Die Stimme am anderen Ende der Leitung klang zunehmend verzweifelt.
„Bitte, Herr, wir müssen ein sicheres Formular auf Ihren Computer herunterladen, damit wir Ihr Abonnement kündigen können.“ „Das ist der einzige Weg.“
Er versuchte, mich davon zu überzeugen, ihm Fernzugriff auf meinen Computer zu gewähren, damit er ein „Geek Squad“-Abonnement kündigen könne, das ich nie abgeschlossen hatte.
Er flüsterte auf Urdu und vertraute einem Kollegen an, dass ich nicht kooperativ sei.
„Bitte“, bat er erneut, „wir benötigen lediglich fünf bis 10 Minuten Ihrer wertvollen Zeit, um Ihnen Ihr Geld zurückzuerstatten.“
Nachdem ich endlich aufgelegt hatte, rief er mich zurück – acht Mal hintereinander.
Es handelte sich um einen klassischen hybriden Voice-Phishing-Angriff („Vishing“). Es begann mit einer E-Mail, in der behauptet wurde, mir würden 302,42 Dollar in Rechnung gestellt, sofern ich nicht die am Ende der Nachricht angegebene Nummer anrufe. Wäre ich ein naiver Nutzer gewesen, hätte dies dazu führen können, dass mein Computer kompromittiert und meine Kreditkartendaten gestohlen worden wären. Und hätte ich für ein großes Unternehmen gearbeitet, wären die Folgen möglicherweise weitaus schwerwiegender gewesen.
Laut dem jüngsten vierteljährlichen Bedrohungsbericht „ “ von PhishLabs ( ) stieg die Zahl solcher Vishing-Angriffe um 625 % – von 2021 auf 2022. Sie sind mittlerweile die zweithäufigste Form von „reaktionsbasierten“ Angriffen und liegen damit nur noch hinter dem klassischen „Nigerian Prince 419 “-Betrug. In beiden Fällen wenden Betrüger Social-Engineering-Taktiken an, bei denen sie psychologische Manipulation einsetzen, um die Opfer dazu zu bewegen, vertrauliche Informationen preiszugeben.
„Voice-Phishing kann effektiver sein, da Menschen dazu neigen, ihre Wachsamkeit zu verlieren, wenn sie mit jemandem sprechen“, sagt Roger Grimes, „Data-Driven Defense Evangelist“ bei KnowBe4, einem Anbieter von Anti-Phishing-Schulungen für Unternehmen. „Social Engineering ist für 80 % bis 90 % aller erfolgreichen Datenlecks verantwortlich.“
Sich anpassen und siegen
Da Unternehmen mittlerweile die typischen Anzeichen von Phishing-Angriffen vom Typ „ “ erkennen, haben sich die Angreifer darauf eingestellt. Im Frühjahr des Jahres 2021 spaltete sich die Conti-Ransomware-Bande in mehrere Gruppen auf und begann, neue Strategien zu verfolgen. Ein neuer Angriffsvektor, der als „ ‚BazarCall‘“, „ “ oder „Callback-Phishing“ bekannt ist, folgte dem oben beschriebenen Schema: eine gefälschte E-Mail, die darauf abzielt, einen Telefonanruf auszulösen, gefolgt von der Aufforderung zum Fernzugriff. Während ein vorgeblicher Kundendienstmitarbeiter den Anrufer in ein Gespräch verwickelt, dringt ein Angreifer aus der Ferne in dessen Netzwerk ein, um Informationen zu stehlen oder Schadsoftware zu installieren.
„“Callback-Phishing hat die aktuelle Bedrohungslage grundlegend verändert.“Fortschrittliche Lösungen im Bereich der Informationsgewinnung
Laut dem Sicherheitsforschungsunternehmen Advanced Intelligence Solutions hat „Callback-Phishing die aktuelle Bedrohungslandschaft grundlegend verändert“ und zielt auf eine Vielzahl von Organisationen ab, darunter einen multinationalen Waffenhersteller, einen großen Anbieter von IT-Lösungen, ein Technologieunternehmen mit einem Umsatz in Milliardenhöhe sowie ein NBA-Team. Fast 40 % der Betroffenen erzielen einen Jahresumsatz von mehr als 1 Milliarde US-Dollar.
Im August veröffentlichte Cisco eine bemerkenswert detaillierte Beschreibung eines Vishing-Angriffs auf das private Google-Konto eines seiner Mitarbeiter. Da der Mitarbeiter die Passwortsynchronisierung im Browser aktiviert hatte, gelang es den Angreifern zudem, Zugriff auf die Cisco-Anmeldedaten des Benutzers zu erlangen.
Dem Bericht zufolge führte der Angreifer anschließend „eine Reihe ausgeklügelter Voice-Phishing-Angriffe unter dem Deckmantel verschiedener vertrauenswürdiger Organisationen durch, um das Opfer davon zu überzeugen, vom Angreifer initiierte Push-Benachrichtigungen zur Multi-Faktor-Authentifizierung (MFA) zu akzeptieren.“
Schließlich gelang es dem Angreifer, die MFA-Sicherheitsmaßnahmen zu umgehen, sodass er sich über das Unternehmens-VPN anmelden konnte. Der Hacker begann daraufhin, Fernzugriffstools zu installieren, Administratorrechte zu erweitern, sich lateral im Netzwerk zu bewegen und Informationen zu stehlen.
