Betrug über E-Mail oder Ransomware (auch Phishing genannt) ist nach wie vor sehr verbreitet. Unternehmen müssen dagegen einfache und häufig sehr wirksame Schutzmaßnahmen einrichten.
Der Kassationshof hat in einem Erlass vom 28. März 2018 die grobe Fahrlässigkeit eines privaten Phishing-Opfers anerkannt. Dieses war von betrügerischen E-Mails, die von der E-Mail-Adresse „agence@mail-mail.com“ gesendet worden waren, getäuscht worden und hatte seine gesamten Bankdaten enthüllt. Das Gericht hat entschieden, gegen die Privatperson offensichtliche Hinweise anzuhalten - falsche Rechtschreibung, von der E-Mail-Adresse der Bank abweichende E-Mail usw. -, die der Urheber des Betrugs auf dem Computer des Opfers zurückgelassen hat.
Wenn ein Leser, der nicht gewarnt worden ist, nun wegen „grober Fahrlässigkeit“ vor Gericht gebracht werden kann, können Unternehmen davon ausgehen, dass ihre Verantwortlichkeit in dieser Art von Situationen ebenfalls angeführt wird. Sie haben folglich ein großes Interesse daran, sich gegen diese Art des Angriffs zu schützen.
Ist das Phishing ein gängiger Cyberangriff?
Beim Phishing handelt es sich um eine Art des Betrugs über E-Mail, bei dem sich der Betrüger der Identität eines bekannten Unternehmens ermächtigt, um die Empfänger der E-Mails dazu anzuregen, ihre wichtige Daten (beispielsweise Bankdaten oder Mailboxdaten) auf Internetseiten, die denen des besagten Unternehmens ähneln, zu ändern oder zu offenbaren. Einer an Vade Secure in Auftrag gegebenen Untersuchung zufolge gehören Microsoft, PayPal und auch Netflix zu den Unternehmen, die am häufigsten von Phishing-Tätern ins Visier genommen werden. Eine allgegenwärtige Bedrohung, die das Unwissen oder die Naivität bestimmter Personen - häufig Mitarbeiter in dem Unternehmen - ausnutzt, um vertrauliche Daten zu erlangen. Weltweit hat gemäß der Untersuchung „E-Mail-Bedrohungsbericht“ von FireEye, in der über eine halbe Milliarde von E-Mails, die zwischen Januar und Juni 2018 versendet worden waren, untersucht wurden, eine von hundert versendeten E-Mails böswillige Absichten.
Im Cyberspace sind viele unterschiedliche Arten von Phishing entstanden. Wie beispielsweise das Spear Phishing, das auf eine bestimmte Person oder eine Gruppe bestimmter Personen (wie beispielsweise die Mitarbeiter ein- und desselben Unternehmens) abzielt. In diesem Zusammenhang sammeln Hacker zunächst eine große Menge an mehr oder weniger wichtigen Informationen und Daten, um die ins Auge gefassten Opfer auf gezieltere Weise angehen zu können.
Wie schützt man sich gegen das Phishing?
Angesichts dieser Menge böswilliger E-Mails ist die fehlende Sensibilisierung der E-Mail-Empfänger besonders besorgniserregend. Das Wirtschafts- und Finanzministerium hat im Oktober 2017 einen falschen Angriff der Art des Phishing durchgeführt, auf den 30.000 der 146.000 Beamten im Pariser Viertel Bercy hereingefallen sind. „Die Ausbildung der Mitarbeiter, insbesondere derer, die in sehr sensiblen Funktionen tätig sind, stellt den ersten Schritt im Schutz gegen das Phishing dar. Hierfür werden Schulungssitzungen mit einzuhaltenden Richtlinien und Beispielen für Phishing-E-Mails durchgeführt“, führt Fayçal Daira, Endgerätesicherheitsprodukt-Manager bei Stormshield, an. An Sensibilisierungstechniken fehlt es nicht: von einem falschen Angriff über pädagogische Tools wie den Twitter-Bot @isthisphish, der das Erkennen verdächtiger Seiten ermöglicht, bis hin zu verschiedenen Quizzen.
