Trotz der bizarren (und verdächtigen) Ankündigung „ “ , die letzte Woche von 14 Cyberbanden veröffentlicht wurde und in der diese erklärten, sie hätten „beschlossen, sich zurückzuziehen“, weisen Experten auf anhaltende cyberkriminelle Aktivitäten hin, die mit einer der berüchtigtsten Banden dieser Gruppe in Verbindung stehen, und warnen Helpdesk-Mitarbeiter, wachsam zu bleiben. Diese Gruppen haben alte Taktiken, die die menschliche Güte ausnutzen, neu erfunden und umgestaltet.
„Scattered Spider“, eine Gruppe junger Hacker, die für ihr kreatives Chaos bekannt ist, hat diese Offensive angeführt und greift seit mindestens dem Frühjahr Helpdesks in den Vereinigten Staaten und im Vereinigten Königreich an. Die Gruppe scheint keineswegs im Ruhestand zu sein, sondern gerade erst richtig in Fahrt zu kommen, nachdem sie eine neue Art des Hackings perfektioniert hat, bei der eine Reihe modernster Technologien zum Einsatz kommt, um Social Engineering auf die nächste Stufe zu heben.
In diesem Jahr begann alles mit einem Telefonanruf beim britischen Einzelhandelsriesen Marks & Spencer – dann bei der Co-op Group – und schließlich bei Harrods. Die Offensive gegen den Einzelhandel beherrschte wochenlang die Schlagzeilen in Großbritannien. Später nahmen sie US-amerikanische Versicherungsgesellschaften ins Visier.
Anstatt Zero-Day-Angriffe Ransomware oder einzusetzen, gaben sich diese Hacker als Mitarbeiter aus, erfanden glaubwürdige Geschichten und überzeugten die Mitarbeiter des IT-Helpdesks, Passwörter zurückzusetzen und die Multi-Faktor-Authentifizierung (MFA) zu deaktivieren. Damit hatten die Angreifer freien Zugang zum gesamten System. Darüber hinaus haben die Angreifer in einigen Fällen nicht nur Systeme verschlüsselt, sondern auch unbemerkt Daten abgezogen und damit eine neue Welle reiner Erpressungsdrohungen ausgelöst, für die keinerlei Malware erforderlich war.
Diese weiterentwickelte Technik erfreut sich zunehmender Beliebtheit. In vielen solchen Fällen verleihen Angreifer ihren Täuschungsmanövern mehr Realismus, indem sie Deepfake-Audio-Tools einsetzen, um sich als Führungskräfte oder IT-Mitarbeiter – einschließlich der Helpdesk-Mitarbeiter selbst – auszugeben. Letztendlich müssen echte Helpdesk-Mitarbeiter zwischen dringenden Anrufen, falschen Identitäten und panischen Bitten von Personen jonglieren, die zwar wie echte Kollegen klingen, es aber möglicherweise gar nicht sind.
„Es handelt sich um eine klassische Social-Engineering-Attacke nach dem Prinzip ‚ ‘“, mit dem Unterschied, dass sie mithilfe moderner Technologie durchgeführt wird, erklärt Errol Weiss, CSO bei Health-ISAC (Information Sharing and Analysis Center). „Die Angreifer erzählen eine überzeugende Geschichte – vielleicht hat jemand sein Handy verloren und muss seine MFA zurücksetzen lassen – und der Helpdesk, der hilfsbereit sein möchte, gewährt am Ende unbefugten Zugriff.“
Willkommen in der Hölle des Helpdesks.
Die Berichte über ihren Rücktritt sind stark übertrieben worden
Seit seiner Gründung im Jahr 2022 hat sich „Scattered Spider“, ein überwiegend englischsprachiges Kollektiv, das sich aus jungen Männern und Jugendlichen aus den USA und Großbritannien zusammensetzt, rasch von SIM-Swapping-Betrug hin zu präzise gezielten Ransomware- und Erpressungsangriffen weiterentwickelt. Früher hätten Gruppen wie diese möglicherweise Taktiken wie „ “-Phishing eingesetzt, um vertrauensvolle Mitarbeiter dazu zu verleiten, unüberlegte Handlungen vorzunehmen – wie beispielsweise das Anklicken von Links, die Malware auslösen. Mittlerweile nutzen sie Kombinationen aus „ “, „Vishing“ (Voice-Phishing), „Smishing“ (eine Mischung aus SMS und Phishing) sowie KI-Tools, um Mitarbeiter an vorderster Front zu täuschen.
