Tipps gegen gezielte Phishing-Attacken
Aktuelle Phishingwellen beweisen es – die Cyberkriminellen sind kreativ. Nun muss man sich zum Beispiel auch vor Phishing-SMS-Nachrichten in Acht nehmen. Ein paar Handlungsempfehlungen.
Noch einmal die Kurzdefinition von Phishing: Cyberkriminelle legen das Opfer herein, damit dieses etwas auf elektronischem Weg preisgibt (was eigentlich nicht in fremde Hände gehört). Auch wenn nach intensiver Aufklärung viele Nutzer offensichtliche Phishing-Attacken erkennen, so bleibt diese Art der Cyberkriminalität dennoch eine lästige Geissel. Denn auch Phishing-Attacken haben sich weiterentwickelt. Heutzutage gilt gezieltes Phishing, so genanntes Spear-Phishing, als krimineller Standard. Die Angreifer betreiben viel Aufwand für jede einzelne E-Mail, um diese so echt und glaubwürdig wie möglich wirken zu lassen.
Sophos hat effektive Tipps für Nutzer und die IT herausgearbeitet, wie man mit Phishing-Emails umgehen kann.
Handlungsempfehlungen für jeden Nutzer
- Nicht beeinflussen lassen: Auch ein Unbekannter kann sich mühelos als „Insider“ präsentieren. Der Freund eines Freundes, ein ehemaliger Kollege etc. Mit einer Kombination aus gesammelten Informationen (aus früherem Datendiebstahl, Social-Media-Profilen und alten E-Mails, sei es als Empfänger oder Sender) schafft es auch ein Krimineller ohne grosse finanzielle Unterstützung und technischen Verstand, glaubwürdiger zu klingen als jede „Lieber Kunde“-E-Mail.
- „Dringend“ sollte misstrauisch machen: Ein grosser Anteil an E-Mail-Betrug funktioniert, weil Kriminelle das Vertrauen des Opfers erlangen oder sie sich als eine Autorität darstellen (z.B. Vorgesetzte). Die „dringend zu erledigende Aufgabe“ wird oft mit Schmeicheleien kombiniert. „Vertraulich“ und „nur für den Adressaten bestimmt“ isolieren das Opfer zusätzlich. Solche Vertraulichkeit sollte man als verdächtig einstufen.
- Den Details des E-Mailsenders nicht vertrauen: Man könnte der irrigen Auffassung unterliegen, dass die Betrüger alles daransetzen, das Opfer nicht zu ermutigen, sie genau unter die Lupe zu nehmen. Aber manchmal ist das Gegenteil der Fall, indem sie aktiv um Rückruf oder Antwort drängen – als Teil des Betrugs. Damit gibt man ihnen aber genau die Gelegenheit, das Opfer mit ihren Lügen zu überzeugen, und geht ihnen in die Falle.
- Niemals den Anweisungen in einer E-Mail folgen: Eine übliche List von Phishing-Betrügern liegt im Verbergen von schadhaften Inhalten. Macros, datenentwendende Software, ist ein solches Beispiel. Die harmlos erscheinende E-Mail wird mit einem Vorwort versehen, wie diese „korrekt“ anzusehen sei, indem man verschiedene Einstellungen verändert. Normalerweise sind diese Instruktionen recht plausibel, aber die Betrüger locken den Adressaten so geschickt, dass gerade die Funktionen, die ihn schützen sollen, ausgehebelt werden.
- Zweitmeinung einholen: Das Vier-Augen-Prinzip ist nicht nur bei Rechtschreibung und Grammatik nützlich, sondern auch bei der Bewertung ominöser Phishing-E-Mails. Deswegen setzen die Betrüger auf den Vertraulichkeitseffekt, um diese Kontrolle zu umgehen.
Handlungsempfehlungen für die IT
Neben diesen Erste Hilfe-Hinweisen für jeden Nutzer, hat Sophos auch noch einmal drei Bonus-Tipps für die IT-Abteilung zusammengefasst:
- Festlegen einer zentralen Kontaktstelle für Cyber-Security-Fälle
Viele Spear-Phishing-Angriffe sind erfolgreich, weil Mitarbeiter unbedingt das Richtige machen wollen – ganz im Sinne von hilfsbereitem Kundenservice. Durch das Initiieren einer festen Report-Stelle (z.B. eine interne E-Mail-Adresse wie security-report@example.org) erhalten die Mitarbeitenden eine einfache Möglichkeit, um nach Sicherheitsrat zu fragen. Und zwar lieber BEVOR, statt nach einer verdächtigen E-Mail!
- Cybersicherheit sollte keine Einbahnstrasse sein.
Auch bestgeschützte Webseiten können angegriffen werden, und wenn einem Mitarbeiter etwas Auffälliges ins Auge sticht, sollte man ihn ernst nehmen und nicht auf die IT-Hoheit verweisen. Besser einmal mehr vor- als nachgesorgt.
- Phishing-Simulationen als Trainingslager
Das Trainieren mit Phishing-E-Mails kann die Mitarbeitenden im Unternehmen unterstützen. Es gibt mittlerweile explizite Trainings-Tools, die Phishing-Attrappen ohne schadhafte Folgen zum Üben verwenden. Wichtig ist, sie als Werkzeug zur Verbesserung und nicht zur Kontrolle zu verstehen. Denn die Betrüger werden nicht müde, täglich neue Nutzer zu Opfern immer weiter entwickelter Phishing-Attacken zu machen.
Quelle: Sophos / TC Communications
