So schützen Sie sich vor gezielten Phishing-Angriffen
Hacker wissen, wer Sie sind. Die Angreifer nehmen die Rollen spezifischer Personen aus Ihrem Umfeld ein, um Sie zu täuschen und Informationen zu stehlen. Mit der richtigen Abwehrstrategie können Sie diesen Attacken einen Riegel vorschieben.
Hacker nutzen fortschrittliche und gezielte Phishing-Betrugstechniken und geben sich als Angehörige eines angesehenen Unternehmens oder als Führungskräfte Ihres eigenen Unternehmens aus, um Gelder abzuzweigen oder an vertrauliche Informationen zu gelangen. Bei dieser Art von Attacken, die auch als Business Email Compromise (BEC) bekannt sind, werden in der Regel keine bösartigen Nutzdaten oder Links verwendet, die ein Scan-Filter erkennen kann. Dies macht solche Angriffe gefährlich, weil sie nur schwer zu erkennen und zu blockieren sind.
Warnungen des FBI und des BKA
Das Bundeskriminalamt (BKA) sieht mittelständische Firmen als besonders gefährdet durch BEC an: „Häufig werden nicht nur große Unternehmen, sondern auch Mittelständler, sogenannte „hidden champions“, oder andere solvente Unternehmen ausgewählt. Die Erfolgsquoten der Täter variieren dabei. Während bei DAX Unternehmen nur circa zehn Prozent der Versuche erfolgreich sind, steigt diese Zahl bei klein- und mittelständischen Unternehmen bis auf 50 Prozent an. Insbesondere in patriarchalisch geführten, mittelständischen Unternehmen scheint die Erfolgsquote besonders hoch zu sein.“ (Quelle: BKA Dokument 2017: Social Engineering / CEO-Fraud, Seite 15)
Der Nürnberger Automobilzulieferer Leoni musste 2016 öffentlich zugeben, dass durch einen gezielten Täuschungsangriff ein Schaden von 40 Millionen Euro entstanden ist. Im Bericht der Frankfurter Allgemeinen Zeitung heißt es dazu: „jemand habe sich gegenüber Kollegen als Leoni-Mitarbeiter ausgegeben und behauptet, „besondere Befugnisse zu haben“. Auf diese Weise habe er „bestimmte Geschäftsvorgänge vorbereiten“ lassen.“
Auch das amerikanische Federal Bureau of Investigations (FBI) warnt Unternehmen vor zunehmenden BEC-Angriffen. Solche Betrügereien missbrauchen automatische Weiterleitungsregeln in webbasierten E-Mail-Clients und ermöglichen es Angreifern, sich in Konversationen einzuschleusen, indem sie E-Mail-Adressen nutzen, die Domänen mit ähnlicher Schreibweise wie die echten Adressen ihrer Opfer verwenden.
Ein aktueller Vorfall im August 2020 mit diesem Täuschungsmuster ermöglichte es Angreifern, 175.000 US-Dollar von ihrem Opfer zu erlangen. Das Internet Crime Complaint Center (IC3) des FBI meldete, dass BEC-Attacken im Jahr 2019 zu weltweiten Verlusten von mehr als 1,7 Milliarden US-Dollar führten.
Wem können Sie vertrauen?
Laut Erkenntnissen von SophosLabs fordern die Täter oft dringend Geldmittel oder sensible Daten an. Dabei nehmen sie die Rolle einer bestimmten Person an (Impersonation). 86 Prozent der Impersonation-E-Mails nehmen die Identität einer bestimmten Person und nicht die einer Marke an.
Die Hacker lassen so die Kommunikation persönlich erscheinen und nutzen bestehende Vertrauensverhältnisse aus, um die Zielperson in eine Stresssituation zu versetzen, so dass sie eher bereit ist, sensible Daten preiszugeben oder Gelder zu überweisen.
