Das langweilige Leben von Cyber-Kriminellen

Britische Forscher sind der Arbeitsweise von Cyberkriminellen auf den Grund gegangen, in der Hoffnung, neue Methoden zur Verhinderung von Cyberkriminalität zu entwickeln. Wie sich herausstellte, sagen sie: "Cyberkriminalität ist (oft) langweilig", sagen sie. [1]

Viele Cyberkriminelle sind Büroangestellte aus dem Paralleluniversum, die ihren Lebensunterhalt bestreiten - weit entfernt vom Stereotyp des kreativen Gesetzlosen, der mit seinen technischen Fähigkeiten große Gewinne erzielt. Wenn sich die Strafverfolgungsbehörden auf die Unzufriedenheit in den Reihen der Cyberkriminellen konzentrieren, so die Forscher, könnten sie neue Gegenmaßnahmen entwickeln, die von Werbekampagnen zur Verbrechensverhütung bis hin zu gezielten Unterbrechungsstrategien reichen.

Cybercrime-as-a-Service

Cyberkriminalität ist heute in der Regel ein Dienstleistungsgeschäft - nicht unähnlich einem Managed Service Provider, der den Einzelhandel oder das Gesundheitswesen eines seriösen Unternehmens digital unterstützt. Auf dem Untergrundmarkt umfassen die Produkte und Dienstleistungen jedoch Botnets, die für DDoS-Angriffe (Distributed Denial of Service) gemietet werden können, Ransomware als Dienstleistung, Kanäle zur Monetarisierung gestohlener Daten und "kugelsicheres" Hosting, das illegale Aktivitäten vor der Strafverfolgung schützt. Diese und andere Infrastrukturen, Tools, Skripte und Methoden von Cyberangriffen werden in Paketen angeboten, die von Kunden mit geringen oder gar keinen technischen Kenntnissen genutzt werden können. Ebenso sind viele der Arbeitnehmer, die diese Dienste warten und vermarkten, gering qualifiziert und schlecht bezahlt.

Cyber-Experten waren sich bereits der zahlreichen Auswirkungen dieser Industrialisierung der Cyberkriminalität bewusst, einschließlich der Beschleunigung des Wachstums von Cyberangriffen. "Diese Märkte sind für fast jeden leicht zu erschließen - zumindest auf den grundlegendsten Ebenen", so die Rand Corporation, eine Denkfabrik. [2]

Um dieses Verständnis auf eine neue Ebene zu heben, konzentrieren sich die Forschungsarbeiten der University of Cambridge und der University of Strathclyde darauf, wie sehr sich ein Job in der Cyberkriminalität von den Erwartungen an Aufregung und Prestige unterscheiden kann, die Menschen zu dieser unglücklichen Berufswahl führen könnten. Die Hierarchie krimineller Unternehmen wird als von oben nach unten verlaufend beschrieben, mit einem sehr kleinen Kern von Akteuren, die Exploits entwickeln, mehreren Ebenen von Personen, die die Operationen durchführen, und Kunden, die Dienstleistungen zur Durchführung von Cyberangriffen kaufen.

"Die Erbringung dieser Cybercrime-Dienste erfordert das gleiche Maß an langweiliger Routinearbeit wie bei vielen nicht kriminellen Unternehmen, z. B. Systemadministration, Design, Wartung, Kundendienst, Patching, Fehlerbehebung, Kontoführung, Beantwortung von Verkaufsanfragen usw.", heißt es in der Studie.

Frustrierende, niedrigschwellige Jobs

Die britische Studie zitiert Beiträge aus Online-Foren, in denen ein kriminelles Unternehmen als "ein Ort, an dem man nichts Neues lernt und nirgendwo weiterkommt" und ein anderes als "ein echter Ausbeuterbetrieb" bezeichnet wird. In den meisten dieser Unternehmen ist es schwierig, auf die nächste Stufe aufzusteigen, egal ob man ein "Script-Kiddie" ist, das mit vorgefertigten Exploits arbeitet, oder ein "Geldkurier", der gestohlene Gelder auf Offshore-Konten transferiert.

