Was ist Phishing und wie kann sich Ihr Unternehmen schützen?
Es gibt viele Arten von Cyberangriffen, die Hacker nutzen, um an Informationen, Dateien und andere Vermögenswerte von Einzelpersonen und Unternehmen zu gelangen. Es ist wichtig, sich vor diesen Angriffen zu schützen.
Da Cybersicherheitslösungen im Vergleich zu herkömmlichen Angriffsarten immer effektiver werden, nutzen Hacker die menschliche Natur der Nutzer aus, um Sicherheitsmaßnahmen zu umgehen.
Definition: Was ist Phishing?
Phishing (ausgesprochen: „Fishing“) ist eine Art von Social-Engineering-Angriff, der darauf abzielt, Nutzer dazu zu verleiten, vertrauliche Informationen wie Anmeldedaten, Bankkontonummern oder Zugriffsrechte auf IT-Systeme preiszugeben. Diese Angriffe erfolgen in der Regel in Form einer E-Mail oder einer SMS, die legitime Marken oder Nutzer imitiert.
Kurze Geschichte der Phishing-Angriffe
Anfang der 1990er Jahre benötigten die Nutzer eine "Einwahlverbindung", um auf das Internet zuzugreifen, und AOL war einer der größten Diensteanbieter. Aufgrund seiner Popularität wurde es zu einem Hauptziel für Hacker und wurde zum Deckmantel für die ersten Phishing-Angriffe.
1995 wurde "AOHell" entwickelt, um die Passwörter der Benutzer zu stehlen und Algorithmen zu verwenden, um zufällige Kreditkartennummern zu erstellen. Es imitierte AOL-Mitarbeiter und -Administratoren, indem es die Benutzer aufforderte, im Rahmen von Systemprüfungen und Audits Zugang zu ihren Anmeldedaten zu gewähren.
In den frühen 2000er Jahren richteten die Angreifer ihre Aufmerksamkeit auf Finanzsysteme. Im Jahr 2003 begannen Phisher damit, Domänennamen zu registrieren, die leichte Variationen legitimer Handelswebsites wie eBay und PayPal darstellten, und versendeten Massenmails, in denen sie Kunden aufforderten, die Websites zu besuchen, ihre Passwörter einzugeben und ihre Kreditkarteninformationen zu aktualisieren.
Im September 2013 infizierte die Ransomware Cryptolocker 250.000 PCs und war damit die erste kryptografische Malware, die durch Downloads von einer kompromittierten Website verbreitet wurde.
Phisher beginnen 2018 mit Geschenkkarten-Phishing-Kampagnen auf HTTPS umzusteigen, um sich dann 2019 auf die Kompromittierung von Verkäufer-E-Mails zu verlagern.
Im Jahr 2020 waren 74 % der Unternehmen in den Vereinigten Staaten von einem erfolgreichen Phishing-Angriff betroffen.
Auch heute noch nehmen die Angriffe zu und stellen ein echtes Risiko für Privatpersonen und Unternehmen auf der ganzen Welt dar, weshalb es wichtig ist, über Cyberangriffe Bescheid zu wissen und sich dagegen zu schützen.
Gängige Phishing-Techniken: Gefühl der Dringlichkeit
E-Mails von gefälschten Unternehmen, die nach persönlichen oder vertraulichen Informationen fragen.
E-Mails von gefälschten Finanzinstituten, die nach Kontonummern und Passwörtern fragen.
E-Mails von Regierungsbehörden, die nach persönlichen Informationen fragen.
Nachrichten in sozialen Medien, in denen Sie aufgefordert werden, sich mit Ihrem Benutzernamen und Passwort anzumelden.
Beispiele für Phishing-Angriffe
Gefälschte Websites und Anmeldedaten
Eine der häufigsten Formen von Phishing-Angriffen ist das Versenden von E-Mails, die gängige Dienste wie Netflix imitieren. Dies wurde bereits mehrfach genutzt und von Polizei und Sicherheitsdiensten auf der ganzen Welt gemeldet.
Es ist eine recht einfache Taktik, die das Vertrauen der Nutzer stärkt, da sie die Marke bereits kennen. Außerdem wird ein Gefühl der Dringlichkeit vermittelt, da suggeriert wird, dass Ihr Konto in der Warteschleife ist. In Wirklichkeit handelt es sich jedoch um eine gefälschte E-Mail mit einem Link zu einer gefälschten Website, auf der Sie Ihre Kartendaten "aktualisieren" können. Sobald Sie die Daten aktualisieren, haben Sie sie dem Angreifer übergeben, der sie dann für alles Mögliche verwenden kann.
Vertrauen, Dringlichkeit, klare Zielsetzung. Diese Taktiken sind das Rückgrat aller erfolgreichen Phishing-Angriffe.