Die Angreifer wissen, wem Sie am ehesten vertrauen. Eine Analyse von Januar bis April 2020 der durch Sophos geschützten Postfächern hat ergeben, welche Rollen am ehesten verkörpert werden:
75 Prozent der E-Mails geben sich als CEO, Geschäftsführer oder Präsident aus (die ranghöchsten Personen)
10 Prozent IT-Führungskräfte (Direktor, IT-Abteilungschef oder CIO)
5 Prozent Führungskräfte aus dem Finanzbereich (CFO oder Finanzleiter)
Der Rest setzt sich aus anderen leitenden Funktionen und C-Suite-Führungskräften zusammen. Interessant ist der Anstieg bei den medizinischen Fachkräften, die sich als solche ausgeben: Ärzte und zertifizierte Kinderärzte machen jetzt ungefähr ein bis drei Prozent der vorgetäuschten Personen aus, während sie früher nicht einmal auf dem Radar waren.
Falsche Risikoeinschätzung beim E-Mail-Betrug
Wenn die meisten Menschen an bösartige E-Mails denken, stellen sie sich unverhohlene Geldforderungen mit schlechter Grammatik vor. Nach der Analyse von Tausenden von Nachrichten können wir feststellen, dass die Angreifer in Wirklichkeit ihre Vorgehensweise ständig weiterentwickeln.
Ihr anfängliches Ziel ist es natürlich, die Zielperson zum Handeln zu bewegen. Sobald das Ziel am Haken ist, erhöhen die Angreifer den Druck. Nachfolgend finden Sie einige Beispiele von Phishing-Nachrichten, die von Sophos E-Mail blockiert wurden.
Vertrauen Sie Ihrem Posteingang mit dem neuesten E-Mail-Schutz-Update von Sophos
Können Sie sich noch daran erinnern, wie es ist, in einem Büro zu arbeiten? Wo Sie einfach mit echten Menschen sprechen konnten? Sie konnten schnell in die Finanzabteilung gehen und sich vergewissern, dass wirklich 250.000 Euro an einem Freitag um 17 Uhr an einen Lieferanten überwiesen werden. Da wir in letzter Zeit alle von zu Hause aus arbeiten, ist das nicht so einfach.
Deshalb ist der Sophos Mailbox-Schutz durch Sophos Email Advanced so wertvoll. Seit anfang letzten Jahres steht „Impersonation Protection Feature Set“ zur Verfügung. Dieses hat einen Einrichtungsassistenten, der auch Microsoft Active Directory (AD) Sync unterstützt, um automatisch die Personen innerhalb eines Unternehmens zu identifizieren, die am ehesten als vorgetäuschte Identität für eine Impersonation in Frage kommen.
Nach der Einrichtung überprüft Sophos Email alle eingehenden E-Mails auf Variationen von Anzeigenamen, die mit diesen Anwendern in Verbindung stehen. Zweitens kann Sophos Email durch die Analyse von Header-Informationen Markenspoofing und Impersonation-Versuche erkennen.
Die neueste Weiterentwicklung von Sophos Email nutzt nun fortschrittliches maschinelles Lernen, um gezielte Impersonations-Attacken (oder Business Email Compromise) zu erkennen. Mithilfe des von Sophos entwickelten neuronalen Deep Learning-Netzwerks analysieren fortschrittlichen ML-Funktionen den Nachrichtentext und die Betreffzeilen von E-Mails, um Konversationen mit verdächtigem Inhalt zu identifizieren – insbesondere in Bezug auf Tonfall und Wortwahl, um ungewöhnliche Anfragen eines Absenders zu erkennen.
Effektiver Phishing-Schutz mit Sophos Email Advanced
Der Phishing-Schutz, den Sophos Email in der neuesten Version bietet, sorgt mit einfachen Kontrollen dafür, dass der Schutz schnell greift.
