Spear Phishing ist eine besonders perfide und sehr erfolgreiche neue Phishing-Methode. Wie Sie Ihre Kunden vor den diesen raffinierten Attacken schützen können, das erklärt Michael Rudrich, Regional Director Central Europe & Eastern Europe bei dem IT-Security-Anbieter Websense.
Foto: Websense
E-Mails mit Schadsoftware ziellos an eine möglichst große Zahl von Empfängern verschicken - so gingen Hacker früher beim Phishing vor. Zwar reagierte immer nur ein geringer Prozentsatz der Empfänger auf diese Mails, aber durch das hohe Versandvolumen waren das immer noch genug, um die Sache für die Cyber-Kriminellen lukrativ zu machen.
Doch das hat sich geändert, denn praktisch jeder kennt mittlerweile diese Masche. So lässt sich kaum noch jemand damit ködern, dass er von der obskuren Königsfamilie eines fernen Eilands dazu auserkoren wurde, gegen entsprechende Belohnung bei der Rettung ihres Vermögens zu helfen. Gleichzeitig wurden auch die Lösungen für E-Mail-Sicherheit immer besser darin, die Attacken aufzudecken - indem sie beispielsweise die Reputation des Absenders prüften, die Texte der Mails auf typische Muster hin analysierten oder bekannte Viren in Anhängen aufspürten.
Darauf haben die Hacker mittlerweile reagiert und mit dem so genannten Spear Phishing eine neue Methode entwickelt. Sie setzt ganz im Gegensatz zum herkömmlichen Phishing auf exakt gezielte Attacken mit geringem Versandvolumen. Die Mails versprechen nicht länger großen Reichtum, sondern erscheinen völlig legitim und liefern die Schadsoftware über einen eingebetteten Link.
Und so gehen die Cyber-Kriminellen dabei genau vor: Sie suchen sich zunächst konkrete Empfänger aus und forschen in sozialen Medien und auf öffentlichen Webseiten nach Informationen über sie. Mit Hilfe dieser Angaben können sie für ihre Spear-Phishing-Mail einen glaubwürdigen Text formulieren. Dann hacken sie eine seriöse Domain, um ihrer Mail zu einer vertrauenswürdigen Absenderadresse zu verhelfen. Zusätzlich führt auch der eingebettete Link oft zu einer seriösen, aber vom Hacker manipulierten Webseite. Klickt der Empfänger auf den Link, lädt sein Rechner die Schadsoftware herunter. Diese sucht nach Schwachstellen im Unternehmensnetzwerk und wird sie fündig, kann sie vertrauliche Daten stehlen.
Vermeiden Sie grundsätzlich, am Telefon oder in E-Mails persönliche oder vertrauliche Daten wie Passwörter, PIN und TANs anzugeben; auch wenn Sie dazu aufgefordert werden! Kreditinstitute fordern dies grundsätzlich nicht. Sind Sie unsicher, sprechen Sie unbedingt mit Ihrer Bank.
Kontrollieren Sie regelmäßig Ihre Kontoauszüge. So können Sie widerrechtliche Kontobewegungen schnell erkennen und zurück buchen lassen.
Sollten Sie beim Onlinebanking nach dem Login eine Mitteilung Ihrer Bank erhalten, dass eine irrtümlich auf Ihrem Konto eingegangene Gutschrift umgehend zurück zu überweisen ist, um Ihr Konto wieder zu entsperren, kommen Sie dieser Aufforderung nicht nach, sondern wenden Sie sich an Ihre Bank und die Polizei.
Sollten Sie relevante Daten auf einer Internetseite eingegeben haben, die Ihnen danach doch zweifelhaft vorkommt, wird empfohlen, sofort Ihr Passwort zu ändern und die TAN-Liste Ihrer Bank sperren zu lassen.
Verwenden Sie eine gute und aktuelle Sicherungssoftware auf Ihrem Rechner.
Beenden Sie eine Online-Sitzung bei Ihrer Bank immer, indem Sie sich abmelden. Wechseln Sie vor Ihrer Abmeldung nicht auf eine andere Internet-Seite.
Vermeiden Sie überhaupt, in unaufgefordert zugesandten Mails auf Links zu klicken, Programme herunter zu laden oder angehängte Dateien zu öffnen, wenn Sie sich des Absenders nicht ganz sicher sind. Verdächtige Mails lassen sich gefahrlos löschen.
Gehen Sie nicht über Links auf die Seite Ihrer Bank. Geben Sie den Namen der Homepage eigenhändig in die Adresszeile ein.