Verschiedene Arten von Phishing-Angriffen
Es gibt viele verschiedene Arten von Angriffen, aber sie haben alle eines gemeinsam: Sie versuchen, das Opfer dazu zu bringen, seine persönlichen Daten preiszugeben. Es gibt jedoch verschiedene Möglichkeiten, dies zu erreichen, von verdächtigen E-Mails bis hin zu Textnachrichten - Phisher versuchen, Sie auf jede erdenkliche Weise auszutricksen.
Speer-Phishing
Spear-Phishing ist eine gezielte Form des Phishings, bei der versucht wird, eine Zielperson dazu zu bringen, Zugang zu Anmeldedaten oder sensiblen Informationen zu erhalten. Im Gegensatz zu den häufigeren Arten von Phishing-Angriffen, die wahllos und auf große Personengruppen ausgerichtet sind.
Die Angreifer geben sich als jemand aus, den die Zielperson gut kennt, oder als eine Organisation, mit der sie vertraut ist. Ein gutes Beispiel für Spear-Phishing ist ein Hacker, der sich als Geschäftsführer des Unternehmens eines Zielbenutzers ausgibt. Sie fälschen die E-Mail-Adresse des Geschäftsführers und behaupten dann, dass ihre Anmeldedaten nicht funktionieren, und bitten die Zielperson, ihnen ihre Daten mitzuteilen, damit sie damit Zugriff auf eine Datei oder Daten erhalten können.
Es könnte zusätzlicher Zeitdruck bestehen, um ein Gefühl der Dringlichkeit zu vermitteln, z. B. eine Vorstandssitzung oder eine Pressekonferenz. Da der Zielnutzer den CEO kennt bzw. in diesem Unternehmen arbeitet, ist er möglicherweise vertrauensvoll und prüft unter Zeitdruck rote Fahnen nicht so gründlich wie möglich.
Diese Angriffe werden in der Regel entwickelt, nachdem das Ziel recherchiert wurde, was zu einem Angriff mit größerem persönlichen Bezug führt.
Walfang-E-Mail-Phishing
Whaling-Phishing ist eine Form des Phishing-Angriffs, die sich auf ein hochrangiges Ziel oder einen hochrangigen Mitarbeiter innerhalb eines Unternehmens konzentriert. Diese Angriffe sind detaillierter als allgemeine Phishing-E-Mails, da sie auf eine Einzelperson abzielen, in der Regel personenbezogene Informationen enthalten und oft mit einem soliden Verständnis der Geschäftssprache verfasst sind. Aufgrund dieser Merkmale sind sie sehr schwer zu erkennen und führen regelmäßig dazu, dass hochrangige Mitarbeiter dazu verleitet werden, Gelder oder sensible Daten zu überweisen oder Malware auszulösen.
Eines der größten Beispiele für solche „CEO-Fraud“- bzw. „Whaling“-Angriffe ereignete sich 2016 bei der belgischen Crelan Bank. Dieser Angriff führte zu einem Verlust von 75 Millionen Dollar für das Unternehmen.
Obwohl diese Art von Angriffen sehr zielgerichtet ist, muss unbedingt sichergestellt werden, dass alle Mitarbeiter über Cyberangriffe informiert und geschützt sind, da jeder ein Ziel sein kann, nicht nur hochrangige Führungskräfte.
Massenkampagnen
Massen-Phishing-Nachrichten werden an so viele Personen wie möglich geschickt, um die Nutzer zur Herausgabe sensibler Daten oder finanzieller Informationen zu verleiten. Bei diesen Angriffen wird in der Regel eine bekannte Marke imitiert, um ein Passwort zurückzusetzen oder die Rechnungsdaten zu aktualisieren.
Der Schaden, der dadurch entsteht, dass man Opfer einer Massenkampagne wird, ist möglicherweise nicht so offensichtlich wie bei gezielteren Angriffen, da zwischen dem erfolgreichen Angriff und dem Verkauf der bei dem Angriff erlangten Daten eine gewisse Zeit vergeht.
Krankenwagen-Betrug / Phishing
Ambulance Chasing Phishing-Betrügereien nutzen die menschliche Natur bis zum Äußersten aus, indem sie Menschen in Zeiten extremen Stresses ins Visier nehmen. Diese Kampagnen zielen in der Regel auf Nutzer mit gefälschten Spendenaktionen während Katastrophen wie Bränden, Überschwemmungen oder Kriegen ab. Aufgrund der emotionalen Anziehungskraft, die solche Ereignisse ausüben, kann es äußerst effektiv sein, die Nutzer zu täuschen.
Bei dieser Form des Phishings handelt es sich in der Regel um eine Massenkampagne, es kann sich aber auch um einen Spear-Phishing-Angriff handeln, je nachdem, wie gezielt die Nachricht ist.