“„Die Angreifer erzählen eine überzeugende Geschichte – vielleicht hat jemand sein Handy verloren und muss seine MFA zurücksetzen lassen – und der Helpdesk, der hilfsbereit sein möchte, gewährt am Ende unbefugten Zugriff.“Errol Weiss, CSO, Health-ISAC (Information Sharing and Analysis Center)
Diese Taktik geht auf. Im vergangenen Jahr war allein „Scattered Spider“ für mindestens sechs wirkungsvolle, durch Vishing ausgelöste Kampagnen verantwortlich, die sich gegen Mitarbeiter in den Branchen Einzelhandel, Versicherungswesen und Luftfahrt richteten. Die Vorgehensweisen dieser Gruppe sind aggressiv und entwickeln sich ständig weiter.
Der Einstieg ist ganz alltäglich. Die Folgen können enorm sein. Der Angriff auf die „ “-Website von Marks & Spencer wird den Einzelhändler beispielsweise schätzungsweise 400 Millionen Dollar kosten. Bei dem Angriff auf Co-op wurden die Daten von rund 6,5 Millionen Menschen gestohlen . Zudem war Harrods eine Woche lang nicht in der Lage, Online-Bestellungen für Bekleidung und Wohn en entgegenzunehmen. Die finanziellen Auswirkungen wurden nicht bekannt gegeben. (Die britische National Crime Agency gab die Festnahme von vier mutmaßlichen Tätern dieser Cyber-Tatenserie bekannt – einer 20-jährigen Frau und drei männlichen Jugendlichen im Alter von 17 bis 19—in Juli.)
[Lesen Sie auch: Was ist Identitäts- und Zugriffsmanagement?]
Sobald sie sich Zugang verschafft haben, installieren die Angreifer entweder Ransomware oder entwenden unbemerkt sensible Daten. Zunehmend trifft Letzteres zu. Erpressung ohne Verschlüsselung, bei der Angreifer Daten stehlen und anschließend eine Zahlung verlangen, um diese nicht öffentlich zu machen, ist schneller, unauffälliger und lukrativer. Dragos, ein auf Angriffe auf die Infrastruktur spezialisiertes Cybersicherheitsunternehmen, berichtet auf unter , dass dieses Modell der „reinen Datenerpressung“ rasch an Bedeutung gewinnt, insbesondere in ganz Europa.
Angriffe auf Helpdesks: Welche Branche ist als Nächstes betroffen?
Einzelhandelsunternehmen und Versicherer waren in diesem Jahr bevorzugte Angriffsziele. Doch „Scattered Spider“ verfolgt ein bestimmtes Muster: Zunächst wird eine Branche hart getroffen, dann geht es weiter zur nächsten.
Es wird allgemein angenommen, dass diese Gruppe hinter den 2023 Cyberangriffen auf MGM Resorts International und Caesars Entertainment steckt, bei denen mittels Vishing Zugriff auf Unternehmenssysteme erlangt und Ransomware eingesetzt wurde. Die Behörden vermuten, dass die Gruppe „ “ hinter einer Reihe von Cyberangriffen auf Fluggesellschaften in diesem Sommer steckt. Die Gruppe gehört zu den drei Organisationen, die laut die Verantwortung für den verheerenden Cyberangriff auf Jaguar Land Rover in diesem Monat übernommen haben, der weltweit Produktionsstillstände auslöste und geschätzte Verluste in Höhe von mehreren hundert Millionen Dollar verursachte. Ein aktueller Bericht von „ “ ( ) des auf Bedrohungsanalysen spezialisierten Unternehmens ReliaQuest () ( ) deutet darauf hin, dass Finanzdienstleister () ( ) und der Technologiesektor () ( ) wahrscheinlich die nächsten Ziele sein könnten.
„Bestimmte Branchen sind stärker gefährdet“, sagt Arda Büyükkaya, leitender Analyst für Cyberbedrohungsinformationen bei EclecticIQ. „Der Einzelhandel, die Bereiche „ “ im Gesundheitswesen sowie ähnliche Branchen sind besonders anfällig, da sie häufig über umfangreiche Helpdesk-Betriebe, schnelllebige Arbeitsumgebungen und flexible Verfahren zur Identitätsprüfung verfügen, die Angreifer leichter ausnutzen können.“
Moderne Vorgehensweisen – So funktionieren Helpdesk-Angriffe
Cyberkriminelle durchsuchen LinkedIn, soziale Medien und „Breach Dumps“ (Datenbanken mit gestohlenen Benutzernamen, Passwörtern und anderen persönlichen Daten), um detaillierte Mitarbeiterprofile zu erstellen. Anschließend tätigen sie einen Vishing-Anruf bei einem Helpdesk und geben sich dabei häufig als Führungskraft auf Geschäftsreise aus, die keinen Zugriff mehr auf ihr Telefon und ihre E-Mails hat. Sie streuen gerade so viel Fachjargon und Dringlichkeit ein, dass sie glaubwürdig wirken. Manche fälschen sogar die echten Telefonnummern des Unternehmens oder registrieren Phishing-Domains wie „vpn-IhrUnternehmen-Helpdesk.com“.
