Social Engineering

2022_umgang_inet_02_social_engineering.pdf

Beim Phishing via E-Mail wird der „Köder“ via E-Mail versendet. Meistens wird die E-Mail an sehr viele Empfänger:innen verschickt, in der Hoffnung, dass ein kleiner Teil „anbeisst“. Es ist quasi ein Fischen mit grossem (aber durchlässigem) Netz. Ziel ist dann, vertrauliche Daten wie Passwörter oder Informationen zum Bankkonto von möglichst vielen Personen zu sammeln. Die gesammelten Daten können dann beispielsweise an Andere verkauft oder für spätere, gezieltere Attacken (siehe unten) genutzt werden.

Die E-Mail enthält oft einen Link: Dieser führt zum Beispiel auf eine Login-Seite, die vertraut aussieht, aber gefälscht ist: Ich erhalte die Mail, klicke auf den Link, gelange auf eine mir bekannt erscheinende Seite und gebe meine Login-Daten ein. Nur war das eben eine gefälschte Seite – jetzt sind mein Benutzername und Passwort in den Händen der Betrüger:innen.

Damit möglichst viele Leute den Anweisungen in der E-Mail folgen, werden verschiedene Methoden verwendet. Zum Beispiel enthält die Mail eine dringende Aufforderung, einen Hinweis auf eine mögliche Gefahr – oder ein Versprechen auf eine einmalige Gelegenheit. Oder es sieht so aus, als stamme die E-Mail von einem Freund, einer Freundin oder einem Familienmitglied. Der Trick besteht immer darin, eine Situation zu schaffen, in der die Empfänger:innen handeln, ohne lange zu überlegen.

Weshalb funktioniert das dennoch bloss bei einem kleinen Teil der Empfänger:innen? Der Hauptgrund hierfür liegt darin, dass E-Mail-Anbieter Spam-Filter haben und die meisten Phishing-Mails gar nicht erst gelesen werden. Ausserdem sind viele dieser Phishing-Mails nicht besonders sorgfältig und überzeugend gestaltet. Das hat damit zu tun, dass es relativ einfach ist, eine Phishing-Attacke zu starten, wie etwa dieses Video zeigt. Viele von uns erhalten täglich mehrere E-Mails; wenn sich darunter eines befindet, das irgendwie „fishy“ aussieht, haben wir wenig Mühe damit, es einfach zu ignorieren. Dennoch ist grundsätzlich Vorsicht und Skepsis angebracht: Manche Phishing-Mails sind so gut gemacht, dass wir leicht auf sie hereinfallen.

Eine Spear-phishing-Attacke richtet sich gezielt auf eine einzelne Person (wie auch beim Fischen mit Wurfspiess (spear) nach genau einem Fisch gezielt wird). Handelt es sich dabei um eine besonders „wichtige“ Person, etwa um die oder den CEO einer Firma, spricht man auch von Whaling (Walfang): man hat es auf ein besonders grosses Tier abgesehen. Weshalb?

Meistens deshalb, weil die Zielperson besondere Befugnisse, Zugänge zu wichtigen Informationen oder viel Einfluss hat. Einzelne Mitarbeitende in der Buchhaltungsabteilung einer Firma haben beispielsweise die Befugnis, grosse Geldsummen auf andere Konten zu überweisen. Mit den richtigen Zugangsdaten einer solchen Person kann die Angreifer:in die besonderen Befugnisse oder den Einfluss der Person für eigene Zwecke nutzen.

Wer eine Attacke auf bloss eine Person startet, erhofft sich natürlich eine grössere Erfolgsquote als mit der Massen-E-Mail-Methode. Um die Chancen zu erhöhen, dass die Zielperson „anbeisst“, wird die E-Mail genau auf sie zugeschnitten. Das geht umso besser, je mehr die Angreifer:in über die Zielperson weiss. Nach nützliche Informationen kann zum Beispiel auf Social-Media-Plattformen wie LinkedIn, Instagram oder Facebook recherchiert werden.

CEO Fraud: Gewinnt eine Hacker:in ausreichend Einblick in die Organisation einer Firma sowie Informationen über die Namen und E-Mail-Adressen der Angestellten, so könnte sie oder er versuchen, E-Mails an bestimmte Mitarbeitende zu versenden, deren Absender scheinbar die oder der CEO dieser Firma ist (oder eine Person in ähnlich hoher Position). Dann erhält zum Beispiel ein:e Mitarbeitende:r in der Buchhaltungsabteilung plötzlich eine Mail vom CEO, in der steht, dass SOFORT, noch innerhalb der nächsten Minuten, die schon lange versäumte Zahlung über 50'000 Franken an X mit Kontonummer Y gezahlt werden soll. Weil hier sowohl hohe Autorität als auch hohe Dringlichkeit vorgetäuscht wird, kann es passieren, dass Mitarbeitende den Anweisungen in der Mail folgen, obwohl es Regeln gäbe, die so unvorsichtiges Handeln verhindern sollten.