- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

Laterales Phishing: Die wachsende Bedrohung


Bei lateralen Phishing-Angriffen missbrauchen Cyberkriminelle kompromittierte Konten, um Phishing-Mails an eine Reihe von Empfängern zu senden
Missbrauch entführter Konten für umfangreiche Phishing-Angriffe

- Anzeigen -





Von Dr. Klaus Gheri, Vice President und General Manager Network Security bei Barracuda Networks

Der Missbrauch gehackter E-Mail-Konten durch Cyberkriminelle ist nach wie vor eine der größten Bedrohungen für die E-Mail-Sicherheit. Dabei entwickeln Angreifer ihre Taktiken kontinuierlich weiter: In Zusammenarbeit mit Forschern der UC Berkeley und der UC San Diego entdeckten Sicherheitsforscher von Barracuda eine neue und wachsende Art des Kontoübernahme-Angriffs: das laterale Phishing. Bei lateralen Phishing-Angriffen missbrauchen Cyberkriminelle kompromittierte Konten, um Phishing-Mails an eine Reihe von Empfängern zu senden, von engen Kontakten innerhalb des Unternehmens bis hin zu Geschäftspartnern anderer Unternehmen. Die Studie ergab, dass eines von sieben Unternehmen in den letzten sieben Monaten laterale Phishing-Angriffe erlebt hat.

Von den Unternehmen, die von lateralem Phishing betroffen waren, fanden die Forscher bei 60 Prozent mehrere kompromittierte Konten (Grafik). Einige hatten Dutzende von kompromittierten Konten, die laterale Phishing-Angriffe auf weitere Mitarbeiterkonten sowie Benutzer in anderen Unternehmen starteten. Insgesamt identifizierten die Forscher 154 entführte Konten, die zusammen Hunderte von lateralen Phishing-E-Mails an mehr als 100.000 eindeutige Empfänger verschickten.

Einer der auffälligsten Aspekte dieser neuen Angriffsform ist die Reichweite der potenziellen Opfer. Während etwa 40 Prozent der Zielpersonen Mitarbeiter des gleichen Unternehmens waren, waren die restlichen 60.000 Empfänger private E-Mail-Adressen, etwa aus dem Kontaktbuch der gehackten Konten, sowie geschäftliche E-Mail-Adressen von Partnerorganisationen. Da diese Angriffe auf ein so breites Spektrum an Opfern von Unternehmensmitarbeitern, Adressbuchkontakten und externen Organisationen abzielen, führen sie zu einem immer größeren Reputationsschaden für das ursprünglich gehackte Unternehmen.

Wie Unternehmen sich gegen laterales Phishing schützen können
Es gibt drei wichtige Maßnahmen, die Unternehmen ergreifen können, um sich vor lateralen Phishing-Angriffen zu schützen:

1. Sicherheitsschulung
Die Optimierung von Sicherheitsschulung und Aufklärung der Mitarbeiter über laterales Phishing trägt dazu bei, diese Bedrohung einzudämmen. Doch im Gegensatz zu herkömmlichen Phishing-Angriffen, die oft eine gefälschte E-Mail-Adresse verwenden, werden laterale Phishing-Angriffe von einem legitimen, aber kompromittierten Konto versendet. Daher entfällt die Anweisung an die Benutzer, die Absendereigenschaften oder die E-Mail-Header zu überprüfen, um einen gefälschten Absender zu identifizieren. Benutzer sollten stattdessen die URL von Links in jeder empfangenen E-Mail sorgfältig überprüfen, indem sie mit dem Cursor der Maus darüber gleiten, bevor sie draufklicken. Es ist wichtig, dass sie das tatsächliche Ziel eines Links kontrollieren und nicht nur den URL-Text, der in der E-Mail angezeigt wird.

2. Fortschrittliche Erkennungstechnologien
Laterales Phishing stellt eine anspruchsvolle Entwicklung im Bereich der E-Mail-basierten Angriffe dar. Da diese bösartigen E-Mails von einem legitimen Konto stammen, sind sie selbst für geschulte und sachkundige Nutzer schwer zu erkennen. Unternehmen sollten deshalb in fortschrittliche Erkennungstechniken und -dienste investieren, die künstliche Intelligenz und maschinelles Lernen nutzen, um Phishing-E-Mails automatisch zu identifizieren.

3. Zwei-Faktor-Authentifizierung
Schließlich ist eine der wichtigsten Maßnahmen, um das Risiko lateralen Phishings zu minimieren, die Verwendung einer starken Zwei-Faktor-Authentifizierung (2FA), etwa mithilfe einer 2FA-Anwendung oder eines hardwarebasierten Token, falls verfügbar. Nicht-Hardware-basierte 2FA-Lösungen sind zwar weiterhin anfällig für Phishing, können aber dazu beitragen, den Zugriff eines Angreifers auf kompromittierte Konten einzuschränken.