Social Engineering
Verdächtige E-Mails können blockiert, in Quarantäne gestellt, mit einer Betreffzeile versehen oder mit einem Warnbanner versehen werden. Sophos überprüft alle eingehenden E-Mails in Echtzeit und sucht mit den Authentifizierungstechniken Sender-Policy-Framework (SPF), Domain-Keys-Identified-Mail (DKIM) und Domain-based Message-Authentification, Reporting and Conformance (DMARC) sowie E-Mail-Header-Anomalien-Analyse nach wichtigen Phishing-Indikatoren. Sophos Email bietet außerdem Schutz vor Imitationen durch Analyse von Inhalt, Anzeigenamen und Lookalike-Domains, um Imitationsversuche einer Marke oder eines VIP eines Unternehmens zu erkennen.
Bösartige URLs und Anhänge
Zum Schutz vor schädlichen URLs oder Attachments, die Malware enthalten können, bietet Sophos das Scanning von Uniform Resource Locators (URLs) in Echtzeit und Time-of-Click URL Rewriting, um jede URL zu analysieren, bevor sie angeklickt wird. Anschließend lässt Sophos Sandstorm, unsere durch Künstliche Intelligenz (KI) gesteuerte Cloud-Sandbox, verdächtige Dateien explodieren, um sicherzustellen, dass Malware niemals in den Posteingang gelangt.
Anwenderschulung
Eine wichtige Verteidigungslinie gegen E-Mail-Impersonation sind intelligente Schulungen zum Thema Cybersicherheit. Sophos Email arbeitet mit Sophos Phish Threat zusammen, einer Phishing-Simulations- und Schulungsplattform. Sophos Email und Sophos Phish Threat erkennen Anwender, die aufgrund ihres Risikoprofils vor dem Besuch einer Website gewarnt oder blockiert wurden oder die auf eine Spear-Phishing-E-Mail geantwortet haben, und können diese nahtlos in gezielte Phishing-Simulationen und -Schulungen einbinden, um das Bewusstsein zu verbessern.
Starten Sie einen kostenlosen und unverbindlichen Test von Sophos E-Mail und Sophos Phish Threat auf unserer Website. Sophos-Kunden, die bereits Produkte über die Sophos Central Plattform verwalten, können eine kostenlose Testversion direkt von ihrer Konsole aus aktivieren: Besuchen Sie den Abschnitt „Weitere Produkte“ in der Hauptnavigation, um loszulegen.
Online-Betrug mit Phishing: So schützen Sie sich
Online-Betrug mit Phishing: So schützen Sie sich Stand: 09.03.2020 09:44 Uhr Immer häufiger versuchen Online-Betrüger, an personenbezogene Daten wie Adressen, Geburtsdaten, Passwörter, Bankverbindungen oder Kreditkartennummern zu gelangen. Dazu kontaktieren die Kriminellen potenzielle Opfer per Telefon oder E-Mail.
von Christian Lang
Die Masche wird Phishing genannt - ein Kunstwort aus den Begriffen Passwort und Fishing. Erbeutete Daten werden oft an andere Betrüger weiterverkauft, Bankverbindungen und Kreditkartennummern für Käufe auf Rechnung der Opfer eingesetzt. Markt stellt gängige Phishing-Tricks vor und gibt Tipps, wie Verbraucher sich schützen können.
Phishing per E-Mail: Wie Betrüger vorgehen
An die E-Mail-Adressen der potenziellen Opfer gelangen die Täter häufig über Adresshändler. Oft schicken sie potenziellen Opfern manipulierte Dateianhänge oder Links, die nach dem Anklicken unerkannt Spionageprogramme auf dem Rechner installieren oder auf gefälschte Webseiten bekannter Unternehmen leiten, etwa von einer Bank oder Behörde, neuerdings auch von Streamingdiensten wie Netflix und Maxdome. Auf den gefälschten Seiten werden potenzielle Opfer beispielsweise aufgefordert, ihre Zugangsdaten einzugeben.
Schutz vor Phishing per E-Mail
Diese Vorsichtsmaßnahmen können vor Phishing-Betrügern schützen:
Seinen Sie misstrauisch bei E-Mail-Absendern, die Sie nicht kennen. Doch auch E-Mails von bekannten Absendern können manipuliert sein - wenn die Absender selbst Opfer einer Phishing-Attacke geworden sind.
Lassen Sie sich nicht unter Zeitdruck setzen.
Klicken Sie nicht auf Links von unbekannten Absendern.
Öffnen Sie keine Anhänge von unbekannten Absendern.
Geben Sie nicht leichtfertig persönliche Daten wie Geburtsdaten, Adressen und Bankverbindungen an.
Reagieren Sie nicht auf verdächtige Mails, etwa durch eine Antwort.
Staatliche Institutionen, Banken, Finanzdienstleister, Fluglinien oder Online-Shops fordern ihre Kunden niemals unaufgefordert auf, Zugangsdaten oder Kontoverbindungen zu ändern. Rufen Sie im Zweifel das Unternehmen an, von dem die E-Mail angeblich kommt.
Verdächtige E-Mails erkennen
In immer mehr Fällen sind gefälschte E-Mails kaum vom echten E-Mails zu unterscheiden. Hinweise auf eine Fälschung sind beispielsweise
fehlende persönliche Anrede
Rechtschreibfehler, seltsamer Satzbau, schlechter Schreibstil
Drohungen
Aufforderung, persönliche Daten einzugeben
Aufforderung, Anhänge oder Links anzuklicken
unaufgeforderte Mails in englischer Sprache
Ihnen unbekannte Unternehmen
Ihnen bekannte Unternehmen, die bisher nie per E-Mail Kontakt mit Ihnen aufgenommen haben
Phishing per Telefon: Wie Betrüger vorgehen
Phishing per Telefon geht oft von professionell ausgestatteten, illegalen Callcentern aus, die ihren Sitz im Ausland haben. An den Telefonen arbeiten geschulte Mitarbeiter, die auf jeden Einwand der Angerufenen plausible Antworten haben. Sie geben die sich als Mitarbeiter großer Unternehmen wie Microsoft, Apple, Sparkassen, Netflix, Gewinnspielanbietern oder Paypal aus. Auch staatliche Behörden wie Staatsanwaltschaften oder Finanzämter werden vorgetäuscht. Dabei setzen die Betrüger die Angerufenen unter Druck, verleiten sie zu schnellen Entscheidungen. Entweder, um angeblich größeres Übel abzuwenden. Oder um vermeintlich große finanzielle Gewinne zu erhalten.
Schutz vor Phishing per Telefon
Diese Maßnahmen können vor Phishing-Angriffen per Telefon schützen:
Melden Sie sich nicht mit ihrem Namen.
Antworten Sie in ganzen Sätzen. Beantworten Sie Fragen nicht mit "ja".
Lassen Sie sich nicht unter Druck setzen.
Geben Sie niemals persönliche Daten wie Bankdaten am Telefon an!
Fordern Sie schriftliche Unterlagen an, bevor Sie Geld überweisen.
Wenn Sie mehrfach angerufen werden: Sperren Sie die Telefonnummer in Ihrem Telefon.
Was tun, wenn man Opfer von Phishing geworden ist?
Falls Sie überrumpelt wurden und auf ein Angebot eingegangen sind, kündigen Sie schriftlich und kontaktieren Sie Ihre Bank, um bewilligte Zahlungen zu stoppen. Erstatten Sie Anzeige bei der Polizei.
Dieses Thema im Programm: Markt | 19.04.2021 | 20:15 Uhr
Schlagwörter zu diesem Artikel Recht
So schützen Sie sich vor Phishing
Antworten Sie niemals auf E-Mails, in denen Sie nach persönlichen Finanzdaten gefragt werden.
Seien Sie auf der Hut vor E-Mails, die nach Ihrem Passwort oder Ihren Kontodaten fragen oder entsprechende Links enthalten. Banken oder E-Commerce-Unternehmen versenden solche E-Mails normalerweise nicht.
Suchen Sie nach Anzeichen dafür, dass es sich um eine Phishing-E-Mail handelt.
Viele Phishing-E-Mails sind allgemein gehalten und sprechen ihre Empfänger mit „Sehr geehrter Kunde“ an. Oft sind Behauptungen enthalten, die Sie erschrecken sollen, zum Beispiel dass Ihre Kontonummer gestohlen worden sei. Ein weiteres Indiz sind Rechtschreib- oder Grammatikfehler und/oder Aufforderungen dazu, auf einen Link zu klicken oder persönliche Daten an eine unbekannte Adresse zu senden.
Manche Phishing-E-Mails sind aber auch zielgerichtet formuliert und können sehr überzeugend wirken. Achten Sie auf Auffälligkeiten – z. B. ein leerer oder irrelevanter Anhang (in dem sich Malware verbergen könnte) oder eine Aufforderung zum Klicken auf einen Link, der nicht zum Betreff oder Absender der Nachricht passt.
Geben Sie die Adresse von Bank-Websites immer manuell in die Adresszeile ein.
Klicken Sie niemals auf Links in E-Mails, die Sie nicht angefordert haben. Phisher wollen Sie damit zu einer gefälschten Website weiterleiten. Geben Sie stattdessen die komplette Adresse in die Adresszeile Ihres Browsers ein.
Prüfen Sie Ihre Konten regelmäßig.
Melden Sie sich regelmäßig bei Ihren Online-Bankkonten an und überprüfen Sie Ihre Kontoauszüge. Wenn Sie darauf verdächtige Transaktionen feststellen, melden Sie diese umgehend Ihrer Bank oder Ihrem Kreditkartenunternehmen.
Prüfen Sie, ob die besuchte Website sicher ist.
Prüfen Sie die Webadresse in der Adresszeile. Wenn sich die besuchte Website auf einem sicheren Server befindet, sollte die Adresse mit https:// („s“ für Sicherheit) anstelle von http:// beginnen. Suchen Sie außerdem in der Statuszeile des Browsers nach einem Schloss-Symbol. Diese Anzeichen weisen darauf hin, dass die Website verschlüsselt ist.Das ist jedoch keine Garantie, dass die Website sicher ist, denn auch Hacker können verschlüsselte Websites erstellen, mit denen sie persönliche Daten stehlen wollen.
Seien Sie vorsichtig im Umgang mit E-Mails und persönlichen Daten.
Führen Sie Transaktionen immer sicher durch. Teilen Sie niemandem Ihre PINs oder Passwörter mit, schreiben Sie diese nicht auf, und benutzen Sie auf keinen Fall ein und dasselbe Passwort für mehrere Online-Konten. Öffnen Sie keine Spam-Mails, und antworten Sie nicht darauf, da der Absender dadurch erfährt, dass Ihre E-Mail-Adresse gültig ist und sich für zukünftige Betrügereien eignet.
Schützen Sie Ihren Computer.
Spamschutzsoftware fängt zahlreiche Phishing-E-Mails ab; auf diese Weise erreichen diese erst gar nicht Ihren Posteingang. Auch eine Firewall trägt zum Schutz Ihrer persönlichen Daten bei und blockiert unerlaubte Kommunikationen. Installieren Sie außerdem eine Virenschutzsoftware, um schädliche Programme zu erkennen und zu deaktivieren, beispielsweise Spyware oder Backdoor-Trojaner, die in Phishing-E-Mails enthalten sein können. Schützen Sie Ihren Browser stets mit den neuesten Sicherheits-Updates.
Melden Sie verdächtige Aktivitäten.
Wenn Sie eine E-Mail erhalten, die Sie für gefälscht halten, leiten Sie die Mail an das Unternehmen weiter, von dem sie angeblich kommt. Viele Unternehmen haben eine spezielle E-Mail-Adresse, an die solche Missbrauchsfälle gemeldet werden können.
Quelle: Sophos
