Aktuelles Beim Phishing sind simple „Klassiker" die Erfolgsgaranten

Beim Phishing sind simple „Klassiker“ die Erfolgsgaranten

Facebook-Themen

Liberale US-Verfassungsrichterin Ruth Bader Ginsburg ist tot

Die liberale Richterin am Obersten US-Gericht Ruth Bader Ginsberg ist tot. Vor dem Gerichtsgebäude in Washington versammelten sich hunderte Trauernde. US-Präsident Donald Trump würdigte ihre...

Aufnahmen zeigen Jupiter in nie dagewesener Schärfe

Das Hubble-Teleskop hat neue Aufnahmen des Planeten Jupiter und seines Mondes Europa gemacht, die den Gasriesen und seinen Trabanten in nie dagewesener Schärfe zeigen. Dieser...

US-Regierung schiebt TikTok und WeChat den Riegel vor!

In den USA ist das Herunterladen der chinesischen Apps TikTok und WeChat ab Sonntag unter Berufung auf nationale Sicherheits- und Datenschutzbedenken verboten! Dieser Inhalte wurde...

Fast 2300 Corona-Neuinfektionen – höchster Wert seit April

Die Zahl der Neuinfektionen mit dem Coronavirus hat erneut deutlich die Schwelle von 2000 übersprungen und den höchsten Wert seit Ende April erreicht. Dieser Inhalt...
-WERBUNG-
- Advertisement -

Tipps zum Schutz vor Phishing

Phishing-E-Mails sind ein Dauerbrenner der Cyberkriminalität. Aktuell erleben die oftmals täuschend echten Nachrichten aus vermeintlich seriöser Quelle sogar so etwas wie eine kleine Renaissance: Mehr Menschen arbeiten und shoppen von zuhause aus, Firmen verändern Verhaltensregeln, Regierungen aktualisieren Quarantänebestimmungen, soziale Kontakte oder Arbeitssuche erfolgen auf digitalem Wege, etc. Die Liste ist lang, und aus jedem der genannten und zahlreichen weiteren aktuellen Szenarien könnten Cybergangster glaubwürdige Themen für ihre Phishing-Attacken kreieren. Dass und wie sie aktuelle Themen tatsächlich in die Tat umsetzen können, zeigt eine Erhebung des Sophos Phish-Threat-Teams aus der ersten Jahreshälfte 2020.

- Werbung -

Sophos Phish Threat ist ein Simulator für Phishing-Angriffe, mit dem IT-Abteilungen die Anfälligkeit der Mitarbeiter*innen im eigenen Unternehmen für Phishing-Attacken testen und so die Belegschaft gezielter aufklären sowie Prävention betreiben können. Auf Basis der so gewonnenen Daten hat das Sophos-Phish-Threat-Team die zehn Top-Themen für erfolgversprechendes Phishing ermittelt. Jeweils mindestens 1.000 Phishing-Emails pro Rubrik flossen in die Auswertung ein. Im überraschenden Ergebnis zeigt sich, dass die mutmaßlich erfolgreichsten Phishing-Tricks eher simpel als inhaltlich ausgeklügelt daherkommen und auf Alltagsdinge abzielen.:

  • Neue Verhaltensregeln im Unternehmen. Ein angeblicher Brief der Personalabteilung, in dem die neuen Verhaltensregeln des Unternehmens umrissen wurden. Angesichts des weltweiten Interesses an einer größeren Vielfalt am Arbeitsplatz und der Verringerung von Belästigungen und Missverständnissen überarbeiten viele Unternehmen derzeit ihre Beschäftigungsrichtlinien.
  • Verspätete Lohnsteuerbescheinigung zum Jahresende. Durch diese E-Mail wurden die Mitarbeiter*innen – scheinbar seitens des Arbeitgebers – darüber informiert, dass notwendige Steuerunterlagen nicht zum üblichen Zeitpunkt eintreffen würden.
  • Geplante Server-Wartung. Eine Betreffzeile, von der viele im Phish-Threat-Team glaubten, dass sie zumeist überlesen bzw. ignoriert würde. Zur Überraschung der IT-Experten landete diese Rubrik jedoch auf Platz 3. Eine Planbarkeit von IT-Verfügbarkeiten und Arbeitszeiten scheint deutlich an Relevanz gewonnen zu haben.
  • Zu erledigende Aufgaben. Hier kommt die Nachricht scheinbar vom Projektplanungssystem, das die Firma verwendet. Ein solche Phishing-Variante ist auch im Realen möglich, weil davon ausgegangen werden kann, dass die in Unternehmen verwendeten Geschäftswerkzeuge weithin bekannt sind und von Betrügern leicht, vielleicht sogar automatisch, herausgefunden werden können.
  • Test eines neuen E-Mail-Systems. Wer möchte dem Unternehmen oder dem IT-Dienstleister nicht hilfreich sein, wenn es nur eines schnellen Klicks bedarf? Und schon ist man in die Falle getappt.
  • Aktualisierung der Urlaubsrichtlinien. Seit der Coronavirus-Pandemie sind Reiseplanungen komplizierter geworden. Die meisten Unternehmen aktualisieren ihre Urlaubsrichtlinien und Quarantäneregelungen jeweils entsprechend der weltweiten Pandemieentwicklung und den Empfehlungen der Regierung. Klar, dass hier viele Mitarbeiter geneigt sind, sofort nachzuschauen.
  • Autobeleuchtung an. Der aufmerksame Hausmeister meldet vermeintlich ein Auto, bei dem das Licht noch an ist und liefert im E-Mail-Anhang auch gleich ein Foto des betreffenden Fahrzeugs mit. Hier wird auf die Neugier der Empfänger gesetzt.
  • Paketzustellung fehlgeschlagen. Dies ist unter Phishing-Gangstern ein altbewährter Trick, der seit Jahren funktioniert. Heutzutage, vor allem dank der rasanten Zunahme von Hauslieferungen, ist er leider umso glaubwürdiger geworden.
  • Persönliches Dokument aus der Personalabteilung. Ein angeblich „gesichertes Dokument“ des HR-Teams soll den plausiblen Grund dafür liefern, dass Mitarbeiter*innen in Unternehmen sich davon überzeugen lassen Passwörter einzugeben, wo sie es normalerweise nicht müssten oder die Sicherheitseinstellungen ihres Computers anzupassen. Vorgeblich zur Verbesserung der Sicherheit – das Gegenteil ist natürlich der Fall und Zweck.
  • Neue Social-Media-Nachricht. LinkedIn, Xing und andere berufliche Netzwerke erfreuen sich aktuell steigender Popularität. Vor dem Hintergrund von Arbeitszeitkürzungen, Arbeitsplatzverlust und anderen beruflichen Konsequenzen, die die Corona-Pandemie mit sich bringt, ist der Erfolg mit scheinbaren Updates zu Aktivitäten im eigenen Netzwerk wenig überraschend. Betrüger machen sich die Situation zunutze.

Das Sophos-Phish-Threat-Team gibt einige Tipps zum Schutz vor Phishing

Vor dem Klick erst kritisch prüfen. Selbst wenn eine Nachricht auf den ersten Blick unverdächtig aussieht, ist ein kritischer zweiter Blick oft entscheidend, folgende Fragen sollten gestellt werden: Wird z.B. etwas versprochen, das bei genauer Betrachtung zu gut ist, um wahr zu sein? Gibt es Rechtschreibfehler, von denen man bezweifeln darf, dass der Absender sie machen würde? Findet sich ein Sprachstil, den das eigene Unternehmen sonst nicht pflegt? Ist von Software-Tools die Rede, die die Firma gar nicht verwendet? Sollen Sicherheitseinstellungen vorgenommen werden, vor denen bislang gewarnt wurde?

Im Zweifel den Absender fragen. Die Kontaktaufnahme sollte allerdings auf keinen Fall mit einer direkten Antwort auf die verdächtige Nachricht erfolgen. Der vermeintliche Absender der verdächtigen Nachricht sollte in einer separaten E-Mail gefragt werden, ob er die betreffende Nachricht tatsächlich verfasst hat. Auch ein kurzer Anruf kann Klarheit bringen.

Achtung bei Links mit „kreativen“ Domainnamen. Viele Phishing-E-Mails enthalten Text und Bilder, die originalgetreu sind. Aber die Betrüger sind oft auf temporäre Cloud-Server oder gehackte Websites angewiesen, um ihre Phishing-Webseiten zu hosten, und diese Täuschung kann oft in dem Domainnamen aufgedeckt werden. Gauner registrieren oft Beinahe-Namen wie yourcompany, yourc0mpany (Null für den Buchstaben O) oder yourcompany-site, wobei sie Rechtschreibfehler, ähnlich aussehende Zeichen oder hinzugefügten Text verwenden.

