Mit Social Hacking (auch Social Engineering) versuchen Cyberkriminelle, Mitarbeitende von Unternehmen über zwischenmenschliche Kommunikation, wie etwa mit gefälschten E-Mails (Phishing E-Mails), zu beeinflussen. Ihr Ziel ist es, die Opfer zur Preisgabe von vertraulichen Informationen zu bewegen, um Zugang zur IT-Infrastruktur des Unternehmens zu bekommen.
Erfolgreiche Social Hackers gehen sehr zielorientiert vor: Sie bespitzeln das persönliche Umfeld ihres Opfers und täuschen anschliessend via E-Mail-Phishing, Telefonanruf und Messenger-Dienste Identitäten vor oder nutzen menschliche Verhaltensweisen wie Autoritätsrespekt aus, um geheime Informationen zu erlangen.
Ein typisches Beispiel ist die Kontaktaufnahme eines Social Hackers mit einem Mitarbeitenden via E-Mail mit dem Hinweis, dass dessen E-Mail-Konto Schadsoftware verbreitet oder zur Promotion von schädlichen Internet-Seiten verwendet wird und damit ein Sicherheitsrisiko darstellt. Um das scheinbare Problem zu lösen, wird der Mitarbeitende aufgefordert, eine Support-Hotline anzurufen oder eine E-Mail zu senden und dabei sensitive Informationen weiterzugeben, die den Angreifern Zugang zum Firmennetzwerk verschaffen.
Häufige Methode: Phishing E-Mail
Eine der am häufigsten auftretenden Formen von Social Hacking ist E-Mail-Phishing. Fingierte, professionell aufgemachte E-Mails vermitteln bei dieser Methode den falschen Eindruck, von vertrauenswürdigen Organisationen oder Unternehmen zu stammen, mit denen das eigene Unternehmen oft auch in einer Beziehung steht. Mit E-Mail-Phishing verfolgen Angreifer meist das Ziel, Login-Daten oder Kreditkarteninformationen von ihren Opfern abzuschöpfen und gefährden so die Cyber Security des Unternehmens.
Die angewandten Phishing-Methoden entwickeln sich zwar ständig weiter, dennoch begegnet man in der Regel folgenden Angriffsmustern:
- Betrügerische Links und Websites
Im E-Mail eingebettete Links leiten Nutzer zu einer ungesicherten Website eines vermeintlich vertrauenswürdigen Anbieters weiter. Diese Site fragt sensitive Informationen ab. - Vorgetäuschte Absenderadresse
Absenderadressen in E-Mails werden so manipuliert, dass sie
einen vertrauenswürdigen Absender vortäuschen, um beim
Nutzer sensitive Daten abzufragen
Erkennen und Abwehren von Phishing-Angriffen
Die nachfolgenden Merkmale von Phishing-E-Mails, ermöglichen den Mitarbeitenden, potenzielle Angriffe in 20 Sekunden zu erkennen. Sie können einzelne oder kombiniert auftretende Merkmale sein:
Merkmal #1: Verwechselbare E-Mail-Absenderadresse
Um ein Phishing-E-Mail zu erkennen, genügt häufig ein Blick auf die Absenderadresse. Angreifer verwenden oft eine E-Mail-Adresse, welche leicht mit einem bekannten Unternehmen verwechselt werden kann. Ein Phishing-E-Mail von Microsoft könnte die Absenderadresse info@micosoft.com enthalten – das «r» im Wort «Microsoft» fehlt. Oder die Extension der E-Mail-Adresse wird angepasst und beispielsweise als info@adobe.net.com anstatt als info@adobe.com dargestellt.
Auch E-Mails, die keine weiteren Kontaktinformationen ausser der E-Mail-Adresse des Absenders enthalten, sind verdächtig.
Merkmal #2: Hohe Dringlichkeit
Um Mitarbeitende dazu zu drängen, Informationen preiszugeben, werden sie über ein Phishing-E-Mail mit dem Auftritt eines bekannten Dienstleisters (Bank, Softwareanbieter, Transportfirma etc.) aufgefordert, dringend einen Link im E-Mail anzuklicken und die Kontoinformation des Nutzers beim vermeintlichen Dienstanbieter zu bestätigen. So droht etwa ein Phishing-Email, das vortäuscht von einer Bank zu stammen damit, dass das Konto sofort gesperrt wird, falls die Kontoinformationen oder die Zahlungsinstruktionen nicht innerhalb von 24 Stunden bestätigt werden. Die Mitarbeitenden sollen grundsätzlich keine Kontoinformationen, Login-Daten oder persönliche Informationen via E-Mail versenden.
Merkmal #3: Link zu einer gefälschten Website
Um eine gewünschte Kontoinformation zu bestätigen, enthalten Phishing-E-Mails in vielen Fällen einen Link, der den Eindruck vermittelt, auf eine bekannte Original-Unternehmenswebsite zu führen. Manche Links sind unsichtbar in einzelnen Textsequenzen hinterlegt – um diesen zu sehen, genügt es den Cursor auf dem Text mit dem hinterlegten Link zu platzieren, um festzustellen, ob dieser auf eine gefälschte Website führt. Häufig ist die Schreibweise der Website-URL zum Verwechseln ähnlich wie die Original-URL des vorgegebenen Unternehmens. Im Zweifelsfall sollen diese Links nicht angeklickt und auch keine Anhänge des E-Mails geöffnet werden.
Merkmal #4: Keine persönliche Anrede
Da Angreifer oft eine hohe Menge von E-Mails gleichzeitig an zahlreiche Empfänger versenden, fehlt häufig die persönliche Anrede. E-Mails die keine personalisierte Begrüssung enthalten (z.B. nur «Hallo», «Hi», «Lieber Kunde» etc.), sollen von den Mitarbeitenden mit Vorsicht behandelt und auf weitere verdächtige Hinweise überprüft werden. Allerdings gelingt es den professionell agierenden Angreifer mittlerweile, auch eine glaubwürdige persönliche Anrede einzusetzen.
Merkmal #5: Fehlerhafte Rechtschreibung oder Grammatik
E-Mail-Texte mit Rechtschreibe- und Grammatikfehler oder einem ungepflegten Layout, können auf ein Phishing-E-Mail hindeuten. Weitere verdächtige Hinweise sind zu überprüfen.
Besondere Vorsicht ist bei E-Mails geboten, die gleich mehrere der obigen Merkmale in sich vereinen. Besteht ein Verdacht auf ein Phishing-E-Mail, ist dieses umgehend zu löschen oder, falls vorhanden, der interne oder externe IT-Support beizuziehen. Gleichzeitig bleibt es wichtig, die IT-Infrastruktur und die einzelnen Endgeräte laufend zu aktualisieren: Einen wesentlichen Beitrag zur Abwehr von Cyberangriffen leisten ein aktuelles Betriebssystem und die neuesten Software-Updates sowie Antivirus- und Malware-Schutzprogramme, die permanent auf dem aktuellen Stand gehalten werden.
Da dies für ein KMU mit entsprechend hohem Aufwand verbunden sein kann, soll das KMU den Einsatz eines Dienstleisters für Managed IT Services prüfen. Dieser aktualisiert die jeweiligen IT-Komponenten des Unternehmens unmittelbar nach Erscheinen eines Updates. Wenn der IT-Dienstleister über genügend Erfahrung mit den Gegebenheiten eines KMU verfügt, ist er zusätzlich auch in der Lage, das Unternehmen in sämtlichen weiteren IT-Belangen vertrauensvoll zu begleiten.
Titelbild: Shutterstock
.png){kind=icon}
