Schützen Sie Ihr Unternehmen vor Phishing-Angriffen
Ist eine E-Mail echt oder ein Phishing-Versuch? Halten Sie sich an diese Punkte:
Wussten Sie, dass über 90 % aller erfolgreichen Hacker-Angriffe und Datenverluste mit einem Phishing-Betrug beginnen? Haben Sie eine Vorstellung, was genau Phishing ist und wie Sie Ihr Unternehmen davor schützen?
Phishing-Betrug wird durch Cyberkriminelle begangen, die Nutzer dazu verleiten wollen, auf einen Link zu klicken, Anmeldedaten einzugeben, einen Anhang zu öffnen oder sogar Änderungen an einem Unternehmensprozess vorzunehmen. Meist ergeht eine entsprechende Aufforderung per E-Mail, es gibt aber auch andere Wege. Die Folgen sind Ransomware, Malware (Viren, Trojaner, Würmer), gestohlene Passwörter, Datenverlust und Geld- oder Identitätsdiebstahl. Phishing-Angreifer nutzen unser ganz normales Verhalten aus, z. B. dass wir Menschen vertrauen, die wir kennen. Dadurch bringen sie uns dazu, Dinge zu tun, die wir im Normalfall nie tun würden.
Die richtige Abwehr
Phishing-Angreifer haben es darauf abgesehen, uns auszutricksen. Wie können wir unser Unternehmen und unsere Mitarbeiter davor schützen? Wie können wir uns gegen immer neue Taktiken wehren? Es ist wichtiger denn je, sich gut zu wappnen und den Cyberkriminellen einen Schritt voraus zu sein.
Optimieren Sie zum Beispiel Ihre technische Abwehr und betrachten Sie Ihre Angestellten als verlängerten Arm Ihres Sicherheitsteams. Mit guten Spamfiltern, einem sicheren E-Mail-Gateway, standardmäßigen Authentifizierungsprotokollen (wie DMARC, DKIM oder SPF) und anderen Technologien sorgen Sie dafür, dass der Großteil der Angreifer es gar nicht bis in die Posteingänge schafft. Dennoch ist es heutzutage fast unmöglich, alle Phishing-Mails abzufangen. Und dann reicht ein Klick einer einzigen Person, um Chaos zu verursachen und die Sicherheit des gesamten Unternehmens zu gefährden.
Wäre es nicht besser, wenn Ihre Mitarbeiter Phishing-Mails sofort erkennen und melden würden, statt im guten Glauben auf einen Link zu klicken? Das wäre die optimale Reaktion. Deswegen sind auch kontinuierliche Sicherheitsschulungen notwendig, um das Bewusstsein für diese Gefahr zu schärfen. Zeigen Sie Ihren Mitarbeitern auf, was Phishing ist und wie sie es erkennen. Prüfen Sie, wenn möglich, wie gut sie solchen Betrug erkennen, und belohnen Sie sie bei richtigem Verhalten. Ermutigen Sie alle im Unternehmen, verdächtige E-Mails dem Sicherheitsteam zu melden. Dafür sollte ein ganz einfacher Prozess genügen. Es reicht nicht, einmal im Jahr über Phishing und Sicherheit zu informieren. Sprechen Sie immer wieder darüber, damit das Thema stets präsent ist.
Die Anatomie eines Phishing-Angriffs
Wenn Sie sich entschlossen haben, die richtigen Vorbereitungen zu treffen und Ihre Mitarbeiter zu schulen, müssen Sie natürlich möglichst genau wissen, wovor Sie sich eigentlich schützen. Wie funktioniert Phishing und worauf haben die Angreifer es abgesehen?
Das Konzept von Phishing ist einfach und nicht einmal neu. Erinnern Sie sich daran, dass man früher manchmal Anrufe zu einem Gewinn bei einem Preisausschreiben bekam, an dem man aber gar nicht teilgenommen hatte? Vor lauter Begeisterung gab man dem Anrufer dann alle Informationen, nach denen gefragt wurde, um den Preis zu erhalten. Phishing verfolgt dieselbe Strategie. Nur das Medium hat sich zu E-Mails oder anderen digitalen Kommunikationskanälen gewandelt.
SEO Description: Phishing-Angreifer ändern immer wieder ihre Taktiken, um noch mehr Opfer zu finden. Es ist wichtiger denn je, sich zu wappnen und ihnen immer einen Schritt voraus zu sein.
Graphic caption: E-Mail gesendet -> Empfänger fällt auf Betrug herein -> Empfänger führt erwünschte Handlung aus -> Daten werden gestohlen oder Computer infiziert
So sendet zum Beispiel ein Phishing-Angreifer eine E-Mail an einen Empfänger. In dieser E-Mail versucht er, diesen zu überzeugen, eine bestimmte Handlung auszuführen. Üblicherweise enthält solch eine Mail Hyperlinks oder Anhänge. Die Hyperlinks führen dann meist auf gefälschte Websites, auf denen man Informationen eingeben soll. Manchmal ist die Seite so aufbereitet, dass sie der eines tatsächlich existierenden Unternehmens gleicht. In Anhängen befindet sich oft bösartiger Code, mit dem der Rechner oder das Netzwerk des Empfängers infiziert wird. Sind weder Hyperlinks noch Anhänge enthalten, geht es oft darum, dass der Empfänger auf die E-Mail antwortet oder eine Telefonnummer anruft, um dem Absender Informationen zu übermitteln.
Wenn ein Empfänger auf den Betrug hereinfällt, merkt er es oft nicht einmal. Er glaubt, dass die Mail echt war und nun etwas Positives passieren wird. Doch in Wahrheit hat der Phishing-Angreifer Informationen oder Geld gestohlen oder aber den Computer infiziert.
