Laut dem HR-Dienstleister Glassdoor ist der Januar der geschäftigste Monat, wenn es um Jobsuche geht. Das gilt sowohl für Arbeitgeber, die nach Talenten Ausschau halten, als auch für Profis die einen Job suchen und Mitarbeiter, die mit einem Wechsel liebäugeln. Das hat auch zur Folge, dass Bewerbungsschreiben und Lebenläufe fleißig über die entsprechenden sozialen Netzwerke, per E-Mail und über Webportale geteilt, verschickt und ausgetauscht werden.
Genau das versuchen Cyberkriminelle und Hacker inzwischen ganz gezielt auszunutzen, um Unternehmensnetzwerke zu infiltrieren. Welche Taktiken die Computerverbrecher dazu anwenden und wie sich Unternehmen schützen können, das erfahren Sie hier.
Foto: Ollyy - Di Studio - shutterstock.com
IT-Sicherheitsmaßnahmen greifen nicht
LinkedIn, Xing und Co. werden bei Hackern immer beliebter, denn die haben längst herausgefunden, dass man mit Hilfe der Karriere-Netzwerke relativ einfach die Schutzmaßnahmen der Unternehmen umgehen kann. Denn Portale wie LinkedIn und Xing werden von der Mehrzahl der Netzwerkfilter nicht geblockt. Schließlich soll unter anderem auch die Personalabteilung über die sozialen Netzwerke neue Fachkräfte akquirieren.
"Diese Art von Angriffen werden immer mehr zum Standard, weil sie einfach zu bewerkstelligen sind und nichts kosten", erklärt Chris Stephen vom Security-Anbieter Cylance. "Unternehmen haben eine Menge Geld in ihre Netzwerk-Sicherheit und Produkte investiert, die Webseiten mit schlechten Reputationswerten aufspüren. LinkedIn umgeht beide Maßnahmen".
In den USA nutzen laut einer Untersuchung von Jobvite aktuell bereits 87 Prozent der befragten Recruiter LinkedIn, wenn es darum geht, neue Kandidaten zu evaluieren. Und natürlich nutzen auch Profis, die einen Job suchen das Netzwerk: Im ersten Quartal 2016 verzeichnete LinkedIn nach eigenen Angaben rund 45 Milliarden Seitenzugriffe seiner Mitglieder.
Malware per Lebenslauf
Auch E-Mail-Scanning könne dieser Art von Cyberangriffen kaum etwas anhaben, fährt der Experte fort. Schließlich logge sich die Mehrzahl der User bei LinkedIn mit ihrer privaten E-Mail-Adresse ein. Inzwischen erlaubt zwar das Gros der E-Mail-Provider keine .exe-Files mehr als Anhang, die brauchen die Hacker aber ohnehin nicht. Stattdessen verschickten sie mit Malware infizierte Word-Dokumente oder .pdf-Dateien. Die Wahrscheinlichkeit, dass diese in einem "HR-Zusammenhang" geöffnet werden, sei ohnehin viel höher, so Stephen: "Bei LinkedIn können Lebensläufe als Dateianhang versendet werden - was für Cyberkriminelle natürlich einen extrem erfolgversprechenden Angriffsvektor darstellt. Karriereseiten wie Monster oder Indeed lassen Jobsuchende vorgefertigte Formulare ausfüllen, statt eine Datei anzuhängen".
Dazu kommt, dass Hacker, die sich als ganz normale LinkedIn-User tarnen, relativ schwer von solchen zu unterscheiden sind. So besteht auch die Gefahr, dass Cyberkriminelle sich über öffentliche Diskussionen und Unterhaltungen ins Unternehmensnetzwerk schleichen - beispielsweise mit bewährten Social-Engineering-Taktiken oder indem sie Anhänge teilen, die mit Malware infiziert sind. Und je mehr "Kontakte" ein solcher Fake-Account auf sich vereint, desto unverdächtiger wirkt er auf andere User.
LinkedIn selbst äußerte sich auf Nachfrage schriftlich zum Thema: "LinkedIn-Mitglieder können sich schützen, indem sie ausschließlich Kontaktanfragen von Personen akzeptieren, die sie persönlich kennen oder die von einem anderen vertrauenswürdigen Kontakt empfohlen werden. Wir ermutigen unsere Mitglieder, alle Profile, Nachrichten oder Posts die verdächtig erscheinen, zu melden. In unserem Hilfecenter-Bereich finden sich viele hilfreiche Artikel, um auf dem Laufenden zu bleiben. Wir haben auch Teams speziell in diesem Bereich im Einsatz, die betrügerischen Aktivitäten sofort entgegentreten und einer möglichen Wiederholung in der Zukunft entgegenwirken".
Führungskräfte besonders gefährdet
Ray Kruk vom Security-Provider Proofpoint sieht in diesem Zusammenhang insbesondere Führungskräfte als gefährdet an. Eine These die von aktuellen Zahlen von LinkedIn untermauert wird: Ein CEO vereint hier im Durchschnitt 930 Kontakte auf sich. "Fake User, die sich als vertrauenswürdige Business-Partner ausgeben und Kontakt zu Entscheidern im Unternehmen suchen, stellen eine steigende Gefahr dar", so Kruk.
Ein Klick auf einen Malware-verseuchten Shortlink, der über LinkedIn, Xing oder andere soziale Netzwerke verteilt wird, genügt dann, um Rechner auf C-Level zu kapern. Wenn das passiert, haben die Hacker in der Regel auch Zugriff auf geschäftskritische Daten. Das lohne sich meist deutlich mehr, als ein Angriff auf die Personalabteilung, so Kruk.