.

Was ich nicht zu sehen bekam, beschreibt Malwarebytes: Der Link führt nicht zu einer Abstimmung, sondern in WhatsApps eigene Funktion für verknüpfte Geräte. Man wird aufgefordert, einen Code einzugeben oder eine Verbindung zu bestätigen, und autorisiert damit ein fremdes Gerät auf dem eigenen Account. Ein Passwort wird nirgends abgefragt. Man richtet den Zugriff selbst ein.

Bei mir ist er nie so weit gekommen, und hier wollte ich dann doch wissen, wieso ich verschont wurde. Fündig wurde ich im Log von NextDNS: Blocked, Newly Registered Domain. Den Haken hatte ich vor Monaten gesetzt und seitdem nicht mehr angesehen. Er blockt jede Domain, die jünger als 30 Tage ist.

Genau von diesen jungen Domains lebt die Masche: eine frische Domain pro Welle, verbrannt nach ein paar Tagen, damit keine Blockliste sie kennt, wenn die erste Nachricht rausgeht.

Ich habe einfach nur Glück gehabt.