Verschiedene Arten von Phishing-Angriffen
Phishing ist nicht gleich Phishing. Es gibt verschiedene Arten, die alle in Ihrem Unternehmen kennen sollten. Dazu gehören:
Spear Phishing
Spear Phishing ist ein zielgerichteter Betrugsversuch für eine bestimmte Zielgruppe. Dass Sie eine solche E-Mail erhalten, ist dann kein Zufall. Der Phishing-Angreifer hat vorher herausgefunden, wer Sie sind, und sendet Ihnen eine Nachricht, die für Sie sinnvoll aussieht. So sind Sie vielleicht in der Personalabteilung Ihres Unternehmens tätig und haben kürzlich im Internet gepostet, dass Sie befördert wurden. Darauf zielt der Betrugsversuch dann ab.
Whaling
Whaling ist eine Unterart von Spear Phishing, das sich direkt an die obersten Führungskräfte eines Unternehmens richtet, also an die „großen Fische“. Wer zum Vorstand gehört, ist meist auf der Website gut herauszufinden. Das macht diese Personen zu einem leichten Ziel. Sie haben Zugriff auf vertrauliche Informationen und treffen finanzielle Entscheidungen, sodass sie für die Angreifer lukrativ sein können.
BEC- und CEO-Betrug
BEC steht für Business Email Compromise. BEC- und CEO-Betrug sind eine andere Art des Spear Phishing, bei dem die Angreifer sich als Ihr Unternehmen oder als CEO Ihres Unternehmens ausgeben. Da wir Personen in verantwortlicher Position gerne vertrauen, setzen die Angreifer darauf, dass wir nicht nachfragen, sondern der Bitte „von oben“ schnell entsprechen. E-Mail-Domänen von Unternehmen lassen sich leicht abwandeln, und offizielle Logos sind ganz einfach online zu finden. Auch die Namen der Personen, die im Unternehmen tätig sind, können auf Social-Media-Seiten schnell ermittelt werden. BEC scheint für Angreifer so eine sichere Nummer zu sein.
Vishing
Vishing ist Phishing am Telefon („Voice Phishing“). Das sind im Grunde genau die Telefonanrufe, die wir schon erwähnten und die Sie vermutlich bereits vor Beginn des Computerzeitalters erhalten haben. Diese herkömmlichen Betrugsversuche sind erfolgreich, weil wir schnell Verbundenheit zu menschlichen Stimmen empfinden. So wird es besonders schwer, sich einer Bitte des Anrufers zu entziehen.
Smishing oder SMShing
Smishing oder auch SMShing sind bösartige Textnachrichten, also SMS-Phishing. Dabei handelt es sich um knappere Versionen des E-Mail-Phishing mit einem gekürzten Hyperlink und einer kurzen, prägnanten Aufforderung.
Mehr Bewusstsein für Phishing: Wie entlarven Sie die Betrüger?
Am häufigsten stellen Ihre Mitarbeiter Ihnen wahrscheinlich die Frage, wie sie erkennen, ob es sich um einen Phishing-Versuch handelt. Nun könnten Sie ihnen erklären, wie sie das aus dem E-Mail-Header herauslesen, aber für allgemeine Endnutzer sind bestimmte Warnsignale wichtiger. Doch viel wichtiger ist, dass sie beim geringsten Verdacht, dass eine E-Mail ein Phishing-Versuch sein könnte, das Sicherheitsteam informieren, damit es die Nachricht untersuchen kann. Hier sollten Sie zu einer gesunden Skepsis ermutigen.
Warnsignale für Phishing
Was sind mögliche Warnsignale? Es gibt viele solcher Signale, die sich jedoch auch ändern können, wenn die Angreifer ihre Taktiken modifizieren. Im Allgemeinen sollten Ihre Mitarbeiter extrem vorsichtig sein, wenn die folgenden Warnsignale (auch kombiniert) auftreten:
Allgemein gehaltene Begrüßung oder Signatur
Fehlender Absender, fehlende Firmeninformationen
Verpixelte oder unscharfe Bilder
Unlogische Website-Links
Falsche Rechtschreibung oder Grammatik
Drohungen oder dringende Aufforderungen
Zu gut klingende Angebote
Eine Bitte, persönliche Daten zu übermitteln, Geld zu überweisen oder Bankdaten zu ändern
Unerwartete E-Mails oder Anhänge
Betreff und Nachricht passen nicht zusammen
Keine unterstützende Kommunikation
Ist eine E-Mail echt oder ein Phishing-Versuch? Halten Sie sich an diese Punkte:
Recherchieren Sie. Suchen Sie online nach Informationen zum angeblichen Absender. Sie können sogar nach dem genauen Text suchen, den Sie erhalten haben. Vielleicht wurde er bereits von anderen als Betrug erkannt. Überprüfen Sie Anfragen über einen zweiten Kommunikationsweg. Antworten Sie dem Sender niemals, indem Sie in der Originalnachricht auf „Antworten“ klicken. Nutzen Sie eine alternative Kontaktmöglichkeit wie eine Telefonnummer oder E-Mail-Adresse von einer aktuellen Rechnung, um die Anfrage vom Absender bestätigen zu lassen. Halten Sie den Mauszeiger über die Links in der E-Mail, um herauszufinden, ob die Adresse des Hyperlinks der echten Website-Domain des Unternehmens entspricht. Geben Sie, wenn Sie unsicher sind, den Hyperlink manuell in den Browser ein. Klicken Sie niemals auf den Link in der Mail. Prüfen Sie die Dateinamen der Anhänge. Überlegen Sie, ob Sie Dateien erwarten. Öffnen Sie niemals Anhänge, die Sie nicht erwarten oder die eine falsche Endung haben (zum Beispiel obwohl in der Mail steht, es handle sich um ein Word-Dokument). Verlassen Sie sich auf Ihre Urteilskraft. In den meisten Fällen sagt uns der gesunde Menschenverstand, ob eine E-Mail echt ist oder ein Phishing-Versuch.
