Sicherheitsrisiko Phishing-Angriffe: Vielfältig, ausgeklügelt und häufig erfolgreich

Ransomware-Angriffe richten in Unternehmen verheerende Schäden an, indem sie Systeme lahmlegen und Budgets sprengen. Diese ausgeklügelten Bedrohungen können Computerfunktionen unterbrechen, Geschäftsabläufe zum Stillstand bringen, den Zugang zu Dienstleistungen einschränken und zu erheblichen finanziellen Verlusten führen. Unzählige Studien machen deutlich, dass Phishing-Angriffe nach wie vor eine der grössten Bedrohungen für Unternehmen sind. Phishing ist eine Form des Social Engineering, die sich die Angst und Naivität der Opfer zunutze macht. Bei einem typischen Phishing-Angriff gibt sich ein:e Angreifer:in als legitimer und vertrauenswürdiger Kontakt aus, um an sensiblen Daten ihrer Opfer zu kommen.

Da Unternehmen zunehmend auf digitale Kommunikationskanäle angewiesen sind, nutzen Cyberkriminelle Schwachstellen in der E-Mail-, SMS-, Social-Media- und Sprachkommunikation aus, um Phishing-Angriffe zu starten. Während die meisten Social-Engineering-Angriffe per E-Mail erfolgen, haben IT-Expert:innen in den letzten Jahren eine Zunahme von Hackerattacken über andere Kommunikationsplattformen erlebt. Dazu gehören Videokonferenzplattformen, Workforce-Messaging-Plattformen und cloudbasierte File-Sharing-Plattformen.

Beliebte Phishing-Methoden

E-Mail ist nach wie vor die Methode Nummer eins, mit der Angreifende ihre Opfer per Phishing angreifen, und viele dieser Angriffe beginnen mit einer «Köder»- oder «Aufklärungs»-E-Mail. Diese verfolgt zwei Zwecke: Sie überprüft die Existenz des E-Mail-Kontos des Opfers und versucht, weitere Informationen über ein Opfer zu sammeln, die Cyberkriminelle nutzen können, um in Zukunft gezieltere Angriffe durchzuführen. Je mehr Angreifende über ihre Opfer wissen, desto wahrscheinlicher ist es, dass die Manipulation gelingt.

In diesem Jahr werden wir feststellen, dass die Angriffe immer smarter werden. Durch den zunehmenden Einsatz von Phishing-Kits aus Schwarzmärkten und Chatbot-KI-Tools wie ChatGPT, wird es für Angreifende möglich, gezieltere Phishing-Kampagnen zu entwickeln. Mit der zunehmenden Verbreitung von KI- und PaaS-Angeboten haben es Cyberkriminelle leichter, Institutionen zu kompromittieren und auf sensible Daten zuzugreifen, um sie zu erpressen. Generative KI-Lösungen wie ChatGPT, die menschliches Verhalten imitieren, haben das Potenzial zu einem der mächtigsten Phishing- und Social-Engineering-Tools zu werden. Während wir heute Phishing-Mails oft noch anhand von Rechtschreibfehlern oder anderen stilistischen oder formatbedingten Merkmalen erkennen können, wird das Erstellen fehlerfreier Betrugsmails in Zukunft immer einfacher.

Es gibt auch Prognosen, dass die Häufigkeit von Spear-Phishing-Angriffen zunehmen wird, insbesondere über LinkedIn-Konten. Beim Spear-Phishing werden bestimmte Personen und Organisationen gezielt angesprochen, statt – wie sonst üblich – zufällig Opfer anzugreifen.

Die neuste Form des Phishings ist das sogenannte «Pig Butchering» (Schweineschlachtung), eine Form des Internetbetrugs, bei der Betrüger:innen das Vertrauen ihrer Opfer langfristig aufbauen, bevor sie sie schliesslich unter Druck setzen, ihre Krypto-Assets in gefälschte digitale Geldbörsen oder von den Betrüger:innen kontrollierte Websites einzuzahlen. Der Begriff bezieht sich auf ein ahnungsloses Opfer, das arme «Schwein». Hier handelt meist eine Gruppe von Betrüger:innen, die soziale Medien und Dating-Plattformen nach potenziellen Opfern durchsuchen.

Wie können Sie sich schützen?

