Phishing, die neue Geisel der Menschheit. Wie groß ist die Bedrohung wirklich und was kann man dagegen tun. Welche Bedrohungen gibt es und welche Lösungsansätze kommen in Frage?
Cyberangriffe: Warum Phishing der unterschätzte Feind ist!
9. Oktober 2020 -Die COVID19 Pandemie hat die Arbeitswelt verändert. Viele von uns sind auch diesen Herbst wieder im Homeoffice. Cyberangriffe sind gerade dadurch noch interessanter geworden. Phishing ist in aller Munde, doch was ist das genau und was kann ich tun, damit ich kein Opfer von Phishing werde?
Phishing die neue Geisel der Menschheit
Homeoffice eröffnet ein Fenster der ungeahnten Möglichkeiten für Cyberangriffe aller Art. Die Zahlen belegen, dass die Zahl der Angriffe ständig steigt. Besonders dramatisch ist die Zunahme beim Phishing. Das BSI (Bundesamt für Sicherheit in der Informationstechnik) hat für dieses Phänomen eine eigene Informationsseite gewidmet.
Phishing von Kreditkartendaten.
Leider beschränkt das BSI diese Form des Angriffs auf den privaten Bereich. Tatsächlich wird die Kombination von Social Engineering und dem Umleiten auf perfekt gefälschte Webseiten bekannter Software-Anbieter, Finanzinstitutionen oder Behörden dazu missbraucht, nicht nur Daten privater Nutzer abzugreifen. Immer häufiger sind Attacken zwei- und mehrstufig. Das kann so ablaufen:
- Phishing der Benutzerzugriffsdaten auf dem Smartphone oder Tablet
- Anmeldung im Intranet seines Arbeitgebers und Einschleusung einer Schadsoftware
- Anlage weiterer Benutzer, Infektion weiterer Systeme
- Starten der schlafenden Attacke durch einen Call von außen
Zwischen diesen Schritten können längere Zeiträume verstreichen. Die gefakten Emails und Webseiten werden immer besser und das Social Engineering immer raffinierter.
Das BKA (Bundeskriminalamt) meldete Anfang Mai 2020 eine bundesweite Phishing-Welle im Zusammenhang mit der COVID19 Pandemie.
Diese Erfahrung deckt sich mit dem jüngsten Bericht des markt- und technologieführenden Herstellers Lookout, der sich auf die Sicherung von Smartphones und Tablets spezialisiert hat. Während Ende des Jahres 2019 ca. 16% der gesicherten Mobilgeräte abgewehrte Phishing-Attacken meldeten, waren es im ersten Quartal 2020 bereits ca. 22%.
Doch in Deutschland ist das Bewusstsein für Cyber Security immer noch sehr gering, so hatten 2019 nur 31% der Betriebe Cybersicherheit bereits umgesetzt und nur 35% sehen es als wichtigen Trend. Der Oktober ist den USA der „Cyber Security Awareness Month“ – er wird von der CISA (Cyber Security & Infrastructure Security Agency) und der NCSA (National Center for Supercomputing Applications) 2020 bereits zum 17. Mal ausgerichtet. In Europa findet der European Cyber Security Month(ECSM) erst zum 8. Mal statt.
Es ist davon auszugehen, dass die Angriffswellen nicht nachlassen werden. Die Welt befindet sich in einem Cyberkrieg, und die Beteiligten kommen zwar auf Samtpfoten angeschlichen, haben aber keine Samthandschuhe an und kennen keinerlei Skrupel.
Was ist Phishing?
Phishing verfolgt das Ziel, sich Zugangsdaten von Internetusern illegal zu „fischen“ (engl. fishing) und diese dann für kriminelle Handlungen, meisens Identitätsdiebstahl, zum Schaden des Users zu verwenden. Es erfolgt über gefälschte Webseiten, Emails, Kurznachrichten oder Soziale Medien – dabei werden vetrauenswürdige Inhalte täuschend echt nachgeahmt um an die persönlichen Daten des Opfers zu gelangen. Phishing nutzt die Gutgläubigkeit der User aus, ein aktuelles Beispiel sind täuschend echte, aber gefälschte PayPal Emails. Es ist eine Form des Social Engineering.
Dropped Attacks – die fiesen Tricks mit dem USB Stick
Auf einmal liegt ein herrenloser USB Stick auf dem Tisch im Büro, im Besprechungszimmer oder im Speisesaal. Vielleicht ist er auch in der Rekreationsecke deponiert. Das Spiel mit der Neugierde hat zu oft schon funktioniert. Warum nicht heute wieder? Man kann auf solche Sticks auch an Messeständen, in Hotelbars, in Travel-Lounges und in Hotelzimmern hereinfallen. Das Schlimme ist: Nach dem Einstecken in den USB-Anschluss und dem Einlesen kann das Malheur schon passiert sein.
