Mit den ersten Anzeichen des Sommers in der Luft können sich die Gedanken ans Angeln wenden… warte… falscher Blog…

In diesem ersten iDS-Blogbeitrag zur Cybersicherheit geben wir einen schnellen Überblick über Phishing-Angriffe und den Schaden, den sie verursachen können, die Häufigkeit von Angriffen und einige gängige Arten von Phishing-Angriffen. ichin der zweiten Rate, konzentrieren wir uns hauptsächlich darauf, wie Sie einen Phishing-Angriff verhindern und sich von ihm erholen können.

Was ist Phishing?

Phishing ist eine Technik, die von Cyberkriminellen eingesetzt wird, um Geräte und Netzwerke zu kompromittieren, indem E-Mail-Empfänger dazu verleitet werden, auf einen Link zu klicken oder ein Dokument zu öffnen, das Malware enthält. Während Hollywood Hacker oft als abtrünnige Helden darstellt, die versuchen, böse Unternehmen oder finstere Regierungsbehörden zu Fall zu bringen, ist die Realität viel komplexer.

Es gibt gute, ethische Hacker, die oft als White-Hat-Hacker bezeichnet werden und Organisationen dabei helfen können, Schwachstellen in ihren Netzwerken, Systemen oder Anwendungen zu identifizieren. Es gibt Black-Hat-Hacker, die ihre Fähigkeiten für böswillige Aktivitäten nutzen, wie z. B. den Diebstahl Ihrer Kreditkarteninformationen oder Unternehmensgeheimnisse.

In den Filmen sind die bösen Hacker normalerweise aktiv an ihren Hacks beteiligt – das heißt, sie gehen in Echtzeit vor unseren Augen gegen ihre Feinde vor, umgehen Sicherheitsvorrichtungen, extrahieren Passwörter und erhalten schließlich während unserer Zeit Zugriff auf die Kronjuwelen ihres Ziels Helden versuchen, sie zu besiegen.

Die Realität ist meist ganz anders und viel banaler. Der häufigste Vektor für Datenschutzverletzungen im Jahr 2018 war eine Phishing-E-Mail. laut IDG in seinem US State of Cybercrime 2018, die in Zusammenarbeit mit dem CSO-Magazin, CERT, dem Secret Service und KnowBe4 durchgeführt wird.

Die Studie ergab auch, dass keine Organisation immun ist. Regierungsbehörden und große Unternehmen erlebten durchschnittlich 196 Sicherheitsvorfälle pro Jahr, während das typische kleine/mittlere Unternehmen durchschnittlich 24 Vorfällen pro Jahr ausgesetzt war.

Das Ergebnis eines erfolgreichen Angriffs hängt vom Ziel des Angreifers ab. Ein häufiger Angriff besteht darin, Malware in eine E-Mail einzubetten, die es dem Angreifer ermöglicht, den Sicherheitsperimeter zu durchbrechen, auf zusätzliche Systeme zuzugreifen und entweder Kundendaten oder Anmeldedaten zu stehlen. In diesem Fall wissen Sie möglicherweise nicht einmal, dass Sie verletzt wurden, bis Sie vom FBI oder der Presse um einen Kommentar gebeten werden.

Andere Angriffe sind offensichtlicher – jeder kommt zur Arbeit und stellt fest, dass die Daten auf all Ihren Computern jetzt mit Ransomware verschlüsselt sind. Und Ihr Echtzeit-Disaster-Recovery-Backup ist ebenfalls verschlüsselt. Sie können die Daten für nur $50.000 Bitcoin im Wert von Bitcoin zurückerhalten, ein kleiner Preis, den sie zahlen müssen, sagen sie Ihnen.

Eine Datenschutzverletzung kann viel schlimmer sein. Die Schätzungen variieren, aber mehrere Studien zu einer Verletzung von Kundendaten haben Kosten für ein mittelständisches Unternehmen verursacht, das eine Verletzung von einigen Tausend Kunden- oder Mitarbeiterdatensätzen erlebt, die auf $1,5 Millionen bis $5,5 Millionen festgesetzt sind. Die Kosten können viel höher sein, und der Reputationsschaden, der Ihnen durch die Verletzung entstehen kann, ist darin nicht enthalten.

Was sind Beispiele für Phishing-Angriffe?

Phishing kann viele Formen annehmen. Der bekannteste (berüchtigtste?) Betrug ist eine einfache Phishing-E-Mail, bei der der Absender vorgibt, ein nigerianischer Prinz (oder ehemaliger Regierungsbeamter) zu sein und einfach ein US-Bankkonto benötigt, um sein Geld einzuzahlen.