Unsicher, ob eine angegebene Website echt ist? Dann helfen Ihnen diese Tipps:
Überprüfen Sie die Webadresse. Ist der Unternehmensname in der URL richtig geschrieben? Beginnt die Adresse mit http statt https? Nur weil sie mit https beginnt, bedeutet dies zwar nicht, dass sie echt ist, sondern nur, dass es sich um eine sichere Verbindung handelt, Beginnt sie jedoch nicht mit https, ist dies ein Zeichen, dass Sie keine weiteren Informationen eingeben sollten. Ebenso ist ein geschlossenes Vorhängeschloss oder ein Schlüssel in der Adressleiste keine Garantie dafür, dass die Website echt ist. Doch wenn nichts davon angezeigt wird, geben Sie zur Sicherheit keine Informationen ein.
Ist der Unternehmensname in der URL richtig geschrieben? Beginnt die Adresse mit http statt https? Nur weil sie mit https beginnt, bedeutet dies zwar nicht, dass sie echt ist, sondern nur, dass es sich um eine sichere Verbindung handelt, Beginnt sie jedoch nicht mit https, ist dies ein Zeichen, dass Sie keine weiteren Informationen eingeben sollten. Ebenso ist ein geschlossenes Vorhängeschloss oder ein Schlüssel in der Adressleiste keine Garantie dafür, dass die Website echt ist. Doch wenn nichts davon angezeigt wird, geben Sie zur Sicherheit keine Informationen ein. Achten Sie auf Popup-Fenster. Wenn Sie eine Website öffnen und viel Popup-Werbung angezeigt wird, sollten Sie vorsichtig sein.
Wenn Sie eine Website öffnen und viel Popup-Werbung angezeigt wird, sollten Sie vorsichtig sein. Sehen Sie sich das Branding an. Entspricht es dem „Look and Feel” der Website des Unternehmens, das Sie angeblich besuchen?
Was tun, wenn im Unternehmen ein Phishing-Angriff erfolgt ist?
Niemand ist letztendlich vor Phishing gefeit. Auch mit den besten Gegenmaßnahmen und ausgefeilten Awareness-Programmen kann es passieren, dass ein Nutzer auf einen Betrugsversuch hereinfällt. Das lässt sich nicht vermeiden. Dann ist es wichtig richtig zu reagieren.
Befolgen Sie diese Schritte zur Wiederherstellung und arbeiten Sie mit Ihren Cybersicherheitsteams zusammen, um einen passenden Reaktions- und Wiederherstellungsplan für Ihr Unternehmen zu entwickeln:
Mögliche Risiken minimieren
Wenn ein Nutzer auf eine Phishing-Mail reagiert hat, trennen Sie den Rechner vom Netzwerk. Das Sicherheitsteam sollte sofort mit der Untersuchung beginnen.
Kennwörter ändern
Fordern Sie den Nutzer auf, sein Kennwort zu ändern. Werden mehrere Kennwörter benutzt, sollten alle aktualisiert werden, da erst einmal ungewiss ist, wie weit der Angriff vordringen konnte.
Reaktionsprozesse für Vorfälle befolgen
Ein Phishing-Angriff ist ein Angriff auf die Cybersicherheit. Halten Sie sich an Ihre Reaktionsprozesse für Vorfälle, d. h. entfernen Sie die Phishing-E-Mail, überprüfen Sie die Posteingänge der anderen Nutzer auf dieselbe Nachricht und löschen sie gegebenenfalls, untersuchen Sie die Auswirkungen des Angriffs und leiten Sie entsprechende Gegenmaßnahmen ein.
Eine Malware-Prüfung durchführen
Scannen Sie den Computer des Nutzers und Ihr Netzwerk mit entsprechenden Tools auf Malware (wie Viren, Trojaner, Würmer), verdächtige Aktivitäten und Auffälligkeiten.
Je nach Art des Phishing-Angriffs kann der Nutzer personenbezogene Daten herausgegeben haben. In diesem Fall sollte er seine Bank, seinen Kreditkartenanbieter, die Schufa usw. informieren. Falls der Angreifer sich als echtes Unternehmen ausgegeben hat, informieren Sie dieses Unternehmen, sodass es andere Nutzer und Kunden warnen kann.
Ein ausführliches Fazit ziehen
Wie bei jedem Cyberangriff ist das, was Sie daraus lernen können, oft wertvoller als die Daten, die gestohlen wurden. Erstellen Sie eine „Lessons-Learned-Liste” und überprüfen Sie Ihre bestehenden Prozesse und Kontrollen dahingehend, ob Sie etwas ändern müssen. Und sorgen Sie dafür, dass Ihre Nutzer das Thema Phishing noch ernster nehmen.
Phishing-Angriffe gehören zu den beliebtesten Angriffsvektoren von Cyberkriminellen, bei denen die Empfänger dazu verleitet werden, eine bestimmte Handlung auszuführen, die ganz normalem menschlichen Verhalten entspricht. Nur wenn Sie Ihre Abwehr stärken und Ihre Mitarbeiter darauf vorbereiten, können Sie sich erfolgreich gegen Phishing wehren.
Zusätzliche Ressourcen:
Covid-19: So schützen Sie sich vor Hackern und vermeiden Coronavirus-Betrugsmaschen
Covid-19: So schützen Sie sich vor Hackern und vermeiden Coronavirus-Betrugsmaschen
Selbst in den kritischsten Momenten gibt es leider Individuen, die versuchen, aus Situationen wie der weltweiten Pandemie Profit zu schlagen und sich auf Kosten anderer zu bereichern. Egal ob Sie Geschäftsmann oder ein normaler Anwender sind, der versucht, sich vor den Online-Gefahren zu schützen: Es ist eminent wichtig, sich der möglichen Gefahren durch Hacker und Betrüger, englisch Scammer, bewusst zu sein, und sich entsprechend vor dem ansteigenden Coronavirus-Hacking zu schützen.
In diesem Artikel geben wir Ihnen einen Überblick über mögliche Coronavirus-Betrugsmaschen und zeigen Ihnen, wie Sie sich vor Hackern optimal schützen – nicht nur während der Krise, sondern auch generell.
