Laut dem HR-Dienstleister Glassdoor ist der Januar der geschäftigste Monat, wenn es um Jobsuche geht. Das gilt sowohl für Arbeitgeber, die nach Talenten Ausschau halten, als auch für Profis die einen Job suchen und Mitarbeiter, die mit einem Wechsel liebäugeln. Das hat auch zur Folge, dass Bewerbungsschreiben und Lebenläufe fleißig über die entsprechenden sozialen Netzwerke, per E-Mail und über Webportale geteilt, verschickt und ausgetauscht werden.
Genau das versuchen Cyberkriminelle und Hacker inzwischen ganz gezielt auszunutzen, um Unternehmensnetzwerke zu infiltrieren. Welche Taktiken die Computerverbrecher dazu anwenden und wie sich Unternehmen schützen können, das erfahren Sie hier.
Foto: Ollyy - Di Studio - shutterstock.com
IT-Sicherheitsmaßnahmen greifen nicht
LinkedIn, Xing und Co. werden bei Hackern immer beliebter, denn die haben längst herausgefunden, dass man mit Hilfe der Karriere-Netzwerke relativ einfach die Schutzmaßnahmen der Unternehmen umgehen kann. Denn Portale wie LinkedIn und Xing werden von der Mehrzahl der Netzwerkfilter nicht geblockt. Schließlich soll unter anderem auch die Personalabteilung über die sozialen Netzwerke neue Fachkräfte akquirieren.
"Diese Art von Angriffen werden immer mehr zum Standard, weil sie einfach zu bewerkstelligen sind und nichts kosten", erklärt Chris Stephen vom Security-Anbieter Cylance. "Unternehmen haben eine Menge Geld in ihre Netzwerk-Sicherheit und Produkte investiert, die Webseiten mit schlechten Reputationswerten aufspüren. LinkedIn umgeht beide Maßnahmen".
In den USA nutzen laut einer Untersuchung von Jobvite aktuell bereits 87 Prozent der befragten Recruiter LinkedIn, wenn es darum geht, neue Kandidaten zu evaluieren. Und natürlich nutzen auch Profis, die einen Job suchen das Netzwerk: Im ersten Quartal 2016 verzeichnete LinkedIn nach eigenen Angaben rund 45 Milliarden Seitenzugriffe seiner Mitglieder.
Malware per Lebenslauf
Auch E-Mail-Scanning könne dieser Art von Cyberangriffen kaum etwas anhaben, fährt der Experte fort. Schließlich logge sich die Mehrzahl der User bei LinkedIn mit ihrer privaten E-Mail-Adresse ein. Inzwischen erlaubt zwar das Gros der E-Mail-Provider keine .exe-Files mehr als Anhang, die brauchen die Hacker aber ohnehin nicht. Stattdessen verschickten sie mit Malware infizierte Word-Dokumente oder .pdf-Dateien. Die Wahrscheinlichkeit, dass diese in einem "HR-Zusammenhang" geöffnet werden, sei ohnehin viel höher, so Stephen: "Bei LinkedIn können Lebensläufe als Dateianhang versendet werden - was für Cyberkriminelle natürlich einen extrem erfolgversprechenden Angriffsvektor darstellt. Karriereseiten wie Monster oder Indeed lassen Jobsuchende vorgefertigte Formulare ausfüllen, statt eine Datei anzuhängen".
Dazu kommt, dass Hacker, die sich als ganz normale LinkedIn-User tarnen, relativ schwer von solchen zu unterscheiden sind. So besteht auch die Gefahr, dass Cyberkriminelle sich über öffentliche Diskussionen und Unterhaltungen ins Unternehmensnetzwerk schleichen - beispielsweise mit bewährten Social-Engineering-Taktiken oder indem sie Anhänge teilen, die mit Malware infiziert sind. Und je mehr "Kontakte" ein solcher Fake-Account auf sich vereint, desto unverdächtiger wirkt er auf andere User.
LinkedIn selbst äußerte sich auf Nachfrage schriftlich zum Thema: "LinkedIn-Mitglieder können sich schützen, indem sie ausschließlich Kontaktanfragen von Personen akzeptieren, die sie persönlich kennen oder die von einem anderen vertrauenswürdigen Kontakt empfohlen werden. Wir ermutigen unsere Mitglieder, alle Profile, Nachrichten oder Posts die verdächtig erscheinen, zu melden. In unserem Hilfecenter-Bereich finden sich viele hilfreiche Artikel, um auf dem Laufenden zu bleiben. Wir haben auch Teams speziell in diesem Bereich im Einsatz, die betrügerischen Aktivitäten sofort entgegentreten und einer möglichen Wiederholung in der Zukunft entgegenwirken".
