- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Whaling - Das Netz für die großen "Phishe"


Phishing ist eine der Bedrohungsformen, bei der immer trickreicher, fast schon kunstvoll vorgegangen wird
Whaling trägt alle Merkmale von Phishing, es wird jedoch kein großes Netz ausgeworfen, sondern der Betrug richtet sich gezielt gegen einen ganz bestimmten Endnutzer, etwa einen ranghohen Manager, einen Datenbankadministrator oder einen Prominenten

Von Fred Touchette, Manager of Security Research bei AppRiver

(22.04.16) - Phishing ist eine der Bedrohungsformen, bei der immer trickreicher, fast schon kunstvoll vorgegangen wird. Das Ziel ist, eine ausgewählte Person mittels Social Engineering, gefälschten E-Mails oder Inhalten dazu zu bringen, entweder ein Schadprogramm herunterzuladen und persönliche oder geschäftliche Daten preiszugeben. Einmal ins Netz gegangen lässt sich das Opfer gleich auf verschiedene Arten ausbeuten – vom Identitätsdiebstahl bis hin zum Unternehmensbetrug im großen Stil. Man geht davon aus, dass Phishing etwa 1995 entstanden ist, aber erst seit 2005 wurde es weithin als Angriffsmethode wahrgenommen. Und jetzt, mehr als zehn Jahre später, ist Phishing noch immer ein Problem.

Die Evolution des Phishings
"Phisher" werfen ihre Netze weit aus und setzen auf die statistische Wahrscheinlichkeit, dass ein gewisser Prozentsatz der Adressaten auf die Täuschung hereinfallen wird. Zur Verdeutlichung: In einer Untersuchung von Verizon aus dem Jahr 2015 mit 150.000 zugrunde gelegten Phishing-Mails öffneten 23 Prozent der Empfänger die Phishing-Nachricht als solche und 11 Prozent öffneten auch den Anhang.

In den letzten zehn Jahren ist durch Aufklärung zum Thema Phishing das Bewusstsein für die Risiken gewachsen. Und die Nutzer stellen zunehmend die Echtheit von E-Mails infrage. Die Konversionsraten begannen zu sinken und Phisher sahen sich gezwungen, ihre Nachrichten zu perfektionieren, um die Erfolgsquote wieder zu erhöhen. Unglücklicherweise werden Phisher durch die Beliebtheit sozialer Netzwerke, wie Facebook, Twitter, LinkedIn et cetera mit einer wahren Flut von Informationen versorgt, mit der sie ihre Nachrichten noch echter wirken lassen können. Bei diesem sogenannten "Spear-Phishing" wird es deutlich schwerer, Täuschung und Wahrheit auseinanderzuhalten.

Das mag jetzt klingen, als wären Betrüger ohnehin klar im Vorteil. Doch auch auf Seiten der Unternehmenssicherheit kann man inzwischen einige Erfolge verbuchen. Zunächst einmal sind, da Phisher auf Masse setzen, Firewalls und E-Mail-Gateways geübt, große Traffic-Mengen zu erkennen und zu blockieren. Viele derartige Betrugsversuche landen also gar nicht erst im Posteingang. Eine andere positive Entwicklung sind Antivirenprogrammen, die sich darauf spezialisiert haben genau diesen Nachrichtentypus zu überwachen und zu erkennen. Und solcherart Schadprogramme aussortieren, bevor sie die Inbox erreichen.

Wie bei jedem "Geschäft" dreht sich auch hier alles um die Ertragsmaximierung. Es überrascht also nicht, dass die Betrüger ihre Methoden angepasst haben. Beispielsweise enthalten Nachrichten verworrene Codes, damit sie nicht sofort als Phishing-Mails entlarvt werden und insgesamt werden weniger Nachrichten verschickt. Eine relativ neue Taktik ist es, sich bei den Aktivitäten auf den "dicksten Phish" im Gewässer zu konzentrieren – weniger Adressaten, aber höhere, in einigen Fällen viel höhere, Erträge!

"Whaling"
Der Begriff "Whaling" ist ein Wortspiel, das sich darauf bezieht, dass eine wichtige Person gerne als "dicker Fisch" – oder in unserem Fall "Phish" – bezeichnet wird.

Whaling trägt alle Merkmale von Phishing, es wird jedoch kein großes Netz ausgeworfen, sondern der Betrug richtet sich gezielt gegen einen ganz bestimmten Endnutzer, etwa einen ranghohen Manager, einen Datenbankadministrator oder einen Prominenten. Informationen zu diesen Persönlichkeiten finden sich nicht selten auf Unternehmenswebseiten, in LinkedIn-Profilen und sogar den Twitter-Accounts von Firmen – sie enthalten wesentliche Fakten, die digitale "Walfänger" für ihre Machenschaften benötigen.Wie bei jeder Form des Phishings ist das Ziel des Whalings, die anvisierte Person durch Social Engineering, gefälschte E-Mails und gefälschte Inhalte dazu zu bewegen, persönliche oder geschäftliche Daten preiszugeben.

