Instagram gehackt: Unser persönlicher Cyber-Krimi

Regelmäßig liest man von Hacker-Angriffen und wird vor Phishing-Mails gewarnt. Online werden wir regelmäßig dazu aufgefordert, zweistufige (oder sogar mehrstufige) Authentifizierungen einzurichten, um uns digital abzusichern.

Die meisten von uns sind vielleicht auch schon mal genervt, dass man heutzutage so viele Schritte (Login, Passwort, SMS-TAN und mehr) durchlaufen muss, um in sein Online-Banking zu gelangen.

Aber all die Sicherheitsverkehrungen gibt es nicht ohne Grund, denn Cyber-Kriminalität ist Realität.

Wir selber sind im vergangenen Jahr Opfer eines Cyber-Angriffs geworden. Über eine Phishing-Mail wurde unser Instagram-Passwort gehackt. Der Hacker erpresste uns im Anschluss per Whatsapp (!). Dazu später mehr.

In diesem Artikel wollen wir unsere Erfahrungen (und Learnings) rund um den Hacker-Angriff mit dir teilen, in der Hoffnung, dass dir nicht das gleiche passiert.

So wurden wir Opfer von einer Phishing-Mail

Bei einer Phishing-Mail handelt es sich um eine manipulierte E-Mail, die den Empfänger dazu verleiten soll, persönliche Informationen preiszugeben, wie z. B. Passwörter, Zugangsdaten oder andere sensible Daten.

In unserem Fall kam die gefälschte E-Mail angeblich von Instagram. Die Absendeadresse, der Aufbau der E-Mail sowie der Inhalt lieferten keinen Grund zur Skepsis.

Wir wurden darüber informiert, dass eines unserer geposteten Fotos auf Instagram gemeldet wurde, da wir damit ein Urheberrecht verletzt haben. Da wir regelmäßig Fotos aus der Community reposten, dachten wir tatsächlich, dass dies der Wahrheit entsprach. Wir wurden dazu aufgefordert, uns bei Instagram einzuloggen, um auf das gemeldete Foto zu reagieren.

Kurz nachdem wir uns „auf Instagram eingeloggt“ hatten, bzw. kurz nachdem wir einem Cyber-Kriminellen unsere Instagram-Zugangsdaten geschenkt hatten, erreichte uns eine Nachricht von „King“ per Whatsapp. Schnell wurde uns klar, dass wir tatsächlich auf eine Phishing-Mail reingefallen sind.

„Hello, I have your instagram account too. If you want it back, you have to pay money please make up your mind yes or no“

King

Vorgehensweise des Hacker-Angriff

Die Vorgehensweise unseres Hacker-Angriffs war schnell durchschaut. Der Cyberkriminelle (oder die Gruppe an Cyberkriminellen) schickte die Phishing-Mail an eine große Anzahl an Instagram-Usern. Der Betrug war nur möglich, da wir damals keine Zwei-Faktor-Authentifizierung hatten.

Denn der Hacker änderte, nachdem er im Besitz unserer Instagram-Zugangsdaten war, den Instagram-Namen, E-Mail sowie Handynummer. Dies wäre mit einer Zwei-Faktor-Authentifizierung nicht möglich gewesen, da wir per SMS eine Benachrichtigung erhalten hätten.

Statt Indojunkie hieß unser Account also nun pharabenfarway19k2. Und statt unserem Indojunkie-Logo im Profilbild schaute uns von nun an ein gruseliges Krokodilauge an. Die Zahl neben dem Hacker-Synonym pharabenfarway stand für unsere Followeranzahl.

Also wir pharabenfarway in die Suchleiste von Instagram eingaben, erschien eine riesige Anzahl an Accounts, die der Cyber-Kriminelle „King“ übernommen hatte. Wir waren also nicht die einzigen Opfer von diesem Hackerangriff. Man konnte ewig nach unten scrollen.

Ich nahm Kontakt zu dem ein oder anderen pharabenfarway-Opfer auf – zum Teil über die privaten Instagram-Accounts der Opfer oder aber über deren Webseiten bzw. E-Mail-Adressen, die aus dem Instagram-Content ersichtlich war.

Schnell wurde klar, dass es sich wirklich um die gleiche Masche handelte. Wir alle wurden von der gleichen Whatsapp-Nummer erpresst.

Der King und seine Opfer

Meine Strategie bestand darin, erstmal Zeit zu schinden.

King fragte mehrmals am Tag per Whatsapp, ob wir uns bereits entschieden hatten. Wir sollten 1000 Euro zahlen und im Gegenzug würden wir unseren Account zurückkriegen. Wenn wir nicht zahlen, würde er unseren Account löschen.

Es war ein sehr befremdliches Gefühl, mit einem Cyber-Kriminellen per Whatsapp zu kommunizieren. Irgendwann begann ich, ihn als Mensch zu sehen, der irgendwo auf dieser Erde saß und die Nachrichten verschickte. Und so behandelte ich ihn dann auch in meinen Nachrichten.