Führungskräfte besonders gefährdet
Ray Kruk vom Security-Provider Proofpoint sieht in diesem Zusammenhang insbesondere Führungskräfte als gefährdet an. Eine These die von aktuellen Zahlen von LinkedIn untermauert wird: Ein CEO vereint hier im Durchschnitt 930 Kontakte auf sich. "Fake User, die sich als vertrauenswürdige Business-Partner ausgeben und Kontakt zu Entscheidern im Unternehmen suchen, stellen eine steigende Gefahr dar", so Kruk.
Ein Klick auf einen Malware-verseuchten Shortlink, der über LinkedIn, Xing oder andere soziale Netzwerke verteilt wird, genügt dann, um Rechner auf C-Level zu kapern. Wenn das passiert, haben die Hacker in der Regel auch Zugriff auf geschäftskritische Daten. Das lohne sich meist deutlich mehr, als ein Angriff auf die Personalabteilung, so Kruk.
Collaboration-Tools als Einfallstor
Aber LinkedIn ist nicht die einzige Möglichkeit im Business-Umfeld, die Cyberkriminelle für sich entdeckt haben. Auch Collaboration-Tools und -Plattformen sowie semi-private soziale Netzwerke wie Slack oder Jive rücken zunehmend in den Fokus von Darknet-Gangstern und Datendieben. Schließlich umgehen auch diese Plattformen und Netzwerke in aller Regel die Sicherheitsmaßnahmen in Unternehmen, die auf Netzwerk- und Infrastruktur-Ebene greifen sollen.
"Wenn es um IT-Sicherheit geht, ist der Mensch das schwächste Glied in der Kette", so Kruk. "Die Security-Richtlinien müssen sich daran orientieren, wie die Menschen mit Daten und Kommunikationsplattformen umgehen".
Personalabteilungen und Recruiter verwenden Slack und Jive, um mit potenziellen Job-Kandidaten zu kommunizieren. Aber auch diese Tools werden laut David King von Uhy nicht gemanagt - die Unternehmen haben also keine Kontrolle darüber, welche Daten hierüber ausgetauscht werden. Sollte sich über eine solche Verbindung Schadcode einschleichen, betrifft das nicht nur den aktuellen Arbeitgeber, wie King erklärt: "Das größte Risiko, das meiner Meinung nach solchen Services innewohnt, ist, dass ein HR-Mitarbeiter bei einem Jobwechsel auch alle seine Slack-Unterhaltungen mitnimmt".
So schützen sich Unternehmen
Um das Problem zu lösen, empfiehlt King Unternehmen, entsprechende Richtlinien schriftlich zu fixieren: Die Nutzung privater Social-Media-Accounts sollte seiner Einschätzung nach am Arbeitsplatz komplett untersagt werden. Darüber hinaus sollten Unternehmen auch Mitarbeiter, die in Teilzeit arbeiten oder befristet (auch wenn der Zeitraum nur einige Monate umfasst) angestellt sind, mit Business-E-Mail- und Social-Media-Accounts ausstatten.
Ganz generell sollten Unternehmen im Rahmen von Awareness-Programmen und -Trainings aber sicherstellen, dass ihre Mitarbeiter überhaupt von der Existenz dieser Bedrohungen wissen - meint auch Chris Stephen von Cylance. Darüber hinaus hilft ein effektiver Schutz für Endpoints und Applikationen, die Risiken zu minimieren.
Die Nutzung von privaten E-Mail-Adressen für LinkedIn und Co. ist ein weiteres Einfallstor für Social-Engineering-Attacken. Laut Ray Kruk reagieren die ersten Unternehmen bereits: "Die Zahl der Firmen, die ihren Mitarbeitern empfiehlt, Social-Media-Profile mit ihren unternehmenseigenen E-Mail-Adressen zu verknüpfen, steigt. Denn der Arbeits-E-Mail-Account dürfte bei entsprechenden Schutzmaßnahmen weit weniger anfällig für solche Attacken sein, als private Accounts bei Yahoo oder Gmail".
Dieser Artikel basiert auf einem Beitrag unserer US-Schwesterpublikation csoonline.com.