Ein Beispiel für einen erfolgreich durchgeführten Whaling-Angriff (auch als "CEO-Fraud" bezeichnet) ist eine Form des Überweisungsbetrugs. Das Opfer, meist ein ranghoher Manager, erhält eine gefälschte Nachricht von einem Hacker, der sich als CFO oder sogar CEO eines Partnerunternehmens ausgibt und um die Überweisung eines Geldbetrags für eine Lieferantenzahlung oder gar eine Unternehmensübernahme bittet. Natürlich wird das Geld nicht für die genannte Zahlung oder Übernahme verwendet, sondern auf ein Bankkonto, auf das der Hacker Zugriff hat, eingezahlt.

Diese Mitteilungen wirken zunächst ganz harmlos. So fragt der Hacker (der sich als Geschäftsführer oder interner Mitarbeiter ausgibt) beispielsweise das Opfer, ob es an seinem Schreibtisch sitzt. Um glaubhaft zu wirken, nutzt der Hacker für die E-Mail eine Adresse mit der Firmendomain, als Antwortadresse gibt er jedoch eine Adresse mit einer externen Domain an, meist die eines kostenlosen E-Mail-Dienstes. Bei dieser Methode passiert es nicht selten, dass die Opfer mit dem Hacker per Mail kommunizieren, ohne zu bemerken, dass sie gerade übers Ohr gehauen werden. Mit dieser Vorgehensweise wurden bereits Tausende Dollar mittels betrügerischer Überweisungen von Unternehmen gestohlen. Die geforderte Summe liegt dabei oft in einem Bereich zwischen 20.000 und 50.000 Dollar. Das sind schon keine ganz geringen Verluste mehr. Allerdings geht es bei vielen Betrugsversuchen um deutlich höhere Summen. Nicht selten in einer Größenordnung, die eine Firma in den finanziellen Ruin stürzen kann.

Ubiquiti, ein Hersteller von Netzwerkkomponenten, fiel Mitte 2015 auf eine solche Masche herein. Das Unternehmen überwies nicht Zehntausende Dollar, sondern ganze 40 Millionen US-Dollar. Es gelang zwar, einige Millionen im Nachhinein zurückzubekommen, doch den Großteil des Geldes darf man wohl getrost als verloren betrachten. Anfang 2016 meldete die belgische Bank Crelan, eine Tochter der Crédit-Agricole-Gruppe, dass sie einem Whaling-Angriff zum Opfer gefallen war und mehr als 70 Millionen Euro verloren gingen. FBI-Zahlen zufolge haben in den letzten zwei Jahren Unternehmen auf der ganzen Welt durch Whaling rund 1,2 Milliarden Dollar beziehungsweise 1,07 Milliarden Euro eingebüßt.

Unternehmen investieren viel Zeit und Geld, um ihren Netzwerkverkehr oder ihre öffentlich zugänglichen Server vor Hackerangriffen zu schützen, was auch unbestritten überaus wichtig ist. Doch aufgrund dieser manipulativen, gezielten Spear-Phishing-Versuche sollte man die Kommunikation der Mitarbeiter keinesfalls außer Acht lassen.

Damit der Köder dem Phish nicht schmeckt...
Firewalls und Antivirensoftware sind weiterhin unverzichtbar, das steht außer Frage. Allerdings werden die Betrüger bei ihren Aktionen immer raffinierter. Will man den betreffenden Köder nicht schlucken, muss man ähnlich raffiniert vorgehen. Hier sind einige Tipps, wie Sie den Netzen von Phishern und Whaler entgehen:

Unternehmen sollten die Konfiguration der E-Mail-Accounts ihrer Führungskräfte ändern. Zum Beispiel statt der in Unternehmen meist üblichen E-Mail-Adresse Vorname.Nachname@domain.com das Schema Nachname.Vorname@ oder auch AnfangsbuchstabeVorname.Nachname@ verwenden oder besser noch ein Pseudonym, das nur eingeweihte Mitarbeiter kennen – Hauptsache, man macht es dem Phisher unmöglich, eine E-Mail zu fälschen.
Führen Sie einen ganz bestimmten Prozess ein, der bei ungewöhnlichen Anfragen befolgt werden muss – einige der Überweisungsbetrügereien der letzten Jahre hätten durch ein kurzes Telefonat zur Bestätigung der Anfrage verhindert werden können.

Erwägen Sie die Einführung eines "Geheimcodes", eine Wendung, die Führungskräfte gebrauchen, wenn sie miteinander kommunizieren, damit Nachrichten sofort als echt erkennbar sind.

