Phishing-Angriffe sind seit der Erfindung der E-Mail eine Notlage für Einzelpersonen und Organisationen. In letzter Zeit sind diese Angriffe ausgefeilter und schwieriger zu erkennen geworden. Phishing-Angriffe sind eine der häufigsten Methoden, mit denen Hacker die Konten und Netzwerke der Opfer infiltrieren. Laut Symantec handelt es sich bei einer von 2.000 E-Mails um Phishing-Angriffe, was bedeutet, dass es täglich 135 Millionen Angriffe gibt .

Während Phishing-Angriffe bereits häufig vorkommen, verzeichnen wir in Krisenzeiten tendenziell einen deutlichen Anstieg. Betrüger nutzen das Chaos und die Verwirrung aus, die durch diese bedeutsamen Ereignisse verursacht werden. Viele Menschen erwarten, E-Mails von offiziellen Quellen wie Expertenorganisationen, Versicherungsunternehmen, Regierungsstellen usw. zu erhalten., verlassen reichlich Gelegenheit für Betrüger ihre „real genug“ E-Mails in den Kampf zu schleichen. Diese scheinbar harmlosen E-Mails sollen Benutzer auf betrügerische Websites umleiten und versuchen, Benutzer zur Eingabe vertraulicher Informationen zu verleiten.

Was ist Phishing?

Einfach ausgedrückt ist Phishing eine Taktik, bei der Betrüger betrügerische E-Mails versenden und versuchen, die Empfänger dazu zu bringen, entweder auf einen schädlichen Link zu klicken oder einen infizierten Anhang herunterzuladen, um ihre persönlichen Daten zu stehlen. Diese E-Mails können von Organisationen wie Einzelhändlern und Banken oder von Einzelpersonen und Teams innerhalb Ihrer Organisation wie HR, Ihrem Chef oder sogar dem CEO stammen.

Wenn Ihre Mitarbeiter die Anzeichen eines Phishing-Betrugs nicht kennen, ist Ihr gesamtes Unternehmen gefährdet. Laut Verizon dauerte es durchschnittlich 16 Minuten, bis das erste Opfer einer groß angelegten Phishing-Kampagne auf eine schädliche E-Mail klickte. Es dauerte doppelt so lange – 33 Minuten -, bis ein Benutzer die Phishing-Kampagne meldete .

Da 91% der Cyberkriminellen über eine erfolgreiche Phishing-E-Mail-Kampagne initiiert werden, könnten diese 17 Minuten eine Katastrophe für Ihr Unternehmen bedeuten.

Häufige Phishing-Angriffsmethoden

Wie oben erwähnt, beginnen die meisten (wenn nicht alle) Phishing-Betrügereien mit einer E-Mail, die so aussieht, als wäre sie von einer legitimen Quelle gesendet worden, aber die Angriffs- und Infiltrationsmethoden können sich von dort unterscheiden. Einige dieser Phishing-Techniken können so einfach sein, wie jemanden dazu zu bringen, auf einen Link zu klicken, um vertrauliche Informationen einzugeben, oder so kompliziert wie das Ausführen einer ausführbaren Datei, die einen legitimen Prozess vortäuscht, der heimlich Zugriff auf Ihren Computer und Ihr Netzwerk erhält, um schädliche Software auszuführen im Hintergrund.

Phishing-Betrügereien verwenden häufig mehrere Methoden der Täuschung innerhalb eines einzigen Angriffs. In der Regel verwenden diese Betrügereien Linkmanipulation und Website-Fälschung in Verbindung, um ihren Betrug so überzeugend wie möglich zu gestalten. Wenn Sie eine Phishing-E-Mail erhalten, sehen Sie als erstes eine scheinbar legitime URL zu einer bekannten und vertrauenswürdigen Website wie Facebook, Amazon, YouTube usw. mit einer Nachricht, die Sie dazu auffordert, auf den Link zu klicken. In diesen Nachrichten werden Benutzer aufgefordert, vertrauliche Informationen einzugeben, indem sie behaupten, dass ein Problem mit ihrem Konto oder ihrer Bestellung vorliegt, das behoben werden muss.