“„Helpdesks sind attraktive und anfällige Ziele, da deren Mitarbeiter darauf geschult sind, Probleme schnell zu lösen.“Arda Büyükkaya, leitender Analyst für Cyberbedrohungsinformationen bei EclecticIQ
„Helpdesks sind attraktive und anfällige Ziele, da deren Mitarbeiter darauf geschult sind, Probleme schnell zu lösen. Angreifer nutzen dies aus, indem sie dringliche, emotionale Szenarien schaffen, um sie unter Druck zu setzen, Sicherheitsprotokolle zu umgehen“, sagt Büyükkaya. „Zudem haben Helpdesks häufig Zugriff auf Funktionen mit weitreichenden Berechtigungen, wie beispielsweise das Zurücksetzen von Passwörtern und die Multi-Faktor-Authentifizierung, was sie zu zentralen Kontrollpunkten macht.“
Dieser Zugang wird nicht immer dazu genutzt, Umbrüche herbeizuführen. Es wird zunehmend zur Tarnung eingesetzt.
„Vishing ermöglicht reine Erpressung, da Angreifer sich damit unbemerkt Zugang zu Systemen verschaffen können, ohne Malware oder Verschlüsselung einsetzen zu müssen“, sagt Büyükkaya. „Stattdessen stehlen sie sensible Daten von und drohen dann damit, diese zu veröffentlichen, sofern kein Lösegeld gezahlt wird.“ „Diese Methode birgt für Angreifer nur ein geringes Risiko, lässt sich schnell ausführen und bleibt oft unentdeckt, bis die Erpressungsforderung gestellt wird.“
Planung von Maßnahmen zur Abwehr von Angriffen auf den Helpdesk
Was können Unternehmen also dagegen tun?
“[Befähigen Sie die Mitarbeiter, alles in Frage zu stellen], wenn sie wirklich das Gefühl haben, dass etwas nicht stimmt, dass ein Anruf nicht legitim ist oder dass er keinen Sinn ergibt.“Christopher Hadnagy, Geschäftsführer von Social-Engineer
„Sicherheitsteams können sofortige Maßnahmen ergreifen, wie beispielsweise, Personen stets über vertrauenswürdige Kontaktnummern zurückzurufen, mehrstufige Verifizierungsprozesse einzuführen, anstatt sich ausschließlich auf Telefonanrufe zu verlassen, und geheime Passphrasen für Vorgänge mit hohen Berechtigungen wie das Zurücksetzen von Passwörtern zu verlangen“, sagt Büyükkaya. „Sie sollten die Identität zudem über eine Webcam überprüfen oder bei sensiblen Vorgängen eine persönliche Identitätsprüfung verlangen.“ „Regelmäßige Schulungen für Helpdesk-Mitarbeiter, einschließlich Social-Engineering-Simulationen, sowie die Durchsetzung klarer Regeln zur Abwehr dringender oder risikoreicher Anfragen sind ebenfalls entscheidende Maßnahmen.“
Eine der wirksamsten Abwehrmaßnahmen besteht darin, die Mitarbeiter des Helpdesks darin zu schulen, worauf sie achten müssen, erklärte Christopher Hadnagy, Geschäftsführer von Social-Engineer, einem Unternehmen für Sicherheitsberatung und -schulungen, kürzlich in einem Webinar der „ “ unter. Die alten Faustregeln, wie beispielsweise, dass man bekannten Stimmen vertraut und sich vor unbekannten Stimmen oder solchen mit Akzent in Acht nehmen sollte, gelten nicht mehr. Moderne Deepfake-Technologie könne überzeugende Aufnahmen erzeugen, und KI-gestützte Tools wie FraudGPT könnten sogar jeden Akzent so klingen lassen, als stamme er aus der Region, sagte er.
Büyükkaya erklärt, dass ein Teil dieser Schulung darin bestehen sollte, die Mitarbeiter über Warnsignale aufzuklären, wie beispielsweise dringende Anfragen, die das Personal dazu drängen, Überprüfungsschritte zu überspringen, Anrufer, die offenbar über umfassende Kenntnisse der internen Systeme verfügen, Anfragen zur Zurücksetzung von Passwörtern oder der Zwei-Faktor-Authentifizierung ohne begleitenden Nachweis, Anrufe von unbekannten oder gefälschten Nummern sowie Anfragen zu ungewöhnlichen Zeiten oder von ungewöhnlichen Orten aus.