Um diese Bedrohungen zu bekämpfen, müssen Unternehmen eine Zero-Trust-Architektur einführen, die die Angriffsfläche erheblich minimiert, Kompromittierungen verhindert und das Ausmass der Konsequenzen im Falle eines erfolgreichen Angriffs verringert. Durch die Implementierung eines Zero-Trust-Ansatzes können Unternehmen sicherstellen, dass alle Benutzer:innen, jede Anwendung, jedes Gerät und jedes Netzwerk überprüft wird, bevor den falschen Personen Zugriff auf sensible Daten gewährt wird. Leider gibt es kein Allheilmittel für die E-Mail-Sicherheit. Wir empfehlen einen mehrschichtigen Ansatz für Ihre Phishing-Abwehr, indem Sie eine Reihe sowohl technischer als auch menschenzentrierter Lösungen implementieren.

Multi-Faktor-Authentifizierung
Sie kann verhindern, dass Hacker:innen auf Konten zugreifen, selbst wenn sie das Passwort kennen, und eine Warnung ausgeben, dass Anmeldeinformationen möglicherweise kompromittiert wurden. Aber sowohl MFA als auch 2FA (Zwei-Faktor-Authentifizierung) sind zunehmend bedroht, da die Taktiken der Cyberkriminalität immer ausgefeilter werden. Phishing-Kampagnen sind dazu in der Lage, MFA zu umgehen, indem sie als Proxy für das eigentliche Authentifizierungssystem fungieren oder MFA-müde-Benutzer:innen täuschen.

Sicheres E-Mail-Gateway
Secure Email Gateways (SEGs) überwachen die ein- und ausgehenden E-Mails der Mitarbeitenden und scannen sie auf schädliche Inhalte. Wenn das SEG Spam-, Phishing- oder Malware-Bedrohungen erkennt, stellt es die E-Mail unter Quarantäne oder blockiert sie, sodass sie vorgesehene Empfänger:innen nie erreicht. Während SEGs Spam und herkömmliche Phishing-Versuche sehr effektiv blockieren, können sie durch raffinierte Spear-Phishing-Angriffe umgangen werden, indem sie sich als vertrauenswürdige Absender:innen ausgeben. Unternehmen sollten eine Lösung implementieren, die alle Benutzer:innen auf individueller Ebene schützt.

Cloud-E-Mail-Sicherheit
Cloud-E-Mail-Sicherheitslösungen befinden sich im E-Mail-Netzwerk selbst und überwachen die gesamte eingehende, ausgehende und interne Kommunikation auf schädliche Inhalte. Sie nutzen KI und maschinelles Lernen, um die Kommunikationsmuster aller einzelnen Mitarbeitenden zu analysieren und deren E-Mail-Kommunikation – in einigen Fällen auch die Kommunikation über Instant-Messaging-Apps – auf ungewöhnliches Verhalten und bösartige Inhalte zu scannen. Dadurch kann die Lösung gezieltere und personalisierte Spear-Phishing-Versuche erkennen.

Sichere Passwörter
Ein schwaches Passwort kann Kriminellen leichten Zugang zu persönlichen Daten verschaffen, die online gespeichert sind. Das kann bedeuten, dass Cyberkriminelle auf Internetkonten, Social-Media-Profile bis hin zu sehr sensiblen Bereichen wie Online-Bankkonten zugreifen können. Passwörter sollten ebenfalls regelmässig geändert werden. Passwortmanager helfen dabei, den Überblick zu behalten.

Mitarbeitende sensibilisieren
Mitarbeitende sind das Herzstück jedes Unternehmens und sollten auch ein wichtiger Bestandteil der Strategie zur Cybersicherheitsabwehr sein. Schulungsplattformen für Sicherheitsbewusstsein und Schulungs- und Simulationsplattformen für Phishing-Sensibilisierung bieten ansprechende Materialien in Kombination mit simulierten Phishing-Kampagnen, um aus potenziellen Opfern Verteidiger:innen der Sicherheit zu machen.

Linkprüfung
Es gibt Websites, die überprüfen können, ob eine bestimmte URL mit Betrug und anderen schädlichen Handlungen in Verbindung steht.

Fast täglich lesen und hören wir Meldungen, dass Unternehmen Opfer von «Phishermen» wurden. Die Dunkelquote liegt vermutlich noch weit höher. Lassen Sie es nicht so weit kommen! Versuchen Sie, alle notwendigen Schritte zu unternehmen, um die Sicherheit Ihres Unternehmens zu gewährleisten.

Gerne unterstützen wir Sie dabei mit unserem Know-how.