Achtung: Phishing (Teil 1)

Originalartikel von Brook Stein, Product Management Director

Cybersicherheit erfährt mittlerweile eine viel breitere Aufmerksamkeit, auch dank der Hacking-Angriffe während der US-Präsidentschaftswahlen 2016. Doch wissen viele nicht, wie die Angreifer damals ihre Ziele erreichten. Tatsächlich nutzten sie eine der ältesten und immer noch effektivsten Waffen im Cyber-Arsenal: Phishing. Phishing kann die erste Stufe in einem ausgeklügelten Informationsdiebstahl in einer großen Organisation darstellen. Doch dieselbe Technik verwenden Cyberkriminelle weltweit, um persönliche Informationen Einzelner zu stehlen und gefährliche Malware zu verbreiten. Daher sollte jeder wissen, wie solche Angriffe aussehen und auch wie sich verhindern lässt, darauf hereinzufallen.

Wozu Phishing?

Phishing beruht im Prinzip auf missbrauchtem Vertrauen, indem Angreifer sich als jemand anderer ausgeben, typischerweise eine dem potenziellen Opfer vertraute Organisation. Ziel ist es, Bankkonten-Logins, eine Apple ID oder andere Anmeldeinformationen zu stehlen. Auch könnten sie das Opfer dazu bewegen, Ransomware, Krypto-Mining Software, Bankentrojaner, Adware oder andere Malware herunterzuladen, die ihnen zu einem monetären Profit verhelfen kann.

Wie funktioniert Phishing?

Es gibt eine Menge Techniken dafür, und die meisten beruhen auf Social Engineering-Techniken und der Kunst der Überredung, sei es über das Fälschen von Mails, eine „Sicherheitswarnung“ von Apple oder Microsoft, ein angeblich erforderliches Update von Adobe, oder sei es ein Angebot, das zu gut ist, um wahr zu sein. Immer geht es um das Anklicken eines bösartigen Links, Öffnen eines bösartigen Anhangs oder das Angeben der eigenen Login-Daten. Häufig soll dies auf einer separaten, gefälschten Website geschehen.

Phishing-Arten

Es gibt verschiedene Arten von Phishing-Angriffen:

  • Email: Dies ist nach wie vor der Hauptvektor für Phishing. Mehr als 85 Prozent von den von Trend Micro geblockten Online-Bedrohungen im letzten Jahr waren Mails mit bösartigen Inhalten. Doch Betrüger nutzen auch IM (Instant Messaging) oder SMS.
  • Soziale Medien: Dieser Kanal wird immer beliebter, weil Nutzer den Posts und Nachrichten, die von ihren ‚Freunden‘ kommen, immer mehr vertrauen. Bösartige URLs finden sich in Facebook Live-Kommentaren, Twitter DMs und LinkedIn InMail. Gefälschte Angebote und Gewinnspiele sowie Nachrichten, die das ahnungslose Opfer dazu verleiten sollen, auf einen „unglaublichen“ Inhalt zu klicken, gehören zu den Techniken.
  • Spiele: Angreifer könnten Nachrichten verschicken, die vorgeben, von einem Online-Spieleanbieter zu kommen. Häufig enthalten sie einen Anreiz, sich weiter durchzuklicken oder eigene Informationen preiszugeben, etwa über das Angebot eines Bonus. Diese Informationen werden dann auf dem Schwarzmarkt weiter verkauft.
  • Tech Support: Mails mit Warnungen, die angeblich von bekannten Online-Providern wie PayPal, Amazon, eBay, Microsoft oder anderen kommen und vorgeben, verdächtige Aktivitäten im Konto des Empfängers erkannt zu haben. Sie fragen nach weiteren Informationen zum Konto oder fordern zum Anklicken eines Links auf. Sogar Anrufe von angeblichen Support-Mitarbeitern können erfolgen, die vorgeben, etwas sei nicht in Ordnung mit dem PC. Sie fordern eine Gebühr dafür, das Problem zu beheben.

Die Betrüger werden schlauer

Phisher verfeinern ständig ihre Taktiken. Auch gewinnen mobile Phishing-Angriffe an Beliebtheit, denn die Angreifer gehen davon aus, dass Nutzer abgelenkt sind und daher einfacher zu verleiten, auf bösartige SMS-Nachrichten zu klicken. Auch verwenden sie mehr und mehr große Ereignisse als Köder.

Eine weitere Taktik besteht darin, Domänen legitimer Sites zu fälschen, indem sie internationalisierte Domain Name Zeichen verwenden. Des Weiteren gibt es so genannte neue „Angler”-Angriffe über das Aufsetzen von gefälschten Social Media-Profilen, die Beschwerdeprofile von Markenfirmen imitieren und die Gespräche von Nutzern damit kapern.

In Teil 2 werden Techniken zum Schutz vor dieser Art von Angriffen vorgestellt.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

*

Diese Website verwendet Akismet, um Spam zu reduzieren. Erfahre mehr darüber, wie deine Kommentardaten verarbeitet werden.