Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen der Seite angezeigt.

--- gf_informatik:umgang_inet_sca:social_engineering [2026-06-15 09:05] – [Artikel 1: Phishing via Mail] sca
+++ gf_informatik:umgang_inet_sca:social_engineering [2026-06-15 09:11] (aktuell) – [Social Engineering] sca
@@ Zeile 1: / Zeile 1: @@
 ====== Social Engineering ======
-{{ :gf_informatik:umgang_inet_sca:2022_umgang_inet_02_social_engineering.pdf |}}
+{{ :gf_informatik:umgang_inet_sca:gfif_social_engineering.pdf |Slides Social Engineering}}
 ===== Artikel =====
@@ Zeile 25: / Zeile 25: @@
 **CEO Fraud:** Gewinnt eine Hacker:in ausreichend Einblick in die Organisation einer Firma sowie Informationen über die Namen und E-Mail-Adressen der Angestellten, so könnte sie oder er versuchen, E-Mails an bestimmte Mitarbeitende zu versenden, deren Absender scheinbar die oder der CEO dieser Firma ist (oder eine Person in ähnlich hoher Position). Dann erhält zum Beispiel ein:e Mitarbeitende:r in der Buchhaltungsabteilung plötzlich eine Mail vom CEO, in der steht, dass SOFORT, noch innerhalb der nächsten Minuten, die schon lange versäumte Zahlung über 50'000 Franken an X mit Kontonummer Y gezahlt werden soll. Weil hier sowohl hohe Autorität als auch hohe Dringlichkeit vorgetäuscht wird, kann es passieren, dass Mitarbeitende den Anweisungen in der Mail folgen, obwohl es Regeln gäbe, die so unvorsichtiges Handeln verhindern sollten.
+==== Artikel 3: Vishing ====
+**Vishing** steht für **V**oice ph**ishing** und bezeichnet das Vorgehen, Phishing-Attacken via Telefon-Kommunikation durchzuführen. Die **Vorteile** (aus Sicht der Betrüger:innen) gegenüber dem Phishing via Mail liegen unter anderem im höheren **Vertrauen** gegenüber dieser Art von Kommunikation sowie in der **Unmittelbarkeit** eines direkten Gesprächs.
+Das **Vertrauen** gegenüber der Telefon-Kommunikation ist vor allem bei älteren Menschen höher: Lange war es in der Telefon-Kommunikation so, dass jeder Anschluss einer //bestimmten// Person, einem Haushalt, einem Geschäft oder einer Firma zugeordnet war, die für diesen Anschluss auch //bezahlen// musste. Es lohnte sich kaum, grössere Betrugs-Aktionen via Telefon zu starten, denn es war schwierig, anonym zu bleiben und jedes Telefongespräch musste bezahlt werden. Das Telefongespräch galt deshalb lange als eine verbindliche und vertrauenswürdige Form der Kommunikation: Wir vertrauen gewöhnlich darauf, dass die anrufende Person auch die ist, für die sie sich ausgibt. Dieses Vertrauen wird heute ausgenutzt. Heute ist es dank [[https://de.wikipedia.org/wiki/IP-Telefonie|Voice over IP (VoIP)]] möglich, //kostenlos// zahlreiche Menschen anzurufen. Und dank [[https://de.wikipedia.org/wiki/Call_ID_Spoofing|Caller ID spoofing]] ist es möglich, dabei //anonym// zu bleiben.
+Der "Vorteil" der **Unmittelbarkeit** des Telefongesprächs liegt auf der Hand: Bei einer E-Mail muss ich nicht sofort antworten und habe Zeit, über das Geschriebene nachzudenken oder mit jemandem darüber zu sprechen. Beim Telefongespräch wird erwartet, dass ich sofort antworte, sofort ja oder nein sage, sofort irgendwelche Daten von mir preisgebe. Vishing-Betrüger:innen nutzen diese Situation. Indem sie beispielsweise mit schlimmen Konsequenzen((Zum Beispiel: //"Es gibt eine Sicherheitslücke beim Zugang zu Ihrem Online-Banking."// oder //"Sie haben zu wenig Steuern bezahlt, es droht ein Haftbefehl."//)) drohen oder mit hohem Gewinn locken, bringen sie ihre Opfer am anderen Ende umso leichter zur Preisgabe vertraulicher Daten.
