Social Engineering kann sich wie eine Art PolySci-Abschluss oder Spezialisierung auf Social Media Management anhören. Die Realität des Social Engineering ist jedoch viel unheimlicher.
Social Engineering ist ein Cyberangriff, der psychologische Manipulation verwendet, um Einzelpersonen davon zu überzeugen, sensible Informationen preiszugeben oder unbefugten Zugriff zu gewähren.
Mit der Erweiterung der Angriffsflächen im Unternehmen (öffnet sich in einer neuen Registerkarte) – aufgrund der zunehmenden Remote-Arbeit und der Erweiterung der Cloud-Dienste und digitalen Kommunikationskanäle – haben auch die Möglichkeiten für Social-Engineering-Angriffe zugenommen. Einmal im Inneren, maskiert sich ein Angreifer als legitimer Benutzer und bewegt sich frei durch Ihr Netzwerk, untersucht Ihre Sicherheit, installiert Hintertüren, spioniert Ihre Kommunikation und stiehlt Ihre sensiblen Daten.
Diese Angriffe kosten auch jedes Jahr immer mehr Opfer. Zum Beispiel wurden Beschwerden über geschäftliche E-Mail-Kompromittierungen (Business Email Compromise, BEC) (eine häufige Form des Social Engineering) zuerst in den Bericht des 2014 FBI Internet Crime Complaint Center (IC3) aufgenommen (eröffnet sich in einer neuen Registerkarte), aber wie der Bericht besagt, kann diese Art von Betrug bereits ab 2010 begonnen haben. Since the IC3 started calculating the losses caused by BEC scams in 2014 ($226 million), the cost has risen almost 13x.
In this comprehensive guide, we’ll define social engineering, explore techniques commonly used by threat actors, discuss real-world examples of successful social engineering attacks, and offer strategies for protecting your organization.
Vereinfachte Definition von Social Engineering
Im Gegensatz zu anderen Cybersicherheitsbedrohungen, die technische Schwachstellen ausnutzen, zielt Social Engineering auf Menschen ab, was es besonders schleichend und effektiv macht, da menschliche Reaktionen unvorhersehbar sind.
Bei Social Engineering-Angriffen spielen Cyberkriminelle mit den Ängsten und Emotionen ihrer Opfer. Einige häufige Warnsignale dieses Angriffstyps sind:
- Die Absenderdomäne ahmt eine offizielle Marke nach, auch Spoofing genannt, in der Hoffnung, dass Opfer kleine Unregelmäßigkeiten in der E-Mail-Adresse des Absenders übersehen
- Angreifer können kompromittierte E-Mail-Konten verwenden, um Spam und ungewöhnliche Anfragen an die Kontakte des Opfers zu senden, was bedeutet, dass Social-Engineering-Angriffe oft legitim erscheinen können.
- Betrüger können Belohnungen versprechen, die zu gut erscheinen, um wahr zu sein, oder um personenbezogene Daten bitten
Warum ist Social Engineering eine erhebliche Bedrohung für die Cybersicherheit?
Selbst mit den robustesten Sicherheitsmaßnahmen kann ein einzelner Mitarbeiter, der auf einen Social-Engineering-Angriff fällt, Ihr gesamtes Unternehmen gefährden. Einmal im Inneren kann sich der Angreifer seitlich verschieben (öffnet sich in einer neuen Registerkarte) und sich im Stillen um Ihre Infrastruktur herum umsehen, um Sicherheitsschwachstellen zu finden und kritische Assets und Daten zu lokalisieren, die gestohlen oder ausgenutzt werden können.
Sie können Backdoors und andere bösartige Software installieren, die es ihnen ermöglichen, nach Belieben zu kommen und zu gehen, Daten zu erfassen (was zu Bußgeldern, rechtlichen Schritten und Vertrauensverlust führt) und Dateien (und Ihren Ruf) zu vernichten.