Zu Unzufriedenheit und Burnout kommt noch das Risiko hinzu, dass die Konkurrenz Ihr Unternehmen ausschaltet, wie es bei einigen kriminellen Organisationen der Fall ist, was zu Kundenbeschwerden, die bearbeitet werden müssen, zu zusätzlicher Arbeit bei der Behebung von Problemen und möglicherweise zum Verlust des Arbeitsplatzes führt. Ein weiteres Risiko besteht darin, dass die Strafverfolgungsbehörden Sie ausschalten.

Dennoch brauchen viele Menschen Arbeit, da einige Länder unter chronisch hoher Arbeitslosigkeit leiden und andere einen wirtschaftlichen Abschwung erleben. In Indien zum Beispiel "scheinen die geringen Chancen, entdeckt zu werden, und die noch geringeren Chancen, strafrechtlich verfolgt zu werden, Betrug zu einer Karriereoption zu machen, vor allem für diejenigen, denen die Qualifikationen fehlen, um eine legale Beschäftigung zu finden", Die New York Times berichtete kürzlich über betrügerische Anrufer. [3] In den USA, meldete das FBI eine Zunahme von Geldschmuggelprogrammen, [4] von denen einige während der COVID-19-Pandemie mit "Make $$ Working from Home"-Anzeigen lockten. [5]

Neue Methoden zur Verhinderung von Cyberkriminalität

Viele Strategien zur Cybersicherheit und Strafverfolgung haben sich auf die Motivationen, Verhaltensweisen und Entscheidungsfindung der hochqualifizierten Akteure an der Spitze der cyberkriminellen Hierarchie konzentriert. Die britische Studie legt nahe, sich stärker auf die eher alltäglichen, routinemäßigen Aspekte der Arbeit zu konzentrieren, die illegale Unternehmen unterstützen.

Eine Empfehlung lautet, Burnout zu fördern. Diese Idee umfasst "Whack-a-mole"-Ansätze für die Infrastruktur der Cyberkriminalität, die andernfalls als sinnlos angesehen werden könnten (da die angreifenden Systeme einfach an anderer Stelle wieder auftauchen). "Jedes Mal, wenn ein System vom Netz genommen wird, bedeutet das für die Administratoren weitere, sich wiederholende, mühsame Arbeit, um ihre Websites neu einzurichten", so die Forscher. "Wenn auch nur einige wenige Administratoren aufhören, kann dies zu einer erheblichen Destabilisierung führen.

Eine weitere Empfehlung besteht darin, das romantische Bild von Cyberkriminellen mit tollen Fähigkeiten und viel Geld zu entkräften. Botschaften, die die mühsame, gering qualifizierte, schlecht bezahlte und statuslose Realität eines Großteils der Arbeit hervorheben, könnten einige Jugendliche davon abhalten, sich kriminellen Unternehmen anzuschließen.

Letztendlich bleibt jedoch noch viel zu tun, um herauszufinden, wie dieses neue Wissen effektiv genutzt werden kann", schreiben die Forscher.

Die Quintessenz

Bislang wurde bei den Bemühungen, Cyberangriffe einzudämmen, eine wichtige Verhaltenseigenschaft der wachsenden Zahl von Cyberkriminellen mit geringen oder gar keinen Qualifikationen übersehen. Jüngsten Forschungsergebnissen zufolge langweilen sich viele von dem, was sie für eine aufregende Arbeit hielten. Die Strafverfolgungsbehörden könnten diese Erkenntnis für neue Methoden zur Verhinderung von Internetkriminalität nutzen.

[1] " Cyberkriminalität ist (oft) langweilig ," University of Cambridge und University of Strathclyde

[2] " Die Motivationen von Cyber-Bedrohungsakteuren und ihre Nutzung und Monetarisierung gestohlener Daten ," Rand Corporation

[3] " Wer macht all diese betrügerischen Anrufe? ," The New York Times

[4] " Betrüger nutzen Emotionen und Bankkonten für Geldtransporte aus ," FBI

[5] " Money Mules in Sheep's Clothing ," The Wall Street Journal