Verdächtige E-Mails ans Sicherheitsteam senden. Lieber einmal zu viel die IT-Abteilung behelligen. Sobald eine verdächtige Nachricht im Postfach landet, ist sie am besten per Weiterleitung bei der IT-Security des Unternehmens aufgehoben. Hiermit können auch andere Kolleg*innen geschützt werden, die dieselbe Nachricht vielleicht später erhalten.

Quelle: Sophos
Artikelbild: Shutterstock / Von wk1003mike
- Werbung -
An alle unsere Leserinnen und Leser! Wir brauchen deine Unterstützung! Wir haben keine “Pay-Wall” eingerichtet, denn wir möchten unsere Inhalte für alle Interessierten offen halten. Wenn jeder, der unsere Rechercheberichte liest und mag, dabei hilft, diese zu finanzieren, wird es mimikama auch weiterhin geben. Hier kannst Du unterstützen: via PayPal, Steady oderPatreon

Hinweis: Die Wiedergabe einzelner Bilder oder Videosequenzen dient zur Auseinandersetzung der Sache mit dem Thema.

Weitere Themen

USA: Trump sperrt Tiktok und WeChat

USA: Trump sperrt Tiktok und WeChat

0
Die beiden chinesischen Anwendungen Tiktok sowie WeChat sollen ab Sonntag, 20.09.2020 nicht mehr in US-App-Stores verfügbar sein. Das Weiße Haus begründet diese Entscheidung mit...
Warnung vor WhatsApp und anderen Messenger-Diensten

Warnung vor WhatsApp und anderen Messenger-Diensten

0
Wie sicher ist es eigentlich seine Kontakte einem Messenger-Dienst zu überlassen und auf deren Server hochzuladen? Wie futurezone berichtet, schlagen Sicherheitsforscher Alarm, denn der Zugriff...

Aktuelle Nachrichten aus dem In- und Ausland

Dieser Inhalt wurde von der AFP zur Verfügung gestellt.

Liberale US-Verfassungsrichterin Ruth Bader Ginsburg ist tot

0
Die liberale Richterin am Obersten US-Gericht Ruth Bader Ginsberg ist tot. Vor dem Gerichtsgebäude in Washington versammelten sich hunderte Trauernde. US-Präsident Donald Trump würdigte ihre...
Dieser Inhalt wurde uns von der AFP zur Verfügung gestellt.

Aufnahmen zeigen Jupiter in nie dagewesener Schärfe

0
Das Hubble-Teleskop hat neue Aufnahmen des Planeten Jupiter und seines Mondes Europa gemacht, die den Gasriesen und seinen Trabanten in nie dagewesener Schärfe zeigen. Dieser...

Shadowbanning – TikTok blockiert in einigen Regionen LGBTQ-Inhalte.

[Weiterlesen]

Top-Artikel

USA: Trump sperrt Tiktok und WeChat

Die beiden chinesischen Anwendungen Tiktok sowie WeChat sollen ab Sonntag, 20.09.2020 nicht mehr in US-App-Stores verfügbar sein. Das Weiße Haus begründet diese Entscheidung mit...

Warnung vor WhatsApp und anderen Messenger-Diensten

Wie sicher ist es eigentlich seine Kontakte einem Messenger-Dienst zu überlassen und auf deren Server hochzuladen? Wie futurezone berichtet, schlagen Sicherheitsforscher Alarm, denn der Zugriff...

Kann mich Facebook zwingen, meinen Personalausweis hochzuladen?

Bereits seit einigen Jahren werden Konten auf Facebook aufgrund des Namens gesperrt. Facebook verlangt von seinen Nutzern, ihren Klarnamen anzugeben, das ist kein Geheimnis. Deswegen...

Achtung: angebliche SMS von Raiffeisen führt in Phishing-Falle

Die Raiffeisen-Banken verschicken aktuell keine SMS zu einem angeblichen "pushTan"-Dienst - Vorsicht vor Betrug! Aktuell erhalten Smartphone-Besitzer eine dubiose SMS, die angeblich von den Raiffeisen-Banken...

Identitätsdiebstahl: Das sind die gängigsten Betrugsmaschen

Ausweiskopien und fremde Identitäten sind im Bereich der Internetkriminalität ein begehrtes Gut. Denn so können Kriminelle unter falschem Namen Straftaten begehen und bleiben selbst...
-WERBUNG-
-WERBUNG-