Als letzten Angriff werden sie durch die von ihnen installierten Hintertüren zurückfallen und Ihre Infrastruktur verwenden, um Malware zu verteilen, Phishing-E-Mails zu senden oder Denial-of-Service-Angriffe durchzuführen – und das alles, während es so aussieht, als ob Ihr Unternehmen die Schuld dafür hat.
Wie hoch sind die Kosten eines Social-Engineering-Angriffs?
Die finanziellen Kosten von Social-Engineering-Angriffen können betrügerisch sein. Im Jahr 2023 stellte der Verizon Data Breach Investigations Report (DBIR) (eröffnet in einer neuen Registerkarte) fest, dass 17 % der US-Datenverletzungen und 10 % der Cybervorfälle durch Social Engineering verursacht wurden.
Aber das ist nicht der volle Preis; es wird langfristige, immaterielle Schäden geben, die schwer zu quantifizieren sind, einschließlich:
- Kunden, Partner und Investoren verlieren das Vertrauen, was zu einem verringerten Geschäfts- und Markenwert führt
- Geldbußen, Strafen, Verstöße und potenzielle Klagen können zu erheblichen finanziellen und rechtlichen Belastungen führen
- Stilllegungen für Untersuchungen und Behebung können die Produktivität und Geschäftskontinuität erheblich beeinträchtigen
- Verlorene Geschäftsgeheimnisse und geschützte Informationen können den Marktvorteil beeinträchtigen
Investitionen in Prävention, Erkennung und effektive Reaktion auf diese Bedrohungen können jedoch die langfristigen Folgen eines erfolgreichen Angriffs minimieren.
Häufige Arten von Social Engineering-Angriffen
Social-Engineering-Angreifer verwenden verschiedene Taktiken, um menschliche Schwachstellen auszunutzen. Sie können unabhängig oder strategisch kombiniert verwendet werden, um ihre Effektivität zu maximieren. Malware und Ransomware werden oft mit Social-Engineering-Techniken genutzt, um Cyberangriffe zu starten und bösartige Software einzusetzen, die erhebliche Geschäftsunterbrechungen, finanzielle Verluste und Reputationsschäden verursachen kann.
Hier sind zehn der häufigsten Social-Engineering-Techniken:
- Baiting
nutzt menschliche Neugier und unseren Wunsch nach Freebies aus, verleitet Opfer dazu, vertrauliche Informationen (z. B. Sozialversicherungsnummern, Geburtsdatum usw.) offenzulegen oder Malware über Malware-infizierte USB-Laufwerke, gefälschte kostenlose Inhalte oder Phishing-Websites zu installieren. - Kompromittierung geschäftlicher E-Mails (öffnet sich in einer neuen Registerkarte)
BEC-Betrügereien geben sich oft als Führungskräfte aus, um ein Gefühl der Dringlichkeit zu schaffen und Autorität zu etablieren. Sie können das Opfer auch dazu bringen, Gelder auf das Konto des Angreifers zu überweisen oder sensible Informationen offenzulegen. - Phishing-Angriffe (öffnet sich in einer neuen Registerkarte)
Phishing-Kampagnen, Websites oder Sofortnachrichten, die legitime Organisationen wie Banken oder Regierungsbehörden darstellen, bringen Opfer dazu, Informationen wie Kreditkarten- oder Bankkontonummern preiszugeben. - Vortextangreifer
können sich als Autoritätsfiguren ausgeben, wie z. B. Strafverfolgungsbehörden, Steuerbeamte oder IT-Support, um Opfer davon zu überzeugen, sensible Informationen preiszugeben. - Quid pro quo
Quid pro quo-Angriffe nutzen unsere menschliche Tendenz, Gefälligkeiten und Vertrauensvollmachtszahlen zu reziprozieren. Angreifer können Dienste oder Geschenke im Austausch für Anmeldedaten oder personenbezogene Daten anbieten. - Smishing