Diesen Betrug gibt es in irgendeiner Form seit mehr als einem Jahrhundert, er ist jedoch mit dem Übergang von einem papierbasierten zu einem E-Mail-basierten Angriff weitaus häufiger geworden. Während die meisten Leute die E-Mails für den lächerlich schlechten Betrug sehen, fragen Sie sich vielleicht, warum wir sie immer noch sehen.

Nun, es liegt daran, dass es leider immer noch funktioniert. Millionen von Dollar fließen an Kriminelle aus einfachen E-Mails, die so verbreitet sind, dass sie einen eigenen Spitznamen haben: ein „419“-Betrug, benannt nach dem Abschnitt der Betrugskategorie des nigerianischen Strafgesetzbuchs.

Eine weitere gängige Art von Phishing-Angriffen wird als Spear-Phishing bezeichnet. Spear-Phishing ist ein gezielter Angriff, bei dem der Angreifer auf eine bestimmte Person abzielt und Informationen über ihr Ziel sammelt, um eine viel glaubwürdigere E-Mail zu erstellen.

Soziale Medien sind eine Hauptquelle für Daten, die bei Spear-Phishing-Angriffen verwendet werden. Wenn Sie beispielsweise über den Aufenthalt in einem bestimmten Hotel posten, kann der schlechte Schauspieler eine E-Mail vom Hotel erstellen, um Sie zu bitten, an einer Zufriedenheitsumfrage teilzunehmen. Oder sie verwenden Ihr LinkedIn-Profil, um zu identifizieren, dass Sie ein Alumnus einer bestimmten Schule sind, und generieren dann eine E-Mail mit einem Dokument, das eine Alumni-Veranstaltung oder eine Spendeninitiative beschreibt.

Eine noch speziellere Art von Spear-Phishing-Angriffen wird als Whaling bezeichnet. Beim Walfang werden gezielt die höchsten Führungskräfte einer Organisation angegriffen, um den Diebstahl der wertvollsten Informationen der Organisation zu erleichtern oder betrügerische Geldtransfers zu autorisieren. Der Walfang ist oft eine langfristige Anstrengung mit dem Schwerpunkt auf Aufklärung, um die Effektivität des Angriffs zu erhöhen.

Eine weitere Variante, die immer häufiger vorkommt, nennt sich Voice-Phishing oder Vishing. Es gibt viele Variationen von Vishing, von sehr einfach bis außerordentlich komplex. An einem Ende des Spektrums wäre ein einfacher Telefonanruf, um zu versuchen, jemanden zu überreden, persönliche Daten oder Kontoinformationen preiszugeben, z. B. den Helpdesk anzurufen und ihm mitzuteilen, dass Sie ein Benutzer sind, der sein Passwort verloren hat.

Ein komplexerer Angriff könnte das Ändern der Anrufer-ID-Informationen, das Tätigen eines Anrufs und das anschließende Versenden einer E-Mail kombinieren. Beispielsweise könnte ein Angreifer seine Telefonnummer als die Telefonnummer eines leitenden Angestellten des Unternehmens erscheinen lassen und den Kreditorenbuchhaltungsspezialisten anrufen, um ihm mitzuteilen, dass der größte Lieferant des Unternehmens nicht bezahlt wurde und dass so schnell wie möglich eine Überweisung erforderlich ist .

Am Telefon sagt der Angreifer, dass er die Informationen für die Zahlung erhalten und eine E-Mail mit den Details senden wird. Der Angreifer folgt mit einer gefälschten E-Mail an das Ziel, die anscheinend von derselben Führungskraft stammt und die Routing- und Kontonummern für eine Überweisung enthält.

Der Angriff wird mit einem weiteren Telefonanruf abgeschlossen, der anscheinend von der Führungskraft stammt und bestätigt, dass der AP-Spezialist die E-Mail und die Informationen erhalten hat. Und die Führungskraft wartet in der Leitung, während die Überweisung ausgeführt wird.

Was auch immer der Angriff ist, in einer zunehmend digitalisierten Welt sind wir alle gefährdet. Unsere nächste Folge konzentriert sich darauf, wie Sie Ihren Benutzern helfen können, diese Angriffe zu vermeiden, und wie Sie Ihren Systemen helfen können, diese Angriffe zu verhindern, zu erkennen und sich von ihnen zu erholen. Für weitere Informationen zu unseren Dienstleistungen wenden Sie sich bitte an Robert Kirtley unter rkirtley@idsinc.com.

iDiscovery Solutions ist ein strategisches Beratungs-, Technologie- und Expertendienstleistungsunternehmen, das maßgeschneiderte eDiscovery-Lösungen von digitaler Forensik bis hin zu Expertenaussagen für Anwaltskanzleien und Unternehmen in den Vereinigten Staaten und Europa anbietet.