Der fiese Trick mit infiziertem Stick ist ebenfalls Teil des Social Engineerung, mit dem Angreifer sehr erfolgreich versuchen den Zugang zu Systemen zu gewinnen. Es geht immer um Angst, Neugier und Gier. Man könnte etwa etwas versäumen, es könnte einem etwas entgehen. Der Trick ist plump, aber erfolgreich. Der Mensch, der unterwegs ist, setzt sich vielfältigen Gefährdungen aus. Die Fachleute nennen die Reaktion der Angreifer darauf die Ausnutzung von Risikovektoren.
Es versteht sich von selbst, dass moderne Schutzmechanismen beides vereinen müssen: Bequemlichkeit und Schutz. Einfach die USB-Ports zu deaktivieren reicht nicht. Da ist schon mehr erforderlich.
Die globale Bedrohungslage
In unserem Blogbeitrag „Cyberangriffe aus China – wie sich eine Wirtschaftsmacht Wissen erschleicht“ haben wir uns bereits damit auseinandergesetzt. Die beiden Grafiken zeigen die Akteure und ihre Angriffsmethodik.
Wie schnell war welche Attacke?
Wie schnell war welche Cyberattacke? – Quelle: Crowdstrike.com
Die Angreifer haben durchaus nicht nur finanzielle Ziele. Neben der klassischen Ransom-Ware-Attacke, bei der IT-Systeme verschlüsselt werden und in Aussicht gestellt wird, bei Lösegeld diese wieder freizugeben, wird auch mit ganz anderen Zielen angegriffen:
- Wissensbeschaffung und Diebstahl von Firmen- & anderen Geheimnissen
- Störung des Betriebs, um Wettbewerber zu schädigen oder politische Unruhe zu verbreiten
- Bestrafung staatlicher Handlungen aller Art mit Cyberattacken seitens des sich zu Unrecht schlecht behandelt Fühlenden
- Zerstörung von Fertigungsanlagen, Infrastruktur- und Verteidigungseinrichtungen, um den Gegner, der zum Feind erklärt wurde, zu schädigen
Es sind also bei weitem nicht mehr nur private Akteure oder die sog. „Ethical Hacker“ – diese sind die Minderheit. Inzwischen agieren Staaten mit eigenen Kräften oder über die Beauftragung entsprechender „Spezialisten“. Im Darknet kursieren Preislisten für Hacks aller Art. Der Cyberangriff ist heute ein Business, ein eiskalt kalkuliertes Geschäft – sehr ertragreich und ziemlich kriminell.
Einen guten Einblick in die aktuelle Lage geben die Berichte der führenden Anbieter auf dem Gebiet der Cyberabwehr: Decade of the RATs und 2020 Threat Report . Die finanzielle Seite betrachtet der Allianz Risk Report 2020. Seine Überschrift lautet treffender Weise: „Cyber steigt zum weltweiten Top-Risiko für Unternehmen auf“.
Die Waffe gegen Phishing:
Cybersicherheit ganzheitlich denken
Cyber Security ist eine logische Erweiterung unseres Angebots für Sichere mobile Umgebungen – sie bringt mehrere Aspekte unseres Portfolios unter einen Hut. Unser ganzheitlicher Ansatz beinhaltet folgende Elemente.
Cyber Security Ansatz der SYSTAG mit den Elementen der mobilen sicheren Umgebung (dunkelgrau)
Sicherheit wird zum übergreifenden Konzept jedes IT-Betriebs. Sie stellt eine wichtige Querschnittsfunktion dar, die dafür sorgt, dass existenzbedrohende Angriffe aus dem Cyberraum mit allen notwendigen und verfügbaren Mitteln von Unternehmen entdeckt und abgewehrt werden.
Unser Portfolio besteht aus folgenden Elementen:
- Prevention – Vorsorge durch geeignete KI-basierte Software-Lösungen
- Endpoint Threat Detection & Response – (EDR) Endpunktinfektionen Erkennen und Behandeln
- Cyber Security Consulting Services – Cybersicherheits-Beratung und -Unterstützung
- Cyber Security Assessments – Bedrohungsanalysen
- Incidents Response Services – Hilfe bei Notfällen
In den kommenden Wochen folgen weitere Blogbeiträge zum Thema „Cyberangriffe“ – unser nächstes Thema Ransomware.
