FBI spricht von rekordhohen Verlusten durch Cyberangriffe

Der neueste Internet Crime Report des FBI zeigt, dass sich die Landschaft der Cyberangriffe verändert. Die Beschwerden an das Internet Crime Complaint Center (IC3) der Behörde gingen im Jahr 2022 um 5,5 % zurück, der erste jährliche Rückgang seit fast einem Jahrzehnt.[1],[2] Die Verluste stiegen jedoch im Vergleich zum Vorjahr um fast 50 % und erreichten mit 10,3 Mrd. USD einen neuen Höchststand.

Diese beiden Zahlen mögen widersprüchlich erscheinen, aber sie zeigen einen wichtigen Trend auf: Cyberkriminelle werden immer geschickter und haben das Potenzial, mit weniger Angriffen größere Verluste zu verursachen. Tatsächlich war die zunehmende Raffinesse von Cyber-Bedrohungen die größte Herausforderung, die von Sicherheitsexperten im Mimecast-Bericht State of Email Security 2023 (SOES 2023) genannt wurde. 76 % der Befragten gehen davon aus, dass ein Angriff per E-Mail in diesem Jahr negative Auswirkungen auf ihr Geschäft haben wird.

Die Kompromittierung von Geschäfts-E-Mails (BEC) macht im FBI-Bericht weiterhin einen großen Prozentsatz der Cyber-Bedrohungen aus. Trotz des allgemeinen Rückgangs der gemeldeten Vorfälle stiegen die BEC-Beschwerden im vergangenen Jahr um 9,4 % und trugen zu 27 % aller in dem Bericht erfassten Verluste bei, die sich auf über 2,7 Milliarden Dollar beliefen. BEC-Angriffe können viele Formen annehmen. Unternehmen müssen wachsam bleiben, um raffinierten Cyberkriminellen einen Schritt voraus zu sein, wie dem Mann aus Massachusetts, der im März 2023 wegen eines BEC-Schemas verurteilt wurde, bei dem er gehackte oder gefälschte E-Mail-Adressen benutzte, um seine Opfer zu überzeugen, Hunderttausende von Dollar auf ein von ihm kontrolliertes Bankkonto zu überweisen.[3]

Wie sich Cyberangriffe im Jahr 2022 verändert haben

Der FBI-Bericht für das Jahr 2022 zeigt einige wichtige Veränderungen im Bereich der Cyberkriminalität auf. Zu den wichtigsten Erkenntnissen des Berichts gehören:

• Investitionen stehen an erster Stelle: Die Verluste bei Investitionen sind zwischen 2021 und 2022 um 127 % gestiegen und haben damit zum ersten Mal, seit der Internet Crime Report BEC-Angriffe erfasst, die BEC-Angriffe übertroffen.
• Kryptowährungen trieben Anlageverluste an: Die Rekordverluste des Jahres 2022 wurden teilweise durch den Anstieg des Anlagebetrugs mit Kryptowährungen verursacht, der im Vergleich zum Vorjahr um 183 % zunahm und zu 78 % der gesamten Verluste durch Anlagebetrug im Jahr 2022 beitrug.
• Die Kosten von Datenschutzverletzungen steigen: 2022 kosteten die Verluste durch Datenschutzverletzungen die Opfer 1,2 Milliarden Dollar, was einem Anstieg von 80 % gegenüber 2021 entspricht, obwohl die Zahl der Beschwerden im gleichen Zeitraum nur um 16 % zunahm.
• Ransomware auf dem Rückmarsch: Die Beschwerden über Ransomware-Angriffe sind zum ersten Mal seit vier Jahren zurückgegangen und liegen nun unter dem Niveau von 2020. Ransomware-Angriffe verursachten immer noch Verluste in Höhe von über 34 Millionen Dollar.
• Malware erreicht einen neuen Tiefstand: Malware, die vom FBI als bösartige Software definiert wird, die ein Computersystem beschädigen, deaktivieren oder sich selbst darauf kopieren soll, hat einen neuen Tiefstand erreicht und setzt damit einen rückläufigen Trend fort, der nach einem Anstieg im Jahr 2015 begann. Aber wie der allgemeine Trend, führten diese weniger Fälle immer noch zu einem 67%igen Anstieg der Verluste durch Malware-Angriffe gegenüber dem Vorjahr - mit Kosten von fast 10 Millionen Dollar im Jahr 2022.
• Belästigung/Stalking wurde aufgespürt: Zum ersten Mal berichtete das FBI über Handlungen, die keinem legitimen Zweck dienen, sondern dazu, eine Person zu verärgern, zu beunruhigen oder zu bedrängen und Angst oder seelische Not zu verursachen. Die Zahl der Beschwerden ist mit 11.779 - Platz 13 auf der Liste - nach wie vor relativ gering, führte aber dennoch zu Verlusten in Höhe von über 5 Millionen Dollar.

Es ist wichtig, daran zu denken, dass die FBI-Statistiken nur gemeldete Straftaten umfassen und dass viele Cyberangriffe nicht gemeldet werden. Daher können die IC3-Daten ein guter Indikator für größere Trends sein, spiegeln aber nicht vollständig die Bedrohungen wider, denen Unternehmen ausgesetzt sind.

