Vielen Dank an Jonas Donjon, Sicherheitsarchitekt, DEEP
Cyberkriminelle greifen zunehmend auf ausgeklügelte Methoden zurück, um gezielte Angriffe auszuüben und Erkennungssysteme zu umgehen. Eine dieser Methoden ist das sogenannte Spear-Phishing. Dabei gibt sich der Angreifer als Arbeitskollege oder Führungskraft aus, um an Informationen zu gelangen oder missbräuchliche Transaktionen zu veranlassen. Solche hinterlistigen Angriffe sind besonders schwierig zu erkennen. Es gibt jedoch bewährte Mittel und Verfahren, um dieser Art von Bedrohung vorzubeugen, wie z. B. die Lösung von VADE zur Analyse von Textinhalten in E-Mails.
Heutzutage wissen die meisten Menschen, was Phishing ist: Es handelt sich um den versuchten oder erfolgreichen Diebstahl von Informationen, Passwörtern oder Zugangsdaten, die Kriminelle anschließend einsetzen können, um in Systeme einzudringen oder Transaktionen zu veranlassen. Die gängigste Phishing-Methode beruht auf dem Massenversand betrügerischer E-Mails.
Diese Angriffe verfolgen in der Regel einen opportunistischen Ansatz und richten sich nicht zwangsläufig gegen ein bestimmtes Unternehmen oder eine bestimmte Person. In den letzten Monaten hat jedoch eine andere Art von Angriff zugenommen, die als Spear-Phishing bezeichnet wird.
Spear-Phishing: Gezielte und heimtückische Angriffe
Bei einem Präsidenten-Betrug gibt sich ein Krimineller über das Internet als Chef einer Organisation aus und weist einen Mitarbeitenden an, eine oder mehrere unrechtmäßige Überweisungen zu tätigen. In den meisten Fällen täuscht er dabei auch eine besonders große Dringlichkeit vor. Bei dieser Betrugsmasche handelt es sich um eine Form von „Spear-Phishing“. Charakteristisch dafür ist, dass der Angreifer geschickt vorgehen, sein Ziel präzise ins Visier nehmen und einige Zeit investieren muss, um die Abläufe und Strukturen in der ausgewählten Organisation zu verstehen.
Wie Cyberkriminelle unter dem Radar bleiben
In der Vorbereitungsphase beschafft sich der Angreifer zunächst so viele Informationen wie möglich über die Organisation, ihre leitenden Angestellten, deren Gewohnheiten und die für den Angriff am besten geeigneten Zielpersonen. Sein Ziel besteht darin, einen Fundus an brauchbaren Anhaltspunkten zusammenzustellen, ohne entdeckt zu werden. Der Angreifer dürfte daher Quellen bevorzugen, die unmittelbar im Internet zugänglich sind, wie z. B. das Organigramm des Unternehmens, die Kontaktnummern von Mitarbeitenden und die Beiträge von Schlüsselpersonen in sozialen Netzwerken, die Hinweise zu ihren Gewohnheiten, ihrem Urlaub oder etwaigen Geschäftsreisen enthalten können. Die gesammelten Informationen will er zum passenden Zeitpunkt nutzen, um sich glaubhaft als ein leitender Angestellter des Unternehmens auszugeben, z. B. wenn die betreffende Person gerade auf Reisen ist. Dank seiner Recherchen kann der Angreifer ein plausibles Szenario erfinden und verfügt über eine Reihe von Argumenten, um einen Mitarbeitenden zur Durchführung einer unrechtmäßigen Transaktion zu veranlassen.
Da diese Angriffe gezielt sind und sorgfältig vorbereitet werden, sind sie schwer zu erkennen. Oft achten Cyberkriminelle darauf, keine Spuren zu hinterlassen. So entziehen sie sich herkömmlichen Erkennungssystemen, denn diese beruhen auf der Identifizierung von E-Mail-Adressen und Postausgangsservern, die schon durch suspekte Aktivitäten aufgefallen sind. Die Bedrohung ist also schwieriger zu erfassen, da der Betrüger einen gewissen Abstand zu seinem Ziel hält und versucht, eine Erkennung durch die Sicherheitssoftware zu vermeiden.
Sensibilisierung der Nutzer und Einführung klarer Verfahrensweisen
Die Einführung bewährter Verfahrensweisen und der regelmäßige Aufruf zu deren Umsetzung können das Risiko durch Spear-Phishing-Angriffe jedoch mindern. Zunächst einmal ist es wichtig, die Mitarbeitenden für jene Art von Risiko zu sensibilisieren – insbesondere diejenigen, die zur Durchführung von Transaktionen berechtigt sind. Zudem sollten Sie im gesamten Unternehmen ein Rahmenwerk von Prozessen und Kontrollmechanismen in Bezug auf die Durchführung von Transaktionen einführen. Das gilt insbesondere für Transaktionen, die einen bestimmten Betrag überschreiten. So kann etwa festgelegt werden, dass stets eine doppelte Unterschrift erforderlich ist oder dass jeder Auftrag über einen zweiten Kanal bestätigt werden muss, z. B. durch einen Anruf bei der zuständigen Person, um sicherzugehen, dass es sich um einen legitimen Auftrag handelt.
VADE: eine technische Lösung zur Erkennung verdächtiger E-Mails
Darüber hinaus gibt es spezielle Cybersicherheitstools wie die Lösung von VADE zur Analyse von E-Mail-Inhalten, die das Risiko eines erfolgreichen Angriffs mindern. Sie analysieren die Textelemente in der empfangenen E-Mail und suchen nach Begriffen, die darauf hindeuten, dass es sich um einen Spear-Phishing-Versuch handeln könnte. Eine Aufforderung zur Durchführung einer Transaktion, eine ausführliche Erläuterung der Dringlichkeit, ein Hinweis darauf, dass die E-Mail von einem Handy verschickt wurde, oder die Verwendung einer externen E-Mail-Adresse sind Zeichen, die auf einen Betrugsversuch hindeuten. Das Schutzsystem von VADE kann je nach gewählter Konfiguration eine Warnung an den Empfänger der verdächtigen E-Mail senden oder die E-Mail sogar blockieren.
Diese dynamische Lösung zur Analyse von Inhalten bietet eine zusätzliche Barriere zur Abwehr von Spear-Phishing-Angriffen und kann überdies auch für die Klassifizierung und den allgemeinen Schutz von E-Mails (mit Blick auf Malware, Ransomware, Spam und Phishing) innerhalb einer Organisation verwendet werden. Sie lässt sich problemlos in die meisten Plattformen wie z. B. Microsoft 365 oder Google Workspace integrieren.