Während der Link wie ein echter „amazon.com “ link, kleine Tippfehler oder Inkonsistenzen mit der Domain zeigen oft ihre wahre Natur. Diese betrügerischen Domains werden oft als Typosquat-Domains bezeichnet. Diese bösartigen Websites sollen der realen Webseite so ähnlich wie möglich aussehen und unscheinbare Opfer dazu bringen, ihre Anmeldeinformationen einzugeben, damit der Hacker sie stehlen und auf der realen Website verwenden kann.

Hacker hängen häufig auch eine legitim aussehende Datei an oder fügen einen Link hinzu, der beim Klicken heimlich schädliche Software herunterlädt, die sich in die Systeme des Opfers einfügt. Diese Angriffe injizieren häufig Malware, die sich als legitime ausführbare Datei tarnt, die im Hintergrund ausgeführt wird und sich seitlich durch das Benutzernetzwerk bewegt, um vertrauliche Informationen wie Bankkonten, Sozialversicherungsnummern, Benutzeranmeldeinformationen und mehr zu stehlen. Manchmal enthält die Malware Ransomware, die sich durch das Netzwerk des Opfers schlängelt und sensible Daten verschlüsselt und exfiltriert, um Lösegeld zu erhalten.

Arten von Phishing-Angriffen

Die häufigste Angriffsmethode von Phishing-Betrügern besteht darin, ein weites Netz zu werfen. Sie senden generische E-Mails von häufig verwendeten Websites an so viele Personen wie möglich, in der Hoffnung, einige dazu zu bringen, auf ihre Tricks hereinzufallen. Während diese Methode effektiv ist, ist es nicht der einzige Weg, dass Phisher einen Haken fangen. Einige Betrüger verwenden präzisere Methoden wie Spear-Phishing, Klon-Phishing und Walfang, um die Arbeit zu erledigen.

Spear-Phishing und Walfang

Wie bei allgemeinen Phishing-Angriffen verwenden Spear-Phishing und Walfang E-Mails von vertrauenswürdigen Quellen, um ihre Opfer auszutricksen. Anstatt jedoch ein breites Netz zu werfen, zielt Spear-Phishing auf bestimmte Personen ab oder gibt sich als vertrauenswürdige Person aus, um Anmeldeinformationen oder Informationen zu stehlen.

Wie Spear-Phishing erstellt der Walfang Kampagnen um ein bestimmtes Ziel, jedoch mit Blick auf einen größeren Fisch. Anstatt auf eine breite Gruppe wie eine Abteilung oder ein Team abzuzielen, kanalisieren diese Angreifer ihren inneren Kapitän Ahab, indem sie ihren Speer auf hochrangige Ziele wie Führungskräfte oder Influencer richten, in der Hoffnung, ihren weißen Wal zu speeren. Waljäger versuchen, sich als Führungskräfte wie CEOs auszugeben, CFOs, der Leiter der Personalabteilung, etc., um Mitglieder einer Organisation davon zu überzeugen, sensible Informationen preiszugeben, die für die Angreifer von Wert wären. Damit eine Walfangexkursion erfolgreich ist, müssen die Angreifer gründlichere Nachforschungen anstellen als üblich, in der Hoffnung, ihren Wal genau zu imitieren. Angreifer versuchen, die Autorität des Wals zu nutzen, um Mitarbeiter oder andere Wale davon zu überzeugen, ihre Anfragen nicht zu prüfen oder in Frage zu stellen.

Anekdotisch wurde ich persönlich von einem Wal-Angriff auf ein früheres Unternehmen angegriffen, bei dem sich ein Betrüger als mein CEO ausgab und nach meiner Telefonnummer fragte, damit sie mich anrufen konnten, um um einen Gefallen zu bitten. Zum Glück hatte die E-Mail viele verräterische Anzeichen von Betrug. Das offensichtlichste ist, dass das Büro des CEO nur 10 Fuß von meinem Schreibtisch entfernt war, also hätte er leicht hinübergehen können, wenn er mich gebraucht hätte!