Smishing (SMS-Phishing) verwendet Textnachrichten. Das ist effektiv, da Menschen SMS mehr vertrauen als E-Mails, und mobile Geräte oft weniger Sicherheitsfunktionen haben als Computer. - Spear Phishing
Spear Phishing ist ein gezieltes Phishing, das sich auf bestimmte Einzelpersonen oder Organisationen konzentriert. Angreifer untersuchen ihre Ziele, um überzeugende Nachrichten zu erstellen, die schwer zu erkennen sind, da die offensichtlichen Warnsignale von generischen Phishing-Betrugen fehlen. - Tailgating/Huckgybacking
Tailgating- und Huckgybacking- Angriffe beinhalten die physische Verfolgung einer autorisierten Person in einen eingeschränkten Bereich. Diese persönliche Angriffsart nutzt unsere Tendenz, hilfreich zu sein, und stützt sich auf unsere Annahme, dass eine Person in einem autorisierten Bereich dort sein sollte. - Vishing (öffnet sich in einer neuen Registerkarte)
Vishing-Angreifer (Voice Phishing) schaffen Glaubwürdigkeit und Vertrauen, indem sie sich als Vertreter legitimer Organisationen ausgeben. Sie verwenden Telefonanrufe oder Sprachnachrichten und verlassen sich stark auf Dringlichkeit und Angst, um Opfer zu motivieren , sensible Informationen schnell preiszugeben oder die Sicherheit zu gefährden. - Bewässerungslochangriffe
Bei Bewässerungslochangriffen kompromittiert der Angreifer eine Website, die häufig von einer bestimmten Gruppe (d. h. Unternehmensmitarbeitern, Branchenmitgliedern usw.) besucht wird, und infiziert sie mit Malware oder bösartigen Skripten, die das Vertrauen der Opfer auf die Website ausnutzen.
Reale Beispiele für Social-Engineering-Angriffe
BEC: Nigeria — North Carolina — Texas (eröffnet in einer neuen Registerkarte)
Zwei nigerianische Betrüger nutzten ein BEC-System, um einen Betrug in Höhe von 5 Millionen US-Dollar von Universitäten und Unternehmen in North Carolina und Texas zu versuchen. Nachdem sie erfahren hatten, dass Universitätsbauprojekte von einem einzigen großen Unternehmen verwaltet wurden, registrierten sie eine ähnliche Domain. Mit einer gefälschten E-Mail-Adresse haben sie Universitätsmitarbeiter in North Carolina davon überzeugt, mehr als 1,9 Millionen US-Dollar auf ein betrügerisches Bankkonto zu überweisen. Sie verwendeten die gleichen Methoden , um zu versuchen, mehr als 3 Millionen US-Dollar in Texas zu stehlen.
Die Mitverschwörer müssen nun lange Gefängnisstrafen verhängen und eine Entschädigung und ein monetäres Urteil zahlen. Die Restitution wird jedoch langsam sein – wenn überhaupt – und kann niemals die gesamten Kosten des Schadens abdecken.
Phishing – Minnesota (wird in einer neuen Registerkarte geöffnet)
Cottage Grove, Minnesota, Stadtverwalter wurden Opfer eines Phishing-Betrugs, der Steuerzahler mehr als 1,2 Millionen US-Dollar kostete. Die Stadt hatte einen Vertrag über 3,5 Millionen US-Dollar mit Geislinger & Sons für ein Abwasserbehandlungsprojekt.
Mit einer gefälschten E-Mail-Domain haben Betrüger Administratoren davon überzeugt, Gelder an ein betrügerisches Bankkonto zu senden. Der Betrug wurde aufgedeckt, nachdem das echte Unternehmen ausstehende Zahlungen angefordert hatte. Bundesagenten verfolgten einige der Gelder nach Großbritannien und arbeiten daran, sie zurückzufordern.