Gefälschte Pandemiekarten-Webseiten versuchen, Ihre sensiblen Daten zu stehlen
Sicherheitsforscher haben in den letzten Wochen eine Welle an Fake-Websites mit Corona-Weltkarten ausfindig gemacht, die beim Besuch versuchen, mittels einer Drive-by-Infizierung Viren, Malware und Spyware auf den Systemen ihrer Opfer unterzubringen.
Damit kein Zweifel an der Authentizität der Seiten aufkommt, haben die Angreifer das Design an offiziellen Pandemie-Karten angelehnt, es werden Infektionsraten, Todeszahlen und genesene Patienten nach Ländern und Regionen dargestellt. Theoretisch kann das Design an jede erdenkbare Form angepasst werden, beispielsweise können solche Seiten auch wie News-Aggregatoren gestaltet sein.
Dies ist nur ein Beispiel dafür, wie Hacker versuchen, Nutzer auf präparierte Seiten zu locken, indem durch ein möglichst vertrauenswürdiges Design die Leute in falscher Sicherheit gewogen werden. Letzten Endes dienen all diese Seiten nur einem Ziel: Schaden zu verursachen.
Auf den ersten Blick sehen die Seiten hochprofessionell und fachmännisch gestaltet aus. Auch die verwendete URL-Adresse mag plausibel klingen und der Content relevant und vertrauenswürdig erscheinen, vor allem, wenn Zahlen in Echtzeit aktualisiert werden.
Doch wenn eine derartige gefälschte Coronavirus-Website besucht wird, könnte es passieren, dass ein Download einer Applikation gestartet werden soll, die als Dashboard oder besonders nützliche App zur noch besseren Informiertheit des Anwenders beitragen soll. In Wahrheit jedoch stellt diese vermeintlich nützliche App das Einfallstor der Hacker auf Ihr System dar, was dazu führt, dass unbemerkt im Hintergrund böses Spiel betrieben wird.
Wie funktioniert diese Betrugsmasche?
Nach Angaben der Tech-Website The Next Web wird in Zusammenhang mit Corona-Fakesites gerne der Trojaner AZORult verwendet, um den Browser-Verlauf, Cookies, IDs und Passwörter und – sofern vorhanden – Cryptowährung zu stehlen. Angeblich treibt dieser Trojaner nur auf Windows-Rechnern sein Unwesen, doch könnte dies in naher Zukunft auch andere Betriebssysteme wie Linux oder MacOS betreffen. Weitere Informationen zu AZORult finden Sie in unserer Wissensdatenbank. Das Büro des US-Justizministers warnt davor, dass eine ähnliche Betrugsmasche bereits bei mobilen Apps beobachtet wurde, die nach der Installation persönliche Informationen und Gerätedetails des Anwenders kompromittieren.
Wie schütze ich mich vor gefälschten Pandemiekarten und betrügerischen Websites?
Generell sollte die Validität einer Website niemals allein aufgrund des oberflächlichen ersten Blicks eingeschätzt werden. Darum sollten Sie besondere Vorsicht walten lassen.
Der beste Weg, sich vor den oben genannten Angriffen zu schützen ist, während des Surfens im Web wachsam und vorsichtig zu sein. Es sollte nichts auf dem Computer oder dem Smartphone installiert werden, was nicht aus einer sicheren, verlässlichen Quelle stammt.
Eine weitere besondere Schutzmaßnahme ist der Download von Programmen aus den jeweiligen Anbieter-Stores, beispielsweise Googles Playstore für Android-Geräte, Apples App Store oder Microsofts Store. Trotzdem sollte bei jeder Installation genau geprüft werden, welche sensiblen Daten übermittelt und welche Befugnisse eingeräumt werden, beispielsweise der Zugriff auf Finanzdaten oder Ortsangaben.
Die Installation eines aktuellen Virenscanners auf den Endgeräten hilft ebenfalls, eine sichere Umgebung zu schaffen, da er alle Downloads überprüft und Installationen blockiert, die eine mögliche Gefahr für den Anwender darstellen.
Coronavirus-Phishingmails beinhalten Malware in Form von Anhängen
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor einer Flut an Phishing-Attacken. Die Scammer verschleiern dabei den Absender und erzeugen so den Eindruck, dass die Mails von offiziellen Stellen beziehungsweise Organisationen kommen.
In den Mails wird behauptet, dass sich hinter dem angegebenen Link wichtige Updates zur Corona-Lage befänden. In Wahrheit wird man jedoch nach dem Klick auf präparierte Websites weitergeleitet, die versuchen, das System des Anwenders mit Viren, Mal- oder Spyware zu verseuchen. Aufgedeckt wurde ein Betrugsversuch, in dem Mails angeblich vom Bundesgesundheitsministerium stammen sollen. Empfänger werden aufgefordert, ein Antragsformular für "Familien- und Krankenurlaub" zu öffnen, das sich als Word-Dokument in der Anlage befindet. Ebenfalls kursiert ein Dokument mit einer Anlage namens "Krankschreibung.doc“, die wie die andere manipulierte Word-Datei die Ransomware Trickware auf dem Rechner installiert. Laut Google, Anbieter des E-Mail-Dienstes Gmail, werden derzeit 18 Millionen betrügerische Malware- und Phishing-E-Mails aussortiert – pro Tag.
Auch Großbritanniens National Cyber Security Centre (NCSC) erwähnte in seinem Bericht Phishing-E-Mails, die infizierte Anhänge wie beispielsweise Word-Dokumente beinhalten. Diese Phishing-Mails wurden international versendet, etwa in die USA, UK, Japan, Italien oder Indonesien.
Interessant ist, dass offenbar ganz gezieltes Empfänger-Targeting betrieben wurde. Als Empfänger wurden Personen aus den Bereichen Versand, Transport und Retail ausgewählt. Um die möglichen Opfer in falscher Sicherheit zu wiegen und um sie gleichzeitig neugierig zu machen, wurden als Absendernamen Institutionen wie das National Health Center, das Center for Disease Control and Prevention (CDC) sowie die World Health Organization (WHO) festgelegt.