Social Engineering und die immer ausgefeilteren Taktiken der Cyberkriminellen bleiben eine der größten Bedrohungen für die Unternehmenssicherheit. Doch durch die oben genannten Sicherheitsmaßnahmen kann das Risiko durch laterale Phishing-Angriffe erheblich eingedämmt werden.
(Barracuda Networks: ra)

eingetragen: 06.08.19
Newsletterlauf: 02.09.19

Barracuda Networks: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Tipps & Hinweise

  • DSGVO-konforme Datenarchivierung

    Immer mehr Daten und immer schärfere Bestimmungen. Die DSGVO hat den Umgang mit Informationen und Daten nicht einfacher gemacht. Das merken Unternehmen im Alltag bei der technischen Umsetzung immer wieder. "Noch immer liegen viele Daten in Unternehmen unstrukturiert vor, was nicht nur die Verwaltung und Wiederauffindbarkeit erschwert, sondern eine enorme Sicherheitslücke darstellt", weiß Torben Belz, Geschäftsführer der Plutex GmbH aus Bremen. Wo die Gefahren liegen und wie ein DSGVO-konformes Datenmanagement erfolgen kann, erklärt der Profi.

  • Der Kampf gegen Efail geht weiter

    Die Entdeckung der Sicherheitslücke Efail kam einem SuperGAU gleich: 2018 entdeckte ein deutsch-belgisches Forscherteam Schwachstellen, die es Angreifern erlauben, mit OpenPGP oder S/MIME verschlüsselte Nachrichten abzufangen und so zu manipulieren, dass der E-Mail-Klartext nach der Entschlüsselung zu einer vom Angreifer kontrollierten Adresse versandt wird. "Seitdem wird natürlich gegen Efail vorgegangen. Allerdings können die Risiken für eine sichere E-Mail-Kommunikation nur in kleinen Schritten minimiert werden", fasst IT-Sicherheitsexperte Christian Heutger zusammen.

  • DevOps als Selbstzweck

    Bereits seit einiger Zeit gehört DevOps zu den wichtigsten Trends. Damit können Unternehmen neue Kundenanforderungen schneller umsetzen, indem Teams besser zusammenarbeiten und Innovationen vorantreiben. Laut Deloitte verringert sich die Markteinführungszeit bei Organisationen, die DevOps anwenden, um 18 bis 21 Prozent - und sie profitieren durch ein Umsatzplus von 20 Prozent. Doch DevOps erfordert nicht nur die Implementierung neuer Tools. Es müssen auch tief verwurzelte kulturelle Gewohnheiten und traditionelle Prozesse verändert werden. Zudem stellt DevOps keinen Selbstzweck dar, sondern die Möglichkeit zur Erreichung bestimmter Ziele.

  • Sicherheitsfalle: Schadcode via Formular

    Es ist eine Lebensweisheit, die man auch der IT-Sicherheit zugestehen darf: man muss sich kümmern, sonst läuft es aus dem Ruder. Eine kürzlich veröffentlichte Analyse zum Einsatz von 4G-Hotspots zeigt deutliche Sicherheitslücken bei der Nutzung dieser Geräte. Wer sie verwendet, sollte sich ein paar Minuten Zeit nehmen, um Einstellungen und Verhalten einem Sicherheits-Check-up zu unterziehen. Einfach gesagt ist ein 4G-Hotspot eine Miniaturform des hauseigenen Routers, der batteriebetrieben und mit einer SIM-Karte ausgestattet ist. Ein klassischer Router verbindet sich typischerweise mit dem Telekommunikationsanbieter für die Internetverbindung und bietet Wi-Fi oder ein verkabeltes Netzwerk für Laptops, Desktop-Computer und sämtliche smarte Geräte. Im Gegensatz dazu sind 4G-Hotspots meist Geräte im Taschenformat, die nirgendwo andocken, außer um die internen Batterien aufzuladen.

  • Anbieter regelmäßig zur Datennutzung befragen

    ExtraHop warnt in einer Sicherheitsempfehlung vor Anbietern, die bei "Call Home"-Aktivitäten vertrauliche Daten ihrer Kunden ohne deren Wissen oder Zustimmung exfiltrieren. Mit dieser Sicherheitsempfehlung will ExtraHop Unternehmen dazu anregen, ihre Anbieter bei der Nutzung von Kundendaten strenger zu kontrollieren und sie bei Fehlverhalten zur Verantwortung zu ziehen. In dieser neuen Empfehlung wird "Call Home" als Aktivität beschrieben, bei der Daten von einem Host aus über eine speziell dafür etablierte Verbindung an einen Server weitergeleitet werden. Dies gilt als die "White Hat"-Version der Datenausschleusung. Dem Bericht zufolge ist "Call Home" eine gängige Praxis, die völlig legitim und sehr nützlich sein kann - wenn die Kunden ihr Einverständnis erteilt haben. Wenn nicht, werden ohne das Wissen des Kunden personenbezogene oder andere vertrauliche Daten außerhalb des Unternehmens übertragen, gespeichert und dabei möglicherweise großen Gefahren ausgesetzt. Damit verstoßen die Anbieter wahrscheinlich auch gegen die immer strenger werdenden Datenschutzbestimmungen.