Ich zeigte Mitgefühl für seine Situation und erklärte die meine. Ich dachte mir Geschichten aus. Ich bat um mehr Zeit, weil ich noch Essensauslieferungen in Indonesien unternehmen musste, da aufgrund von Corona viele Menschen hungerten. Er wurde fast schon freundlich und erlaubte mir, mich erst am Montag zurückzumelden. Somit hatte ich das komplette Wochenende Zeit. Er bot mir sogar an, nur 500 Euro statt 1000 Euro zu überweisen.

Gleichzeitig wurde mir bewusst, dass King zu anderen Opfern viel aggressiver war. Manchen Opfern drohte er unter der Gürtellinie und zeigte Screenshots aus ihren privaten Nachrichten. All diese Opfer waren Personen des öffentlichen Lebens. Sie waren vermutlich greifbarer und einfacher zu manipulieren als ein personenunabhängiger Indonesien-Blog.

Es gibt KEINEN Instagram-Support

Schlimmer als die Nachrichten von King war die Tatsache, dass es quasi KEINEN Instagram-Support gibt. Es gibt einfach keine Möglichkeit einen Mitarbeiter bei Instagram zu kontaktieren und um Hilfe zu beten.

Wir waren also auf uns alleine gestellt. Uns wurde bewusst, dass es ein Geschenk ist, dass unser Geschäft nicht von Instagram abhängt. Instagram dient vor allem dem Community-Austausch. Der Rest findet hier auf Indojunkie.com statt, unserem Blog, der komplett unabhängig von Instagram ist. Daher hatten wir zumindest keine Existenzängste.

Da wir nicht weiter wussten, baten wir unsere Community dazu, unseren Instagram-Account zu melden – was rückblickend vermutlich eher ein Fehler war. Denn seitdem ist unsere Reichweite stark gesunken. Logischerweise. Denn wenn ein Account von unzähligen Mitgliedern gemeldet wird, verstreut dieser nicht gerade vertrauenswürdige Vibes.

Über unzählige Umwege erhielten wir aus der Community einen persönlichen Kontakt zu einem Facebookmitarbeiter, der uns letztendlich half. Ohne ihn wäre unser Account bis heute vermutlich noch in den Händen von King. Nachdem ich wieder die volle Kontrolle von dem Indojunkie-Instagram-Account hatte, löschte und blockierte ich King auf Whatsapp – und richtete die Zwei-Faktor-Authentifizierung ein.

Außerdem änderte ich all meine Passwörter, da ich das Instagram-Passwort auch auf anderen Onlineportalen genutzt hatte.

Was wir von unserem persönlichen Cyberkrimi gelernt haben

Richtige immer Zwei-Faktor-Authentifizierung ein
Auch wenn es nervig ist, haben Zwei-Faktor-Authentifizierungen ihre Daseinsberechtigung. Mit einer Zwei-Faktor-Authentifizierung wären wir nicht gehackt worden.

Bleibe unabhängig von Instagram
Sein Business auf Instagram aufzubauen ist schön und gut, solange es keine Probleme gibt. Da es jedoch keinen Support seitens Instagram wird, wirst du im Notfall alleine gelassen. Das kann für viele Influencer existenzbedrohend sein.

Vermeide es, Follower zu schnell aufzurufen, den eigenen Account zu melden
Aus Mangel an Ideen haben wir relativ schnell unsere Follower und Freunde dazu aufgefordert, unseren Instagram-Account zu melden. Damit hatten wir uns erhofft, dass Mitarbeiter von Instagram auf unser Problem reagieren. Dies war nicht der Fall. Stattdessen haben wir nun einen Account, der im letzten Jahr mehrfach als „betrügerisch“ gemeldet wurde. Dies wirkt sich mit Sicherheit auf den Algorithmus aus und schadet dem Erfolg des Accounts. Das ist aber nur spekulativ.

Informiere dich über Cyberversicherungen
Wenn du auf Nummer Sicher gehen willst, kannst du dich vor Cyberkriminalität, Identitäts- und Datenmissbrauch sowie Betrug und Mobbing im Internet mit einer sogenannten Cyber-Versicherung schützen. Einer der bekanntesten Anbieter ist Europ Assistance.

Vorsicht vor Phishing-Mails
Niemals auf E-Mails reagieren, wo du dazu aufgefordert wirst, dich irgendwo einzuloggen. Logge dich besser direkt über die jeweilige App (z. B. Instagram) oder das Online-Banking ein. Wenn es ein Problem gibt, dann wirst du auf den jeweiligen Plattformen mit Sicherheit auch informiert. Damit du nicht auch Opfer von Phishing-Mails wirst, findest du von betrugstest.com in der folgenden Grafik hilfreiche Tipps, wie du dich vor Online-Betrug schützen kannst.

Was sind deine Tipps rund ums Thema Cyber-Kriminalität? Hast du schon Erfahrungen machen müssen? Teile uns deine Gedanken als Kommentar unter dem Artikel mit

Diese Beiträge könnten dich auch interessieren:

• Diese Apps lohnen sich in Indonesien
• Einreise Bali / Indonesien: Aktuelle Einreisebestimmungen
• 7 Organisationen, die Balis Straßenhunde retten (und was du tun kannst)
• Warum ich heute KEIN Reiseblogger mehr werden würde