🧐 This webpage seems suspicious. Be very cautious when opening it! It might be a #phishing 🎣 page impersonating Apple! pic.twitter.com/4S6712MG3r
— is this phishing? (@isthisphish) 14 septembre 2018
Für den Schutz gegen das Phishing gibt es auch bewährte technische Lösungen. „Der wichtigste Vektor des Phishing ist das E-Mail; die erste Lösung, um sich dagegen zu schützen, besteht folglich in einem Anti-Spam, der über die Geolokalisierung oder die IP-Reputation sehr wirksam sein kann“, erklärt Marco Genovese, Netzwerksicherheitsprodukt-Manager bei Stormshield. Die Netzwerksicherheitslösungen können genauere Inspektionen als integrierte Anti-Phishing-Funktionen durchführen und somit fortgeschrittene Angriffe finden. Eine weitere Schutzbarriere besteht darin, eine Sicherheitslösung direkt auf den Arbeitsplätzen zu installieren.
„Bei Stormshield haben wir einen Detektionsservice in der Cloud, der wie ein Sandkasten verwendet wird und in der Lage ist, Informationen über Phishing in Echtzeit zu erhalten. Im Durchschnitt werden jede Woche eine oder zwei Phishing-Kampagnen wie kürzlich Pony und Emotet erkannt. Und da diese böswilligen Programme im Allgemeinen auf dieselben Schwachstellen abzielen, lernen unsere Systeme sehr gut, die einzelnen Kampagnen zu erkennen“, unterstreicht Marco Genovese.
Die neuen Bedrohungen des long term Phishing
Mit der Entstehung des long term phishing, des langfristigen Phishing, gibt es eine reelle Tendenz in Richtung einer subtileren Gestaltung der Angriffe. Dieser neue Angriffsmechanismus zielt darauf ab, einen Anhang herunterzuladen, der eine böswillige Software installiert, die auf dem Arbeitsplatz des Benutzers ruht. „Man sieht jetzt, dass die Cyberkriminellen eine erste Phase durchlaufen, die darin besteht, zunächst einen Keylogger auf dem angezielten Arbeitsplatz zu installieren, der in der Lage ist, die Benutzernamen und die Kennwörter zu erfassen. Erst wenn das Opfer beispielsweise eine Überweisung an einen Lieferanten plant, wird das Phishing-E-Mail mit einer anderen Bankverbindung gesendet“, beschreibt Fayçal Daira. Und da eine einzige böswillige Datei ausreicht, ein ganzes Unternehmen in Gefahr zu bringen, ermöglicht Ihnen unser Portal Breach Fighter, alle beliebigen Dateien, die Ihnen verdächtig erscheinen, zu analysieren und somit die Anhänge, die Sie erhalten, völlig unbedenklich öffnen zu können.
Schließlich ein grundlegender Wachsamkeitsaspekt: Wenn das E-Mail ein für das Phishing privilegierter Vektor ist, werden soziale Netzwerke bei diesen Cyberangriffskampagnen zu unfreiwilligen Verbündeten. Cyberkriminelle verzichten tatsächlich nicht darauf, eine große Anzahl an Daten (Name, Vorname, Interessensgebiete, altes Kennwort usw.) zu erfassen, um ihre böswilligen E-Mails zu personalisieren und glaubwürdiger erscheinen zu lassen. Heute stellt schließlich jeder ein beliebtes Ziel Cyberkriminelle dar. Aus diesem Grund ist es für Unternehmen erforderlich, sich über die Risiken des Phishing. zu informieren und regelmäßig mit ihren Mitarbeitern zu kommunizieren, um sie im Hinblick auf die Risiken des Phishing zu sensibilisieren.