Pretexting
Pretexting ist eine äußerst effektive Phishing-Methode, da sie zwei wichtige Berührungspunkte beinhaltet. Der eine baut Vertrauen auf, normalerweise persönlich oder per Telefonanruf, um die Erwartung zu wecken, dass die Person in naher Zukunft etwas scheinbar Legales schicken wird. Der zweite Punkt erfolgt per E-Mail oder digitaler Nachricht mit einem Auslösepunkt, der einen bösartigen Link enthält, um entweder sensible Daten abzufangen oder Malware herunterzuladen.
So können Angreifer beispielsweise anrufen und eine Sprachnachricht hinterlassen, in der sie sich als Anbieter ausgeben und mitteilen, dass ihr Vertrag in Kürze per E-Mail versandt wird. Dann wird eine E-Mail mit der Sprachnachricht verschickt, die bösartige Links enthält, die möglicherweise Ransomware oder eine andere Form von Malware enthalten.
Mobiles Phishing
Da Angreifer versuchen, Nutzer mit allen Mitteln auszunutzen, ist mobiles Phishing ein wachsender Trend. Durch die Nutzung von SMM- und MMS-Anwendungen können die Angreifer die Nutzer rund um die Uhr erreichen.
Beim mobilen Phishing, auch bekannt als Smishing, senden Angreifer Phishing-Nachrichten per SMS oder über soziale Medien an Benutzer, um sie zu einer schnellen Aktion zu verleiten, indem sie sich als vertrauenswürdige Dritte ausgeben.
Zum Beispiel könnte ein Nutzer eine Textnachricht von einer Person erhalten, die er für seine Bank hält: "Wir haben ungewöhnliche Aktivitäten auf Ihrem Bankkonto festgestellt. Wenn Sie das nicht waren, melden Sie sich bitte bei Ihrem Konto an und überprüfen Sie diese Transaktionen." Dies soll Panik auslösen und die Nutzer dazu bringen, schnell zu handeln und ihre Bankdaten zu übermitteln.
Wenn Sie auf Links in diesen Nachrichten klicken, können Hacker auf Ihre Daten zugreifen oder bösartige Software auf Ihrem Gerät installieren.
Man-in-the-Middle
Diese Art des Angriffs ist raffinierter, da sie das Abfangen von E-Mails zwischen zwei Personen beinhaltet. Der Angreifer kann dann E-Mails an diese beiden Personen zurücksenden, die glauben, sie kämen von der jeweils anderen Person, in Wirklichkeit aber vom Angreifer.
Sie können nach privaten Informationen fragen oder zu bestimmten Handlungen auffordern, und die Person kann leicht zum Opfer werden, da sie glaubt, die E-Mail stamme von einer vertrauenswürdigen Quelle.
Wi-Fi Zwilling
Bei dieser Methode erstellen die Hacker ein Wi-Fi-Netzwerk, das die Adresse eines anderen kopiert. Jeder, der eine Verbindung zu diesem gefälschten Netzwerk herstellt, ist für die Hacker sichtbar, so dass sie auf Kennwörter und andere Informationen zugreifen können.
Dies geschieht in der Regel an öffentlichen Orten wie Cafés, Einkaufszentren und Flughäfen.
Phishing-Betrug melden Phishing-E-Mails melden
Wenn Sie oder einer Ihrer Kunden Opfer eines Phishing-Angriffs werden, können Sie einiges tun, um Ihre Daten wiederherzustellen, andere zu schützen und die Angreifer daran zu hindern, weiteren Schaden anzurichten. Die meisten lokalen Behörden haben ihre eigenen Leitfäden und Ratschläge für die Meldung von Betrug. Für Bürger in den USA, Großbritannien und Australien finden Sie unter den angegebenen Links Unterstützung.
Betrugsbekämpfung in den Vereinigten Staaten: https://www.usa.gov/stop-scams-frauds
Bericht aus Großbritannien: Phishing-Betrug: https://www.ncsc.gov.uk/collection/phishing-scams/report-scam-website
Australia Scamwatch: https://www.scamwatch.gov.au/report-a-scam
Schutz vor Phishing: Wie kann man sich vor Betrug schützen?
Es gibt einige wichtige Möglichkeiten, ein Unternehmen vor Phishing zu schützen und seine Cyber-Resilienz zu erhöhen.
Regelmäßige Schulung von Mitarbeitern und Kunden
Lernen Sie die psychologischen Auslöser
Aufbau einer positiven Sicherheitskultur
Umsetzung technischer Maßnahmen, z. B. E-Mail-Sicherheit oder Anti-Phishing-Lösungen
Testen Sie die Wirksamkeit der Ausbildung
Um mehr über diese Schutzmaßnahmen zu erfahren, lesen Sie unseren Blogbeitrag zum Thema„So erkennen und verhindern Sie Phishing-E-Mail-Angriffe“.