Klon-Phishing

Klon-Phishing-Angriffe sind weniger kreativ als Speer- und Walfischen, aber dennoch sehr effektiv. Dieser Angriffsstil hat alle Kernmieter eines Phishing-Betrugs. Der Unterschied besteht jedoch darin, dass Angreifer nicht als Benutzer oder Organisation mit einer bestimmten Anfrage auftreten, sondern eine legitime E-Mail kopieren, die zuvor von einer vertrauenswürdigen Organisation gesendet wurde . Die Hacker setzen dann Linkmanipulation ein, um den in der ursprünglichen E-Mail enthaltenen echten Link zu ersetzen und das Opfer auf eine betrügerische Website umzuleiten, um Benutzer zur Eingabe der Anmeldeinformationen zu verleiten, die sie auf der tatsächlichen Website verwenden würden.

Beispiele für E-Mail-Phishing-Betrug

Betrüger fälschen häufig offiziell aussehende E-Mails von Einzelhändlern wie Amazon oder Walmart und behaupten, dass Sie Ihre Anmeldeinformationen oder Zahlungsinformationen eingeben müssen, um sicherzustellen, dass sie Ihre Bestellung abschließen können. In die E-Mail eingebettete Links führen Sie zu einer echt aussehenden Zielseite, auf der Sie Ihre vertraulichen Informationen eingeben können.

Da aufgrund der Pandemie und der sich entwickelnden digitalen Einzelhandelslandschaft mehr Menschen online einkaufen als je zuvor, werden Betrüger in diesem Jahr Überstunden machen. Während der Ferienzeit, Diese Arten von Betrug nehmen aufgrund des gesamten Geschenkkaufs exponentiell zu. Viele Leute haben so viele Einkäufe, dass sie nicht zweimal darüber nachdenken, ob es ein Problem mit ihren Bestellungen gibt.

Ein Beispiel für einen Phishing-Betrug, der während der Ferienzeit 2020 einen Anstieg verzeichnet hat, ist eine gefälschte E-Mail von Amazon, in der Kunden darüber informiert werden, dass sie sich anmelden müssen, um ihre Zahlungs- und Versandinformationen zu aktualisieren, um ihre Bestellung abzuschließen .

Aus eigener Erfahrung bekomme ich ständig E-Mails von Amazon über Versand, Ankunftsdaten, Bestätigungen usw. Wenn ich nicht wüsste, wonach ich bei diesen Angriffen suchen soll, würde ich leicht auf den Betrug hereinfallen.

Die Anatomie einer Phishing-E-Mail

Wir haben die häufigsten Komponenten einer Phishing-E-Mail herausgearbeitet. Schauen Sie sich unsere vollständige Infografik an, um Ihr Wissen zu testen.

Betreffzeile

Phishing-Kampagnen zielen in der Regel darauf ab, ein Gefühl der Dringlichkeit durch intensive Sprache und Panikmache zu erzeugen, beginnend mit der Betreffzeile der E-Mail.

Feld“Von“

Die E-Mail scheint von einer legitimen Entität innerhalb eines anerkannten Unternehmens zu stammen, z. B. vom Kundensupport. Bei näherer Betrachtung können Sie jedoch feststellen, dass sowohl der Name als auch die E-Mail-Adresse des Absenders eine Fälschung einer bekannten Marke und kein echter Anbieter sind.

Feld“An“

Phishing-E-Mails sind oft unpersönlich und adressieren den Empfänger als „Benutzer“ oder „Kunde“.“

Textkopie

Wie bei der Betreffzeile verwendet die Textkopie einer Phishing-E-Mail normalerweise eine dringende Sprache, um den Leser zu ermutigen, ohne nachzudenken zu handeln. Phishing-E-Mails sind auch oft mit Grammatik- und Interpunktionsfehlern durchsetzt.