In einer Mail baten die Phisher nach Bitcoin-Spenden für den Kampf gegen die Covid-19-Pandemie. In einer anderen boten sie an, Millionen US-Dollar an Kompensation an diejenigen auszubezahlen, die aufgrund der Maßnahmen in finanzielle Schwierigkeiten geraten sind. Eine dritte Variante beinhaltete einen gefälschten Link, der nach dem Klick die Logindaten des Opfers stiehlt.
Das US-Justizministerium hat noch auf zwei weitere Typen von Phishing-Scam hingewiesen. In einer wurde der Empfänger eingeladen, bei einem Investment einzusteigen. Das Geld soll in öffentlich gehandelte Unternehmen investiert werden, die an Equipment arbeiten, das im Kampf gegen Covid-19 helfen soll. In der zweiten Variante behaupten die Absender, dass sie in einem Krankenhaus arbeiten würden, das kürzlich einen Freund oder ein Familienmitglied des Empfängers behandelt habe. Nachdem die Rechnungen nicht vollständig bezahlt wurden, fordern sie in der Scam-Mail den Empfänger dazu auf, die offenen Punkte der Behandlung zu begleichen.
Wie funktioniert dieser Scam?
Scammer haben sich schon des Öfteren als offizielle Stellen ausgegeben, beispielsweise als Mitarbeiter der World Health Organization (WHO) oder von Wohlfahrtsstellen. Dabei bleibt es nicht bei nur einer Masche. Mal versuchen sie, antivirales Equipment zu verkaufen, andere fragen nach Passwörtern oder sogar Bitcoin-Spenden, um vermeintliche Impfungen gegen Covid-19 zu finanzieren. Manchmal wird direkt nach dem Geld gefragt, andere senden einen gefälschten oder einen verseuchten Link. Es kann auch vorkommen, dass infizierte Anhänge mit den Mails gesendet werden.
Sobald diese dubiosen Links geklickt oder etwaige Anhang geöffnet werden, sind den Hacker Türen und Tore geöffnet. Es werden dann Programme wie die Malwares Lokibot infostealer, Remcos RAT und Emotet Banking-Trojaner auf das Endgerät geladen, um Bankdaten zu stehlen oder aber in Form von Ransomware den Nutzer um viel Geld zu erpressen, damit der Rechner wieder genutzt werden kann.
Wie schütze ich mich vor Corona-Virus-Phishing- und E-Mail-Scam?
Die erwähnten Beispiele waren nur wenige von vielen Möglichkeiten, wie Betrüger und Kriminelle versuchen können, Sie hinters Licht zu führen. Dementsprechend vorsichtig und vor allem skeptisch sollten sie sein, wenn Sie eine E-Mail von einer Person oder einer Organisation bekommen, die sie nicht kennen beziehungsweise wo Sie sich nicht proaktiv in einem Verteiler eingetragen haben. Selbst wenn die Anmutung realistisch und plausibel wirkt, klicken Sie besser keine Links und öffnen Sie vor allem keine Anhänge.
Sollte die Neugier doch überwiegen, checken Sie nach dem Öffnen als erstes die Absender-Adresse. Manchmal mag der Absender als offiziell erscheinen – beispielsweise „World Health Organization“ – die verwendete E-Mail-Adresse widerspricht dem jedoch, vor allem, wenn sie nicht von dem Firmenserver abgesendet wurde, sondern von einer Mail-Adresse großer Anbieter wie GMX, Web.de, Gmail oder Yahoo. Wenn der Absender also oder „World Health Organization“ lautet, ist es definitiv eine Scam-Mail von einem Fake-Account und sollte umgehend gelöscht werden, sollte zuvor nicht der Spam-Filter des Anbieters angeschlagen haben.
Noch vorsichtiger sollten Sie bei Links sein. Klicken Sie nichts, ohne den Link vorher verifiziert zu haben. Er sollte wenigstens eine https://-Extension haben (Secure Hypertext Transfer Protocol), Websites ohne https sind hochgradig unsicher. Wenn der Link hinter Plaintext versteckt ist, also anstelle eines „https://www.“ plus Link reiner Text steht – beispielsweise „Hier klicken für das tollste Angebot“ - untersuchen Sie den Link mit höchstem Misstrauen. Wer nichts zu verbergen hat, verkleidet den Link nicht.
Keinesfalls sollten E-Mail-Anhänge unbedarft heruntergeladen und geöffnet werden. Sollte beim Betrachten der E-Mail auch nur der kleinste Zweifel an der Seriosität des Absenders entstehen, stellt das Öffnen des Anhangs eine immense Gefahr dar. Manche E-Mail-Server großer Anbieter erlauben eine Voransicht der Datei, die im Anhang steckt. Aber selbst dann: Sollten Zweifel an der Integrität bestehen, lieber nicht klicken, sondern löschen. Vor allem, wenn es sich um ausführbare Dateianhänge mit oder .bat handelt.
Für optimale Sicherheit sollte neben einer gesunden Portion Skepsis noch ein moderner, stets aktuell gehaltener Virenscanner installiert sein, der zusätzliche Systemsicherheit gewährleistet. Die Ausführung maliziösen Codes wird von ihm blockiert, und Anhänge in Zip-Form können vorab auf Schadsoftware gescannt werden. Die Polizeiliche Kriminalprävention der Länder und des Bundes (ProPK) gibt auf seiner Website in einem aktuellen Artikel Tipps, wie Sie sich gegen Phishing schützen. Dort gibt es auch eine Checkliste gegen Phishing als PDF.
Fake Online-Shops und Services verkaufen „essenzielle“ Corona-Virus-Produkte
p>Weltweit versuchen Online-Betrüger mit der Angst der Leute während der Corona-Pandemie Kasse zu machen. Häufig wird versucht, Käufer zu Online-Shops mit Produkten zu locken, die entweder gefälscht sind, oder aber gar nicht existieren.