Währenddessen beobachtete das Sicherheitsteam von Cisco den Angreifer und analysierte die von ihm eingesetzten Techniken. Letztendlich, so Cisco, seien keine sensiblen Informationen abgerufen worden und es seien weder Geschäftsabläufe noch Lieferkettenprozesse unterbrochen worden. Der Angreifer versuchte vergeblich, Geld von dem Unternehmen zu erpressen, und veröffentlichte anschließend einige nicht sensible Dateien im Dark Web.
Vergeblich trainieren?
Laut einem Bericht von IBM beliefen sich die durchschnittlichen Kosten für Unternehmen aufgrund von Phishing-Angriffen im Jahr 2021 auf 4,7 Millionen Dollar. Dennoch erhalten laut Osterman Research 86 % der Mitarbeiter monatlich 30 Minuten oder weniger an Schulungen zur Sensibilisierung für Sicherheitsfragen unter . Ein aktueller Bericht von SANS stellt fest, dass drei Viertel der Fachkräfte für Sicherheitsbewusstsein weniger als die Hälfte ihrer Zeit tatsächlich damit verbringen, Sicherheitsbewusstsein zu vermitteln.
Die Anti-Phishing-Schulung „KnowBe4’s “ besteht darin, den Mitarbeitern simulierte Phishing-E-Mails zu senden, die bis zu 33 % der Personen zu identifizieren, die stets auf die in den E-Mails enthaltenen Links klicken, und ihnen beizubringen, wie sie sich beim nächsten Mal nicht täuschen lassen.
[Lesen Sie auch: Warum Mitarbeiter gegen Cybersicherheitsrichtlinien verstoßen]
Leider, so Grimes, lassen die großen Telekommunikationsunternehmen nicht zu, dass Firmen wie KnowBe4 ohne deren Zustimmung nicht autorisierte Telefonanrufe an Mitarbeiter tätigen. Daher können Schulungen zum Schutz vor Vishing nicht auf dieselbe Weise durchgeführt werden. (Wenn man bereits weiß, dass ein Vishing-Anruf bevorsteht, verfehlt das Ganze gewissermaßen seinen Zweck.)
Trotz gelegentlicher Hindernisse sei Aufklärung nach wie vor der wirksamste Weg, um Phishing, Vishing oder Smishing (SMS-Angriffe) zu bekämpfen, sagt er.
„Man muss jedem beibringen, ein gesundes Maß an Skepsis gegenüber jeder Nachricht zu entwickeln, die zwei Merkmale aufweist: Sie kommt unerwartet, und sie fordert Sie dazu auf, etwas Neues für diesen bestimmten Absender zu tun“, sagt Grimes. „Vergewissern Sie sich unbedingt, dass die Nachricht echt ist, bevor Sie irgendetwas tun, worum [ein Absender] Sie bittet.“
Dazu braucht es eine ganze Armee
Es ist zudem ratsam, den Fokus auf Bereiche zu richten, in denen Ihr Unternehmen möglicherweise am anfälligsten ist, sagt Christopher Prewitt, Chief Technology Officer bei Inversion6, einem Anbieter von Lösungen für das Cybersicherheits-Risikomanagement.
„Viele Unternehmen versuchen, alles gleichermaßen zu schützen, ohne dabei die Prozesse zu berücksichtigen, die für das Geschäft am wichtigsten sind“, sagt er. „Wie fließt das Geld innerhalb der Organisation? Wer hat Zugriff darauf? Wie wickeln Sie Überweisungen ab? „Wenn Sie 300 Millionen Dollar in der Unternehmenskasse haben, sollten Sie vielleicht ein Zwischenkonto einrichten, um Ihre Rechnungen zu bezahlen, damit Sie nur einen begrenzten Geldbetrag verlieren, falls jemand betrogen wird.“
[Lesen Sie auch: Der Aufstieg des digital versierten Finanzleiters]
A lot of this is Security 101, he adds. Die Einschränkung von Zugriffsrechten, die Erkennung von ungewöhnlichem Verhalten, die Segmentierung der sensibelsten Bereiche des Netzwerks sowie die Einführung eines Zero-Trust-Konzepts tragen dazu bei, den Schaden durch einen erfolgreichen Angriff zu begrenzen. Doch nichts kann die ständige Wachsamkeit ersetzen.
„Ich kann nicht hinter 8 000 Mitarbeitern stehen und ihnen vorschreiben, worauf sie nicht klicken dürfen“, sagt Prewitt. „Ich brauche eine ganze Schar von Menschen, die verstehen, dass sie stets wachsam sein müssen, und möchte dann versuchen, mit ihnen zusammenzuarbeiten.“