Ransomware – Las Vegas (wird in einer neuen Registerkarte geöffnet)
Gemäß ihrer obligatorischen regulatorischen Einreichung bei der Securities and Exchange Commission (SEC) zahlte Caesars Entertainment Inc. Zehn Millionen an Lösegeld (öffnet sich in einer neuen Registerkarte) an Scattered Spider (öffnet sich in einer neuen Registerkarte), eine Hackergruppe, die Ihren eigenen anfälligen Treiber (BYOVD) verwendet, um Endpunkterkennungs- und Reaktionslösungen zu umgehen, um ihr Netzwerk zu durchbrechen. Die Hacker nutzten zunächst ein Social-Engineering-System, um einen externen IT-Anbieter zu verletzen, und griffen dann auf das Netzwerk von Caesars zu, um seine Treueprogrammdatenbank, einschließlich personenbezogener Informationen (PII), zu kopieren.
Innerhalb weniger Tage startete Scattered Spider in Zusammenarbeit mit AlphV ein aufwendiges Vortextschema gegen MGM International (eröffnet in einer neuen Registerkarte).
Als Mitarbeiter von MGM Resorts, den sie auf LinkedIn recherchiert haben, überzeugten sie den IT-Helpdesk von MGM, genügend Informationen preiszugeben, um ihnen den Zugriff auf Administratorrechte auf die MGM-Mieterumgebungen Okta und Azure zu ermöglichen. Die MGM-Sicherheit entdeckte am nächsten Tag ungewöhnlichen Datenverkehr, sodass AlphV zuließ, Passwörter auf den Okta-Servern zu schniffen und sofort Ransomware bereitzustellen. Die SEC-Einreichung von MGM meldete Verluste in Höhe von 100 Millionen US-Dollar (eröffnet in einer neuen Registerkarte).
Wie können Sie sich vor Social Engineering-Angriffen schützen?
Um sich vor Social Engineering-Angriffen zu schützen und die „menschliche Firewall“ zu stärken, müssen Organisationen einen facettenreichen Ansatz verfolgen, der Mitarbeiterschulung, nahtlose Sicherheitsmaßnahmen und effektives Identitäts- und Zugriffsmanagement (öffnet sich in einer neuen Registerkarte) kombiniert.
4 Möglichkeiten, eine menschliche Firewall gegen Social-Engineering-Angriffe einzusetzen
1. Führen Sie häufige Schulungen zum Sicherheitsbewusstsein der Mitarbeiter durch
- Schließen Sie die Social Engineering-Taktikidentifizierung, sicheres Browsen und sensible Datenverarbeitung ein
- Verwenden Sie Gamification und interaktive Methoden für ein unvergessliches Training
- Passen Sie Schulungen an Rollen an, um einzigartige Sicherheitsherausforderungen anzugehen
2. Best Practices für Cyber-Hygiene im Sicherheitsbereich befolgen
- Single Sign-On (SSO) und Passwortmanagement implementieren, um sichere Passwörter zu gewährleisten
- Zero Trust (öffnet sich in einer neuen Registerkarte) mit Multi-Faktor-Authentifizierung (MFA) (öffnet in einer neuen Registerkarte) für kritische Systeme und Anwendungen durchsetzen
- Nutzen Sie risikobasierte Authentifizierung, um Reibung zu reduzieren
3. Verbesserung der Zugriffskontrollen
- Geben Sie nur Zugriff auf die Ressourcen und Daten, die Mitarbeiter für ihre Aufgaben benötigen – überprüfen und aktualisieren Sie regelmäßig Berechtigungen
- Überwachen Sie die Benutzeraktivität und Zugriffsmuster, um anomales Verhalten zu erkennen
- Minimieren Sie menschliche Fehler und reduzieren Sie die Belastung Ihres IT-Teams durch die Automatisierung des Zugriffsmanagements
4. Festlegen von Prozessen zur Reaktion auf Vorfälle und zur Berichterstattung
- Definieren Sie klare Verfahren für die Handhabung und Meldung vermuteter Angriffe
- Ermutigen Sie zur unerschrockenen Meldung verdächtiger Aktivitäten wie Phishing-E- Mails
- Überwachen Sie Endpunkte auf Risiken (öffnet sich in einer neuen Registerkarte) und erkennen, untersuchen und jagen Sie Vorfälle einfacher, um entdeckte Bedrohungen in Echtzeit einzudämmen und Schäden zu mindern.