+Wie beim Phishing via E-Mail gibt es auch beim Vishing unterschiedliche Ansätze. Einerseits automatisierte **Massen-Anrufe** (Netzfischen) mit kleiner Erfolgsquote. Oft werden hier Text-to-speech-Systeme verwendet: Am anderen Ende spricht ein Computer und fordert dazu auf, eine bestimmte Nummer anzurufen. Wer diese Nummer wählt, ruft dann die Betrüger:innen an. Ein Beispiel hierfür ist der [[https://en.wikipedia.org/wiki/IRS_impersonation_scam|IRS impersonation scam]]. Andererseits gibt es gezielte **Einzel-Anrufe** (Wurfspiess-Fischen), denen teilweise ausgiebige Recherchen über das Opfer vorausgehen. Die Recherchen ermöglichen den Betrüger:innen, sich als Personen oder Vertreter:innen von Organisationen auszugeben, die dem Opfer bekannt und vertraut sind.
+**Smishing** ist das Ph**ishing** via **SM**S. Wie beim E-Mail-Phishing enthalten die Nachrichten meistens eine Aufforderung, einem Link zu folgen oder auch eine bestimmte Nummer anzurufen. "Vorteile" gegenüber dem E-Mail-Phishing bestehen unter anderem darin, dass den Nachrichten kaum Spam-Filter im Wege stehen. Auf dem Smartphone, auf dem die SMS gelesen wird, ist es ausserdem nicht so bequem möglich, die tatsächliche Adresse hinter einem Link anzuzeigen. Bekannte Beispiele für Smishing sind SMS, die angeblich von Lieferdiensten wie UPS oder DHL stammen. Beispielsweise wird mitgeteilt, dass ein Paket nicht geliefert werden könne und man – "unter diesem Link" fehlende Angaben ergänzen soll.
+==== Artikel 4: Baiting ====
+Das klassische Baiting ("Ködern") mit physikalischen Datenträgern wie CD-ROMs oder USB-Sticks war verbreiteter, als diese noch öfter in Gebrauch waren, aber [[https://www.inside-it.ch/de/post/fin7-bande-verschickt-usb-sticks-mit-ransomware-20220111|kommt auch]] [[https://www.ncsc.admin.ch/ncsc/en/home/aktuell/im-fokus/2023/cybertipp-rubberducky.html|heute noch vor]]. Die Idee: Die Betrüger:innen, die sich beispielsweise Zugang zum IT-System einer bestimmten Firma verschaffen wollen, verteilen beispielsweise schöne neue USB-Sticks in der Nähe des Firmengeländes.
+Oder sie lassen an geeignetem Ort eine CD liegen, die zum Beispiel mit "Lohntabelle 2025" beschriftet ist. Einige Mitarbeitende, erfreut über das neue Gerät oder überaus neugierig auf die vermuteten Informationen, verbinden den USB-Stick mit ihrem PC am Arbeitsplatz oder legen dort die CD-ROM ein. Wenn Sie Dateien, die die Hacker:innen darauf platziert haben, öffnen, installieren sie Programme auf einem PC, der in das interne Netzwerk der Firma eingebunden ist. So können sich die Hacker:innen Zugang zu firmeninternen Informationen verschaffen und die IT-Sicherheit von innen angreifen.
+**Phishing mit QR-Codes:** Eine weitere Möglichkeit des Phishing wäre beispielsweise das Verteilen von Plakaten, Flugblättern oder Aufklebern, die einen **QR-Code** enthalten und Neugierde wecken. Vielleicht gibt es tolle Preise zu gewinnen. Die Links hinter den QR-Codes führen dann beispielsweise auf die Seite des Wettbewerbs, für den man sich erst anmelden und einige persönliche Informationen bekannt geben muss.
+Beispiel: [[https://www.tagesanzeiger.ch/bern-luzern-lausanne-twint-betrueger-zu-180-tagen-freiheitsstrafe-verurteilt-262291451847|QR-Codes auf Parkuhren]]