Phishing ist nach wie vor die größte Bedrohung

Ein Großteil der Verluste im Jahr 2022 wurde durch Phishing-Angriffe verursacht, eine Taktik, die das FBI als die Verwendung von E-Mails, SMS oder Anrufen definiert, die scheinbar von einem legitimen Unternehmen stammen und persönliche, finanzielle und/oder Anmeldedaten anfordern, um Informationen an Cyberkriminelle weiterzuleiten. Phishing ist wieder einmal die Nummer eins unter den Cyberangriffen, mit mehr Opfern als bei den nächsten acht führenden Arten zusammen. Laut dem SOES 2023-Bericht geben 74 % der Unternehmen an, dass das Volumen der E-Mail-Bedrohungen in ihrem Unternehmen in den letzten 12 Monaten zugenommen hat, und Unternehmen und ihre Mitarbeiter müssen wachsam bleiben oder riskieren, im nächsten Jahr zu den Opfern zu gehören.

Wie man verhindert, ein Opfer zu werden

Der FBI-Bericht enthält aktualisierte Hinweise, wie sich Unternehmen und ihre Mitarbeiter vor Bedrohungen schützen können. 

• Ändern Sie keine Zahlungen und führen Sie keine Zahlungen durch, bevor Sie sich nicht mit dem Empfänger durch Zwei- oder Mehrfaktor-Authentifizierung verifiziert haben. Externe Mittel, wie direkte Anrufe bei bekannten Telefonnummern - nicht nur bei den in der E-Mail enthaltenen Nummern - können ebenfalls nützlich sein. Seien Sie jedoch vorsichtig, denn das "Spoofing" professioneller Telefonnummern für Unternehmen ist mittlerweile gang und gäbe. 
• Überprüfen Sie E-Mail-Adressen, bevor Sie auf Links klicken oder mit sensiblen Informationen antworten, sowohl auf Desktops als auch auf mobilen Geräten. Prüfen Sie E-Mail-Adressen, URLs und Rechtschreibung stets sorgfältig auf Unstimmigkeiten. Und selbst wenn die E-Mail-Adressen mit offiziellen Konten übereinstimmen, sollten Sie sich vor Fälschungen in Acht nehmen.
• Führen Sie eine Offline-Sicherung aller Daten durch, und aktualisieren Sie Betriebssysteme und Software, um die neuesten Sicherheitsstandards zu gewährleisten. 
• Unter www.ic3.gov finden Sie die neuesten Informationen über BEC-Trends und neue Betrugsmethoden.

Der Bericht SOES 2023 ergab, dass 99 % der befragten Unternehmen ihren Mitarbeitern irgendeine Form von Cyber-Sensibilisierungsschulung anbieten, aber reicht diese Schulung aus? Zwei von drei Befragten räumen ein, dass ihre Unternehmen mehr für die Cybersicherheit ausgeben müssen, und das FBI empfiehlt die Durchführung von Benutzerschulungen und Phishing-Übungen, um das Risikobewusstsein zu schärfen. 

Was geschieht nach einem Angriff?

Wenn ein Unternehmen einen erfolgreichen Cyberangriff feststellt, empfiehlt das FBI, sich sofort mit dem Finanzinstitut in Verbindung zu setzen, bei dem das möglicherweise angezapfte Konto geführt wird. Eine rasche Kontaktaufnahme erhöht die Wahrscheinlichkeit eines erfolgreichen Rückrufs oder einer Rückerstattung der verlorenen Gelder und kann es dem Unternehmen ermöglichen, eine Haftungsfreistellung zu erwirken.

Unternehmen sollten auch eine ausführliche Beschwerde beim FBI unter www.ic3.gov einreichen. Anhand der in diesen Beschwerden enthaltenen Informationen hat das IC3 Recovery Asset Team (RAT) bisher eine Erfolgsquote von 73 % erzielt und über 430 Millionen Dollar an Geldern für Opfer eingefroren, die unter betrügerischen Vorwänden Überweisungen auf inländische Konten getätigt haben.

Die Quintessenz

Der FBI-Bericht zur Internetkriminalität 2022 beschreibt die sich verändernden Trends im Bereich der Cybersicherheit, darunter weniger Beschwerden, aber rekordverdächtige Verluste. Angetrieben vom Kryptowährungsbetrug hat der Anlagebetrug die Kompromittierung von Geschäfts-E-Mails als kostspieligstes Verbrechen überholt, aber BEC macht immer noch mehr als ein Viertel aller Verluste durch Cyberkriminalität aus. Was sich nicht geändert hat, ist die Verbreitung von Phishing, das nach der Zahl der Opfer nach wie vor an erster Stelle steht. Insgesamt zeigen die Ergebnisse des Berichts, dass die Unternehmen auch bei weniger Beschwerden angesichts steigender finanzieller Risiken Cyber-Bedrohungen immer noch im Blick haben müssen. Lesen Sie den Bericht State of Email Security 2023 von Mimecast, um mehr über die Cybersecurity-Bedrohungen zu erfahren, mit denen Unternehmen konfrontiert sind, und darüber, wie sie mit diesen Herausforderungen umgehen.

[1] "Internet Crime Complaint Center," FBI

[2] "Internet Crime Report 2022," FBI

[3] "Framinghman Man Sentenced in Business Email Compromise Scheme," United States Attorney's Office