Wie Sie die wachsende Bedrohung durch Social Engineering bekämpfen
Leider kann keine einzelne Lösung oder Strategie vollständig vor diesen immer komplexeren und manipulativen Angriffen schützen. Um Bedrohungen bestmöglich zu bekämpfen, müssen Unternehmen umfassende, mehrschichtige Sicherheitsrichtlinien einführen, die mit Zero Trust beginnen, was bedeutet, dass kein Benutzer, Gerät oder Netzwerk vertrauenswürdig ist, ohne dass sie zuerst verifiziert werden. Mit Zero Trust können Unternehmen einfacher ein agiles Sicherheitsmodell aufrechterhalten, das ihre Angriffsfläche und Sicherheitsrisiken reduziert, indem sichergestellt wird, dass nur auf sensible Daten von den Benutzern zugegriffen wird, die sie benötigen.
Die nächste Schicht sollte die Verstärkung Ihrer „humanen Firewall“ sein. Die Bildung ist Teil dieses Schutzschilds, aber eine erfolgreiche Benutzerakzeptanz muss auch eine großartige digitale Mitarbeitererfahrung (DEX) beinhalten. Es wird immer frustrierender, dass Mitarbeiter die Informationen und Tools finden, die sie für ihre Arbeit benötigen. Ohne eine effektive Strategie für die Employee Experience können Unternehmen Produktivitätseinbußen, Bindungseinbußen und die Einhaltung der Best Practices für Cyberhygiene aus dem Fenster werfen.
Schließlich benötigt Ihr Unternehmen effektive Zugriffskontrollrichtlinien und umfassende Transparenz in seine Umgebung, um potenzielle Bedrohungen umgehend zu erkennen, zu untersuchen und zu beheben. Indem Unternehmen sicherstellen, dass nur die richtigen Personen den richtigen Zugang zu den richtigen Zeiten haben und eine klare Übersicht über Systemaktivitäten erhalten, können sie ihr Risikoprofil erheblich reduzieren und ihre Fähigkeit verbessern, auf Social Engineering-Vorfälle zu reagieren und sich von diesen zu erholen.
Die Plattform von Tanium (öffnet sich in einer neuen Registerkarte) ermöglicht es Ihnen, Ihre Endpunkte von einer einzigen Konsole aus zu verwalten und zu sichern, mit einer Reihe verfügbarer Lösungen, die entwickelt wurden, um moderne IT-Herausforderungen zu lösen. Zum Beispiel bietet unsere DEX-Lösung (öffnet sich in einer neuen Registerkarte) ein Echtzeitfenster für die digitalen Interaktionen Ihrer Mitarbeiter, wie z. B. die Verfolgung von Endpunkt- und Anwendungsdaten, die Messung und Berichterstattung über die Mitarbeiterstimmung und die Möglichkeit, diese Erkenntnisse zu nutzen, um Probleme zu beheben, um die Mitarbeiterproduktivität proaktiv zu erhalten. Indem Sie proaktiv vorgehen, um eine nahtlose digitale Umgebung in Ihrer Organisation zu gewährleisten, wird das Employee Experience Management zu einem Eckpfeiler Ihrer IT-Strategie.
Mit Tanium erhalten Sie Echtzeiteinblicke in Ihre Endpunktgeräte (öffnet sich in einer neuen Registerkarte) und die Tools, die Sie benötigen, um Ihre Fähigkeit zu rationalisieren, zu vereinfachen und zu unterstützen, geschäftskritische Assets zu schützen. Dazu gehört unsere Vision für das autonome Endpunktmanagement (AEM), das zusammengesetzte künstliche Intelligenz (öffnet sich in einer neuen Registerkarte) verwendet, um intelligente Automatisierungs- und Entscheidungsfunktionen für die Verwaltung von IT-Endpunkten bereitzustellen. Sie können noch heute eine Demo anfordern (öffnet sich in einer neuen Registerkarte), um sie für sich selbst zu sehen.
