Betrug auf C-Level und Spear-Phishing über internationale Grenzen hinweg

In Südfrankreich gefundene Höhlenzeichnungen, die frühe Speerfischerei zeigen, wurden auf 16.000 Jahre zurückdatiert, und Walfang wurde bereits 875 n. Chr. als organisierter Wirtschaftszweig praktiziert. Das Speerfischen war ursprünglich ein effektives Mittel, um den Lebensunterhalt der frühen Menschen zu sichern, und der Walfang diente zunächst der Beschaffung von Brennstoff (Walöl) und Rohstoffen zur Finanzierung anderer Unternehmungen. Ist es also nicht erstaunlich, dass moderne Cyberkriminelle Techniken nutzen, die bereits Tausende von Jahren vor der Entwicklung von Computern eingesetzt wurden?

Spear-Phishing entmystifiziert

Frühe Phishing-Kampagnen setzten darauf, ein großes Publikum mit einer einfachen E-Mail zu überfluten, die wie eine gültige Anfrage aussah, aber in Wirklichkeit das Einschleusen von Malware verbarg. Es handelte sich um ein Zahlenspiel, und die Kriminellen gewannen in der Zeit, in der die Sicherheitsanbieter Präventivmaßnahmen entwickelten, die Oberhand. Jedes Raubtier passt sich naturgemäß an, und so hat sich Spearphishing zu einem spezifischeren Ziel mit sehr gezielten Inhalten entwickelt. Laut SearchSecurity ist ein Spear-Phishing Angriff:

"...ein E-Mail-Spoofing-Angriff, der auf eine bestimmte Organisation oder Person abzielt, um unbefugten Zugang zu vertraulichen Informationen zu erhalten. Spear-Phishing-Versuche werden in der Regel nicht von zufälligen Hackern initiiert, sondern eher von Tätern, die auf finanziellen Gewinn, Geschäftsgeheimnisse oder militärische Informationen aus sind."

Die Statistiken für gezielte Phishing-Angriffe im Jahr 2018 sind erschütternd. Laut einem Artikel des CSO-Magazins mit dem Titel "11 Top-Cybersicherheitsstatistiken auf einen Blick"

• 92 % der Malware wird per E-Mail verbreitet.
• 56 % der IT-Entscheidungsträger geben an, dass gezielte Phishing-Angriffe ihre größte Sicherheitsbedrohung darstellen.
• 77 % der kompromittierten Angriffe im Jahr 2017 erfolgten ohne Dateien.
• Ein durchschnittlicher Ransomware-Angriff kostet ein Unternehmen 5 Millionen Dollar.

Dieser Erfolg hat auch zu einer noch gezielteren Art von Cyberangriffen geführt.

Betrug auf C-Ebene entmystifiziert

Cyber-Kriminelle haben erkannt, dass gezielte Phishing-Methoden messbare Ergebnisse liefern, und haben sich dann noch größere Ziele gesetzt. Einerseits sind diese hochrangigen Ziele gut sichtbar und der Zugang zu persönlichen und beruflichen Informationen ist meist nur einen Mausklick entfernt. Denken Sie einmal darüber nach, wie viele Informationen Sie über den CEO eines Fortune-500-Unternehmens im Vergleich zu einem durchschnittlichen mittleren Manager eines kleinen bis mittleren Unternehmens finden können. Diese hochkarätigen Phishing-Angriffe sind als "Whaling" (oder C-Level-Fraud) bekannt.

Laut SearchSecurity ist eine Whaling Attack :

"... eine spezielle Art von Phishing-Angriff, der auf hochrangige Mitarbeiter wie den CEO oder CFO abzielt, um sensible Informationen aus einem Unternehmen zu stehlen, da diejenigen, die höhere Positionen im Unternehmen bekleiden, in der Regel vollständigen Zugang zu sensiblen Daten haben. Bei vielen Whaling-Phishing-Angriffen besteht das Ziel des Angreifers darin, das Opfer zu manipulieren, damit es Überweisungen von hohen Beträgen an den Angreifer autorisiert."

Aufgrund der potenziell hohen Gewinne, die mit Betrugsangriffen auf C-Ebene erzielt werden können, verwenden Cyberkriminelle außerordentlich viel Zeit auf die Erstellung von Profilen ihrer Zielpersonen, um den Angriff so individuell wie möglich zu gestalten und die Serie von Phishing-E-Mails so legitim wie möglich erscheinen zu lassen. Ein aktuelles Beispiel wurde von KrebsOnSecurity in einem Beitrag mit dem Titel "Phishers Target Anti-Money Laundering Officers at U.S. Credit Unions" veröffentlicht:

"Eine sehr gezielte, mit Malware versehene Phishing-Kampagne landete letzte Woche in den Posteingängen mehrerer Kreditgenossenschaften. Die Mails erregen Aufsehen, weil sie nur an bestimmte Anti-Geldwäsche-Kontakte bei den Kreditgenossenschaften geschickt wurden, und viele Quellen der Kreditgenossenschaften sagen, dass sie vermuten, dass die nicht-öffentlichen Daten auf irgendeine Weise von der National Credit Union Administration (NCUA), einer unabhängigen Bundesbehörde, die Einlagen bei bundesweit versicherten Kreditgenossenschaften versichert, erlangt worden sein könnten."

Es sind die Feinheiten, die erfolgreiche Spear-Phishing- und C-Level-Betrugsangriffe von einem durchschnittlichen Phishing-Angriff unterscheiden. In diesem Sinne ist es am besten, diese Arten von Angriffen zu verhindern, bevor sie überhaupt ihr Ziel erreichen.

Verhinderung von Betrug und Spear-Phishing auf C-Level

Die effektivste Strategie zur Vorbeugung von Betrug und Spear-Phishing auf C-Ebene umfasst ein Ökosystem, das die Komponenten Malware-Infiltration, E-Mail-Schutz und menschliche Aufklärung berücksichtigt, um möglichst effektiv zu sein. Die Erkenntnis, dass jeder ausführbare Code in Inhalten bösartig ist, stellt sicher, dass Ihre Lösung malware infiltration die beste erste Verteidigungslinie darstellt.

Kombinieren Sie dies mit targeted email threat protection und security awareness training für Ihre Mitarbeiter, und Sie haben alles, was Sie brauchen, um sich gegen diese fortschrittlichen Phishing-Kits in den Händen von Cyberkriminellen zu schützen, die Ihr Unternehmen erpressen wollen.