Den Kontakt zu potenziellen Kunden bauen die Betrüger über Anzeigen oder Kontaktnachrichten in sozialen Medien oder per E-Mail auf. Den verunsicherten Menschen werden Produkte in Aussicht gestellt, die sie in ihrer Umgebung nur noch schwer oder gar nicht mehr erhalten, beispielsweise Desinfektionsmittel, Handschuhe oder Gesichtsmasken. Oft waren die Produkte erheblich überteuert, schlecht verarbeitet oder aber kamen nie an.
In den USA gibt es Berichte von Betrügern, die Corona-Tests verkauften. Die Scammer behaupteten, im medizinischen Bereich tätig zu sein und sogenannte kostenlose Covid-19-Tests zu verkaufen – solange die Versandkosten mit der Kreditkarte bezahlt werden. Zahlreiche US-Amerikaner sind auf diese Masche reingefallen. Als Konsequenz hat das FBI ein Statement veröffentlicht, in dem vor Phishing Mails und Fake-Shops gewarnt wird. Außerdem verweist die Bundesbehörde darauf, dass offizielle Stellen niemals nach privaten Informationen per E-Mail fragen.
Wie funktioniert dieser Betrug?
Bislang wurden drei Vertriebswege dieser Betrugsmasche beobachtet: 1. Per Direktmarketing per Mail 2. Per Social-Media-Verkauf, etwa über Facebook. 3. Über rudimentäre Online-Shops. Der Fokus liegt auf Produkten, für die ein akuter Bedarf besteht. Auch vermeintliche Heilmittel wie Chloroquin werden angeboten, was eine erhebliche Gefahr darstellen kann, da weder die Wirksamkeit bewiesen ist, zum anderen schon Menschen an Chloroquin-Vergiftungen gestorben sind.
Als Lockmittel werden neben der sofortigen Verfügbarkeit der sonst nicht beziehbaren Produkte auch vermeintliche Schnäppchenpreise sowie die künstliche Verknappung eingesetzt. Oft werden potenzielle Käufer auch aufgefordert, eine große Menge einzukaufen.
Sobald jedoch der Bezahlvorgang abgeschlossen ist, kommt die Ware nur selten an. So geschehen in Asien, wo Tausende auf Fake-Verkäufer hereingefallen sind. Oder aber die gekaufte Ware erfüllt nicht ansatzweise die Anforderungen und Maßstäbe, anstelle eines hochwertigen Produkts liegt minderwertiger Ramsch im Paket. Retournieren oder aber wenigstens reklamieren ist dann meist nicht mehr möglich, da der Verkäufer oder der Shop sich in Luft auflöst und nicht mehr greifbar ist.
Wie schütze ich mich vor Corona-Virus-Fakeshops und betrügerischen Verkäufern?
Grundsätzlich sollte im Internet nur bei vertrauenswürdigen Händlern gekauft werden. Sollte jemand direkt an Sie herantreten, sollten Sie skeptisch und misstrauisch sein. Vor allem, wenn Produkte angeboten werden, die ansonsten Mangelware sind. Sie können den Verkäufer auffordern, seine Identität zu bestätigen, und seine Legitimierung prüfen. Beispielsweise, ob es seine Firma überhaupt wirklich gibt, ob er einen zertifizierten Shop hat et cetera. Auch sollten Sie sich nicht dazu verleiten lassen, Produkte in Massen kaufen zu müssen. Vor allem nicht, wenn Sie sich nicht sicher sein können, ob die Ware überhaupt echt ist.
Der Shop selbst sollte ebenfalls mindestens über ein https-Zertifikat verfügen, außerdem alternative Bezahlmethoden zur direkten Überweisung per Kreditkarte anbieten. Ein Impressum sollte der Shop ebenfalls aufweisen können, mit den üblichen und rechtlich vorgeschriebenen Eintragungen wie ein Handelsregistereintrag, die Anschrift des Sitzes der Firma, eine Kontaktmöglichkeit per Telefon sowie eine Umsatzsteuernummer.
Sollten Sie nach dem Bezahlen das ungute Gefühl haben, einem Betrug aufgesessen zu sein, sollten Sie umgehend Ihre Bank kontaktieren. Außerdem sollten sämtliche Passwörter geändert werden, die während der Transaktion kompromittiert worden sein könnten.
Hacker attackieren Organisationen, während deren Mitarbeiter vom Homeoffice aus arbeiten
Es sind nicht nur Individuen im Visier der Hacker. Auch große Institutionen wie Krankenhäuser, Universitäten oder Forschungseinrichtungen sind in den Fokus geraten.
Anfang des Jahres ist das Universitätsklinikum im tschechischen Brünn Opfer eines Hackerangriffs geworden. Den Angreifern ist es gelungen, Ransomware auf dem Krankenhaussystem unterzubringen. Als Konsequenz konnten keine Operationen mehr durchgeführt werden, Eingriffe mussten verschoben werden. Das Klinikum war nicht das einzige Opfer, in dieser Zeit sind so manche große, namhafte Betriebe Opfer umtriebiger Hacker geworden – sogar große Unternehmen.
Ein Beispiel ist Samsung Electronics Co. Während der Corona-Pandemie ist das südkoreanische Unternehmen angeblich Opfer eines Datendiebstahls geworden. Wie hoch der Datenverlust ausgefallen ist, wer dahinter steckt und was genau abhanden gekommen ist, ist nur Spekulation. Laut Berichten könnte der Vorfall mit einer mysteriösen „Push-Benachrichtigung“ zusammenhängen, die ein paar Samsung-Anwender erhielten. Nach Angaben des Unternehmens haben die Push-Nachrichten nichts mit dem potenziellen Leck zu tun, zudem sei nur eine sehr geringe Anzahl an Kunden davon betroffen gewesen.
Wie läuft dieser Betrug ab?