Eine weitere Art von „Hack“ im Helpdesk – Misstrauen gegenüber dem Support
Bei der Fortbildung sollte es auch um die Stärkung der Eigenverantwortung gehen.
Mitarbeiter des Helpdesks müssen wissen, dass sie – „wenn sie wirklich das Gefühl haben, dass etwas nicht stimmt, dass ein Anruf nicht legitim ist oder dass er keinen Sinn ergibt“ – diesen hinterfragen, unterbinden und melden können, ohne dass ihnen daraus Nachteile entstehen – selbst wenn es sich um ihren Vorgesetzten oder den Geschäftsführer handelt, erklärte Hadnagy im Webinar.
Hadnagy verwies auf einen Fall von 2024 , bei dem ein Ferrari-Führungskraft Nachrichten und sogar einen mit Deepfake-Technik gefälschten Telefonanruf von jemandem erhielt, der sich als CEO Benedetto Vigna ausgab. Da ihm dies verdächtig vorkam, bat der Geschäftsführer den Anrufer, sich an ein Buch zu erinnern, das Vigna kürzlich empfohlen hatte. Als der Betrüger keine Antwort geben konnte, scheiterte der Versuch umgehend.
„Diese eine Frage hat Ferrari vor einem massiven Sicherheitsverstoß bewahrt“, sagte Hadnagy. „Und warum? Denn der leitende Angestellte hatte keine Befürchtung, dass er, hätte er den eigentlichen Geschäftsführer tatsächlich in Frage gestellt, gerügt, zurechtgewiesen oder bloßgestellt worden wäre. „Er gewann das Bewusstsein, dass er die Macht hatte, diesen Mann am Telefon zur Rede zu stellen, und dadurch wurde der Verstoß verhindert.“
Behördliche und sonstige fachliche Leitlinien für Unternehmen in den USA und im Vereinigten Königreich
Das National Cyber Security Centre (NCSC), das zum britischen Government Communications Headquarters (GCHQ) – einer nachrichtendienstlichen und sicherheitspolitischen Organisation – gehört, hat ebenfalls unter dringende Leitlinien für britische Unternehmen herausgegeben, damit diese ihre Helpdesk-Prozesse überprüfen und absichern können.
In den USA haben verschiedene branchenbezogene ISACs ähnlich hilfreiche Leitlinien herausgegeben. Weiss, der am Aufbau des Cyber Intelligence Center der Citigroup mitgewirkt hat, erklärt, das Modell des Finanzsektors zum Austausch von Bedrohungsinformationen könne als Vorbild für den Einzelhandel und das Gesundheitswesen dienen.
„Wir hatten Bedrohungsinformationen in alle Bereiche integriert, von der strategischen Planung bis hin zu Echtzeit-Einsätzen“, sagt er. „Dank dieses Integrationsgrades können Sie den kommenden Entwicklungen einen Schritt voraus sein.“
Zwar scheint die Biometrie nach dem „ “-Prinzip als Verifizierungsinstrument zunehmend an Beliebtheit zu verlieren, doch weist Herr Weiss darauf hin, dass diese Technologie dennoch eine Rolle spielen kann. „Es gibt Technologien zur Stimmerkennung und Verhaltensüberprüfung, die Auffälligkeiten in Echtzeit erkennen können“, sagt er. „Lösungen wie Clear prüfen derzeit die Einführung aktiver Lebenszeichen-Überprüfungen zur Identitätsbestätigung. „Das könnte ein Teil der Antwort sein.“
[Lesen Sie auch: Ein neues dezentrales Modell der Cyberabwehr gewinnt in der EU an Bedeutung]
Doch er und Büyükkaya sind sich einig, was die wichtigste Verteidigungsstrategie betrifft: die Vorbereitung.
„Trainieren Sie nicht nur einmal und machen Sie dann weiter“, sagt Büyükkaya. „Führen Sie Übungen durch. Geheime Passphrasen vorschreiben. „Und machen Sie deutlich, dass jede dringende Anfrage ein Warnsignal ist und kein Vorwand, um die Vorschriften zu umgehen.“
In der heutigen Bedrohungslandschaft könnte Ihre größte Schwachstelle ein wohlmeinender Mitarbeiter sein , der lediglich versucht, zu helfen.
„Wir sagen den Unternehmen immer wieder“, so Weiss, „wenn Sie Ihren Helpdesk nicht proaktiv testen und Ihre Vorgehensanleitungen nicht aktualisieren, hinken Sie bereits hinterher.“