Bösartiger Link

Ein verdächtiger Link ist eines der wichtigsten Werbegeschenke einer Phishing-E-Mail. Diese Links werden oft gekürzt (durch bit.oder ein ähnlicher Dienst) oder sind so formatiert, dass sie wie ein legitimer Link aussehen, der dem Unternehmen und der Nachricht der gefälschten E-Mail entspricht.

Panikmache

Phishing-E-Mails verwenden neben der dringenden Sprache häufig Panikmache in der Hoffnung, dass die Leser aus Angst oder Verwirrung auf schädliche Links klicken

E—Mail-Abmeldung

Wie bei der Begrüßung der E-Mail ist die Abmeldung häufig unpersönlich – in der Regel ein allgemeiner Kundendiensttitel und nicht der Name einer Person und die entsprechenden Kontaktinformationen.

Fußzeile

Die Fußzeile einer Phishing-E-Mail enthält häufig verräterische Anzeichen einer Fälschung, einschließlich eines falschen Urheberrechtsdatums oder eines Standorts, der nicht mit dem des Unternehmens übereinstimmt.

Böswillige Zielseite

Wenn Sie auf einen Phishing-Link klicken, werden Sie häufig zu einer böswilligen Zielseite weitergeleitet

So verhindern Sie Angriffe

Die beste Verteidigung gegen Phishing-Kampagnen ist Wissen. Angreifer erstellen Phishing-Betrug, um so überzeugend wie möglich auszusehen, aber sie haben oft verräterische Anzeichen, die die Farce enthüllen. Regelmäßige Schulungen zu Datensicherheit und Social Engineering sind eine hervorragende Präventionsmethode, mit der Ihr Unternehmen die Anzeichen bösartiger E-Mails erkennen kann.

Hier sind einige Dinge, die Sie überprüfen sollten, wenn Sie eine E-Mail erhalten, in der Sie aufgefordert werden, auf einen Link zu klicken, eine Datei herunterzuladen oder Ihre Anmeldeinformationen freizugeben, auch wenn sie anscheinend von einer vertrauenswürdigen Quelle stammen:

• Überprüfen Sie den Namen und die Domain, von der die E-Mail stammt
  • • Die meisten legitimen E-Mails kommen nicht von @gmail.com, @live.com , etc. Sie werden in der Regel von privaten Domains sein
• Überprüfen Sie auf offensichtliche Rechtschreibfehler in Betreff und Text
• Die Zeilen „an“ und „von“ sind generisch
• Geben Sie keine Anmeldeinformationen weiter — legitime Absender werden niemals danach fragen
• Öffnen Sie keine Anhänge oder laden Sie keine verdächtigen Links herunter
• Melden Sie verdächtige E-Mails an den für Ihre IT-Sicherheit zuständigen Mitarbeiter

Wenn Sie überhaupt den Verdacht haben, dass eine Phishing-E-Mail, klicken Sie nicht darauf oder Anhänge. Markieren Sie es stattdessen und melden Sie es den zuständigen Behörden. Dies kann an der IT-Abteilung Ihrer Organisation, dem Unternehmen, in dem die E-Mail gefälscht wird, oder Ihrem E-Mail-Domain-Anbieter wie Google, Microsoft usw. liegen.

Nehmen Sie nicht den Köder

Wissen ist Macht, wenn es um den Schutz vor Phishing-Angriffen geht. Diese Betrüger verlassen sich ganz auf Sie für ihre List fallen für ihren Betrug erfolgreich zu sein. Selbst wenn Sie glauben, ein Experte für das Erkennen von Phishing-Betrug zu sein, können Sie Ihre Wache nicht im Stich lassen. Phishing-Techniken und E-Mails werden im Laufe der Zeit immer ausgefeilter und schwieriger zu erkennen sein. Solange unser Alltag weiter digitalisiert wird, werden Hacker immer da sein, um unschuldige Menschen für finanziellen Gewinn auszunutzen. Der beste Weg, um sicher zu gehen und den Überblick zu behalten, besteht darin, sich weiterhin über die aktuellsten Formen von Phishing-Betrug zu informieren.