Hacker, Phisher und Betrüger zielen oft auf gewisse Angestellte ab. Dabei nutzen sie jede sich bietende Möglichkeit, ins System der Unternehmen zu gelangen, angefangen bei verseuchten Mails hin zu Links zu präparierten Websites. Sollten sie Erfolg haben, erhalten sie möglicherweise nicht nur persönliche Daten des kompromittierten Rechners, sondern auch noch Zugriff auf die Firmenserver, von wo aus sie weiter Malware, Spyware und Viren auf sämtliche PCs des Unternehmens streuen können.
Wie schütze ich mich vor Corona-Hackern, die es auf meine Firma oder mich als Angestellten abgesehen haben?
Es ist eine absolute Notwendigkeit als Vorgesetzter, seinen Angestellten und Mitarbeitern einzuimpfen, dass gewisse Verhaltensweisen im Internet und im Umgang mit wenig vertrauenserweckenden Mails für das Wohl der Firma essenziell sind. Mails von unbekannten oder unseriös wirkenden Absendern dürfen auf keinen Fall geöffnet werden, Anhänge keinesfalls geöffnet werden, Links nicht geklickt werden.
Angesichts der Umstände und möglichen Ablenkungen im Homeoffice dürfte der ein oder andere derzeit ein leichteres Opfer für derartige Angriffe sein, was es für die Hacker leichter als sonst machen könnte. Die tägliche Internetnutzung im Homeoffice ist angestiegen, was bedeutet, dass das Risiko größer für alle geworden ist.
Es gab vermutlich keine bessere beziehungsweise dringlichere Zeit, einen sicheren, allumfassenden Virenscanner für die Firmenrechner zu haben, damit gewährleistet ist, dass das Tagesgeschäft nicht zusammenbricht in dieser besonderen Zeit.
Was unternehmen globale Behörden gegen Coronavirus-Scammer, -Hacker und -Phisher?
Nahezu jedes Land dieser Erde ist vom Coronavirus betroffen. Dementsprechend sollte es Aufgabe von jeder Landesregierung sein, seine Bürger vor Cyberkriminellen zu schützen.
Die internationale Polizei Interpol hat proaktiv Warnmeldungen über neue Coronavirus-Betrügereien veröffentlicht, sobald sie davon erfahren hat.
Zudem hat Interpol über die weltweiten Fälle und unterschiedlichen Herangehensweisen berichtet. Laut der Behörde wurden in einigen Fällen Anwender um hunderttausende Euro betrogen, und die Verbrecher kennen in der vernetzen Welt keine Ländergrenzen.
Interpol rät zu folgenden offiziellen Verhaltensweisen:
Verifizieren Sie vor dem Kauf den Händler beziehungsweise seine Firma
Es gibt tausende Fake-Websites im Netz. Scammer nutzen oft ähnliche Webadressen, um Sie hinters Licht zu führen. Beispielsweise anstelle von
Vor dem Kauf sollten Sie Berichte über die Erfahrungen anderer mit dem Händler lesen. Gute Quellen dafür sind Foren, soziale Medien oder Bewertungen. Sollten andere schlechte Erfahrungen mit dem Anbieter gemacht haben, ist die Wahrscheinlichkeit hoch, dass es sich um einen Betrüger handelt.
Überweisungen auf ein ausländisches Bankkonto sollten Sie stutzig werden lassen.
Benachrichtigen Sie sofort Ihre Bank, wenn Sie glauben, dass Sie Opfer eines Betrugs geworden sind, und sammeln Sie so viele Beweise über die Transaktion wie möglich.
Öffnen Sie keine Anhänge und klicken Sie keine Links von E-Mails, die Sie nicht erwartet haben.
Seien Sie wachsam bei unerbetenen Mails mit dem Angebot, medizinische Ausrüstung günstig zu erwerben, oder aber mit der Aufforderung, persönliche Daten für Gesundheitschecks zu übermitteln: seriöse Unternehmen verlangen sowas niemals per Mail.
Interpol zufolge hat die Behörde bereits in mehr als 30 Covid-19-bezogenen Betrugsfällen in Asien und Europa die lokale Polizei unterstützt. Es wurde eine Purple Notice an alle 194 Mitgliedsstaaten ausgesandt mit der Warnung vor dieser neuen Art von Betrugsmasche.
Was unternehmen nationale Behörden gegen Coronavirus-Scammer, -Hacker und -Phisher?
Angesichts der Flut an Corona-bezogenen Nachrichten ist es schwer zu sagen, was nationale Behörden gegen die Hacking-, Scamming- und Phishing-Versuche während der Krise unternehmen.
In den USA hat die Federal Trade Comission (FTC) folgende Ratschläge herausgegeben:
Legen Sie bei Robocalls, also automatisierten Anrufen, sofort auf. Laut der FTC versuchen Scammer, Coronavirus-Behandlungen und andere Betrügereien per Telefon zu verkaufen. Oft werden dafür aufgezeichnete Nachrichten verwendet.
Gehen Sie nicht Online-Angeboten für Impfungen und Tests auf den Leim. Nur die nationalen Gesundheitsbehörden dürfen solche Tests durchführen. Bislang gibt es zudem keine Impfung gegen Covid-19.
Führen Sie bei sämtlichen Informationen einen Faktencheck durch. Wenn Sie sich nicht sicher sein können, dass die Nachricht stimmt, und sich diese auch nicht validieren lassen kann, nehmen Sie diese nicht für bare Münze.
Überprüfen Sie den potenziellen Online-Verkäufer. Gehen Sie sicher, dass es sich um einen seriösen Anbieter handelt.
Glauben Sie nur Informationen über finanzielle Unterstützung seitens der Regierung, wenn sie von offiziellen Kanälen kommen.
Klicken Sie nicht verdächtige Links und öffnen Sie nicht E-Mail-Anhänge.
Fallen Sie nicht auf E-Mails herein, die angeblich aus offiziellen Kreisen stammen. Wie oben bereits beschrieben, geben sich Betrüger gerne als offizielle Organe wie die WHO oder als Experten aus. Eine Analyse der E-Mail-Adresse hilft.