Verschlüsseln Sie grundsätzlich alle E-Mails – das verhindert zwar nicht, dass ein Betrüger eine Nachricht versendet und diese ankommt, doch allein die Tatsache, dass sie nicht verschlüsselt ist, würde den Empfänger stutzig machen.
Um das Risiko weiter zu begrenzen sind zuverlässige E-Mail- und Web-Filter unerlässlich. Das Netz des Walfängers zu erkennen, ist schwierig, aber nicht unmöglich. (AppRiver: ra)

AppRiver: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • 1.000 Agents für die Endpoint-Sicherheit

    Das Hauptziel der Virtualisierung - nach wie vor einer der treibenden Trends im Rechenzentrum - ist das Minimieren der Betriebskosten bei gesteigerter Leistung und Effektivität. Das Aufkommen des Software-Defined Data Centers (SDDC) und von hyperkonvergenter Infrastruktur (HCI) mit einer zusätzlichen Abstraktionsebene, ermöglicht zudem eine schnellere Bereitstellung von Storage-, Computing- und Netzwerkressourcen. Durch die Verwendung von APIs steht IT-Administratoren darüber hinaus eine Automationsinfrastruktur für eine effiziente Verwaltung zur Verfügung. Die Vorteile einer solchen Infrastruktur in Rechenzentren sind unschätzbar: Nie zuvor war es möglich, alle Prozesse der gesamten Infrastruktur nur durch eine einzige Management-Konsole zu monitoren und zu verwalten. Aber: Die Sicherheitsanforderungen eines Unternehmens dürfen dem in nichts nachstehen. Das SDDC erfordert auch ein einheitliches Sicherheitsgerüst für das gesamte Rechenzentrum.

  • Clevere Passwortdiebe

    Passwort? 1234! Dass simple Kennwörter ein absolutes No-Go sind, hat sich hoffentlich mittlerweile bis in den letzten Winkel herumgesprochen. Doch Passwörter können noch so komplex mit Sonderzeichen, Zahlen und Groß- und Kleinschreibungen ausgestattet sein, wenn sie von Cyberkriminellen mithilfe von Phishing-Methoden abgegriffen werden. Immer mehr Benutzerkennwörter werden gestohlen, indem mit Malware infizierte, gängige Dateitypen in betrügerischen Email-Anhängen verwendet werden. Mit Erfolg. Der Schwarzmarkt für gestohlene Passwörter boomt.

  • Identitätsdiebstahl und die Folgen

    Ist jemand nachweislich Opfer eines Identitätsdiebstahls geworden stecken nicht selten Gruppen aus der organisierten Kriminalität dahinter. Sie operieren länderübergreifend und sind selten dingfest zu machen. Meistens lässt sich zudem nicht mehr eindeutig ermitteln zu welchem Zeitpunkt genau die Daten kompromittiert wurden. Eine der bestätigten Ursachen ist die jüngst bekannt gewordene Datenschutzverletzung beim Finanzdienstleistungsunternehmen Equifax, der größten Wirtschaftsauskunftei der Vereinigten Staaten. Betroffen waren über die Hälfte aller Amerikaner. Vor kurzem erbrachte eine Senatsanhörung sogar, dass die Datenschutzverletzung noch wesentlich weitreichender sein soll als von Equifax im September 2017 eingeräumt wurde.

  • Ethische Fragen in der IT

    Was haben Cybersicherheit, Compliance und die gute alte Neugier gemeinsam? Sie alle sind treibende Kräfte, wenn es um das Thema Ethik in der IT geht. Anders formuliert: was kann ein IT-Experte tun versus was sollte er tun. IT-Profis sehen sich heutzutage mit einer großen Zahl ethischer Entscheidungen konfrontiert. Das liegt an der vergleichsweise einzigartigen Position, in der sich IT-Spezialisten befinden. Nämlich am Schnittpunkt zwischen professionellen Anwendern, den Applikationen, die sie benutzen und den Daten, die sie verwenden. Das gibt IT-Experten reichlich Gelegenheit, dem Unternehmen dienlich zu sein oder ihm umgekehrt zu schaden. Wenn geschäftliche Anwendungen in der Finanzabteilung oder im Personalwesen abstürzen, ist es an der IT-Abteilung Systeme und Anwendungen wiederherzustellen. Das gehört zum Arbeitsalltag. Dieser Einflussbereich hat aber seine Schattenseiten. Und die ursprünglich zu anderen Zwecken erteilten Befugnisse können für weit weniger hehre Ziele genutzt werden.

  • Cybersicherheit ist ein schrittweiser Prozess

    Unsere zunehmende Abhängigkeit von digitalen Systemen schafft ständig neue Optionen für Hacker. Die jüngsten Änderungen bei der Kreditkarten- und E-Mail-Sicherheit erhöhen eher die Anzahl von Online-Identitätsdiebstählen und anderer Cyberverbrechen. Herkömmliche Maßnahmen reichen längst nicht mehr aus, meint GlobalSign-Gastautorin Shea Drake in ihrem Blogpost, rät aber trotzdem zu einer gewissen Pragmatik und gibt entsprechende Tipps.