Spenden Sie nicht vorschnell Geldbeträge. Erst wenn Sie absolut sicher sind, dass der Empfänger seriös ist und das Anliegen real, sollten Sie an der Spendenaktion mitwirken.
Die FTC geht nach eigenen Angaben aktiv gegen Verkäufer vor, die nicht zugelassene oder falsch deklarierte Produkte wie Tees, Öle oder Kolloidales Silber als Coronavirus-Medikamente verkaufen. Seien Sie vor derlei Verkaufsangeboten gewarnt, die vor allem mittels Social-Media-Ads angepriesen werden. Es gibt nach wie vor kein Heilmittel gegen Covid-19, und jeder, der etwas Gegenteiliges behauptet, möchte nur ein Geschäft zu Ihrem Nachteil machen. Auch das BSI hat einen Guide zum sicheren Surfen und dem richtigen Umgang mit Phishing-Mails und -Websites während der Corona-Krise herausgegeben. Sie finden ihn hier.
Was empfiehlt Kaspersky in der derzeitigen Situation?
Wir bei Kaspersky widmen uns Ihrer Online-Sicherheit. Unser Malware-Analyst Anton Ivanov sagt Folgendes zur Lage: „Das Coronavirus, das seit Wochen die Nachrichten bestimmt, wurde und wird von Cyberkriminellen als Köder benutzt. Bislang haben wir nur zehn einzigartige Dateien identifiziert, doch ist das Aufgreifen aktueller Themen als Vorwand ein bekanntes Schema, weshalb wir nochmal einen Anstieg erwarten. Solange Leute sich Sorgen um ihre Gesundheit und die Zukunft machen, sind sie empfänglicher für manipulierte Dokumente, die ihnen helfen oder zumindest eine Besserung der Lage in Aussicht stellen. Dies könnte dafür sorgen, dass noch mehr Malware verbreitet wird.“
Das sind Kasperskys Empfehlungen, um während der Coronavirus-Pandemie online sicher zu surfen
Öffnen Sie keine verdächtigen E-Mails und klicken Sie nicht auf verdächtige Links, die exklusive und nützliche Covid-19-Inhalte in Aussicht stellen.
die exklusive und nützliche Covid-19-Inhalte in Aussicht stellen. Prüfen Sie die Dateierweiterungen von heruntergeladenen Dateien. Dokumente und Videos nutzen weder .EXE noch .BAT als Endung.
Dokumente und Videos nutzen weder .EXE noch .BAT als Endung. Kaufen Sie nicht aus unsicheren oder unseriösen Quellen . Kaufen Sie auch nicht Produkte von Leuten, die sie direkt kontaktieren.
. Kaufen Sie auch nicht Produkte von Leuten, die sie direkt kontaktieren. Beschaffen Sie sich Informationen ausschließlich von offiziellen, glaubwürdigen Quellen.
Schützen Sie sich mit einer verlässlichen und sicheren Antivirus-Software-Suite, zum Beispiel Kaspersky Anti-Virus auf all Ihren Systemen.
Welche Sicherheitslösungen schützen vor Online-Gefahren wie diesen?
Kaspersky Anti-Virus
Kaspersky Internet Security for Android
Kaspersky Internet Security
Kaspersky Total Security
Kaspersky Security Cloud
Kaspersky Endpoint Security
Weitere Artikel zum Thema Online-Betrugsmaschen
Was sind gefälschte Webseiten, und wie lassen sie sich vermeiden?
Sichere Bankgeschäfte im Internet – es geht um Ihr Geld
Top 6 der Online-Betrugsmaschen: So werden Sie nicht zum Opfer
So schützen Sie sich vor Scam und Phishing
Was ist eigentlich Scam?
Scam ist eine Form von Betrug, bei der Au-pair oder Gastfamilie in den meisten Fällen per E-Mail kontaktiert werden. In der E-Mail werden Sie um die Zahlung von Geld gebeten, meist als angebliche Vorausleistung.
Der Absender der E-Mail gibt dabei vor, eine so genannte Travel Agency (Reiseagentur) zu sein, die Formalitäten wie Visum und Flug für das Au-pair oder die Gastfamilie abwickelt. Für diese Leistung fordert sie einen Vorschuss. In einigen Fällen bittet auch ein vermeintliches Au-pair oder eine vermeintliche Gastfamilie um Geld. Beispielsweise für eine Arbeitserlaubnis oder die Reise. Die falschen Au-pair oder Gastfamilien geben dabei häufig vor, aus Großbritannien oder Amerika zu sein – die beliebtesten Länder.
Bezeichnend für diese E-Mail ist zudem, dass die darin gemachten Angebote zu gut erscheinen, um wahr zu sein. Beispielsweise ähnelt die Beschreibung des Au-pair dem einer Super-Nanny. Oder die Gastfamilie bietet ein überdurchschnittlich hohes Taschengeld an.
Unsere Tipps:
Niemals Geld im Voraus an eine fremde Person überweisen. D. h. kein Geld per Western Union oder Money Gram und kein Geld an eine sogenannte Travel Agency überweisen!
Kein Bankkonto für eine andere Person einrichten!
Unseriöse Mails nicht beantworten und an unseren Support weiterleiten.
Vorsicht bei Anfragen über soziale Netzwerke und Angeboten, die zu gut erscheinen, um wahr zu sein.
Haben Sie eine seltsame E-Mail erhalten? Lesen Sie mehr über die üblichen Scam-Methoden.
Im Zweifelsfall immer unseren Support kontaktieren.
Was ist Phishing?
Unter Phishing versteht man den Versuch, über gefälschte Websites oder E-Mails an die Daten eines Users (z.B. Passwörter und Zugangsdaten) zu gelangen. Diese Daten können sie dann dazu nutzen, um sich in das betreffende Profil einzuloggen. Weitere Informationen zum Thema Phishing erhalten Sie auf der Website des Bundesamt für Sicherheit in der Informationstechnik.
So schützen Sie sich von Phishing:
