Ein kurzer Moment der Unachtsamkeit und schon ist es zu spät. Ein Gefühl des Entsetzens überkommt Sie und Sie fragen sich: „Was habe ich gerade angeklickt? Ich glaube, jetzt habe ich es wirklich verbockt!“

Kommt Ihnen das bekannt vor? Wenn ja, sollten Sie nicht zu hart zu sich selbst sein. Einem Phisher ins Netz zu gehen, kann den Besten von uns passieren, und tatsächlich ist das schon Millionen unschuldiger Opfer weltweit passiert.

Wichtig hier ist, sofort zu handeln und zu wissen, was Sie tun müssen, um denselben Fehler nicht noch einmal zu machen. Dem Verizon-DBIR 2022 zufolge sind 82 % aller Sicherheitsvorfälle auf menschliche Fehler zurückzuführen. Daher sollten Unternehmen nicht nur Sicherheitstechnologien gegen Phishing-Angriffe einsetzen, sondern auch konsequent ihre Mitarbeiter darin schulen, Phishingmails zu erkennen.

Um es E-Mail-Betrügern schwer zu machen, ahnungslose Nutzer übers Ohr zu hauen, hat SonicWall ein neues Phishing-Quiz entwickelt. Dieses Onlinequiz soll Teilnehmern dabei helfen, die typischen Zeichen einer Phishingmail zu erkennen. Es ist interaktiv und daher ansprechender und informativer als eine simple E-Mail oder ein einfaches Informationsblatt.

E-Mails sind oft der erste Angriffsvektor.

Aus der Vergangenheit wissen wir, dass bei erfolgreichen Angriffen unterschiedliche Taktiken, Techniken und Abläufe (Tactics, Techniques and Procedures, TTPs) zum Einsatz kommen, um Benutzer zu kompromittieren. Außerdem wurde schädlicher Code bei solchen Sicherheitsvorfällen in erster Linie durch E-Mails übertragen. Dazu gehören:

1. Die anfängliche URL in Form eines Links zu einem Exploit-Kit oder einer Phishing-Website
2. Der schädliche Anhang in Form eines Droppers oder einer Payload
3. Eine Nachricht, die zum Sprungbrett für einen Social-Engineering-Angriff wird und unter einem Vorwand (Pretext) die Empfänger dazu manipuliert, ihre Anmeldedaten herauszugeben, Geld zu überweisen, sensible Informationen preiszugeben etc.

Heutige Phishing- und Pretexting-Angriffe sind zielgerichtet und gut durchdacht. E-Mails, die von gestohlenen oder gefälschten Identitäten kommen, sehen so authentisch aus, dass selbst die vorsichtigsten Nutzer darauf hereinfallen können. Die Sicherheitsverantwortlichen, mit denen wir gesprochen haben, meinten außerdem, dass immer noch viele Nutzer auf Phishingmails klicken, weil sie seriöse E-Mails von gefälschten nicht unterscheiden können.

Phisher setzen auf äußert clevere TTPs.

Sicherheitsanbieter entwickeln ständig neue Funktionen, um Benutzer vor Phishingmails zu schützen, die Vorfilter umgehen. Allerdings investieren Angreifer ebenso viel Mühe in die Entwicklung von Techniken, um ihr Ziel trotzdem zu erreichen. Ein Beispiel für einen solchen Angriff ist eine ausgeklügelte kleinvolumige Phishingmail, die Microsoft 365 oder Gmail imitiert und gezielt eingesetzt wird (siehe unten).

Im Gegensatz zu den groß angelegten Spray-and-pray-Kampagnen, die früher gang und gäbe waren, sieht diese gefälschte E-Mail professionell aus und wurde für ganz bestimmte Nutzer personalisiert. Solche Angriffe sind extrem raffiniert. Sie schaffen es ohne Probleme, in das Postfach zu gelangen und den Benutzer zu täuschen. Jeder Link öffnet das Login-Fenster der zweiten Seite einer Challenge-Response-Authentifizierung, wobei die E-Mail-Adresse des Benutzers vorausgefüllt wird. Der Angreifer weiß bereits, wer Sie sind.

Das Innovative an dieser oben gezeigten Beispiel-Phishingmail ist, dass der eigentliche Angriff erst erfolgt, nachdem die E-Mail in das Postfach gelangt. Mit anderen Worten: Anstatt die schädliche URL in der E-Mail zu platzieren, fügen die Phisher einen Link zu einem Redirect-Server (Umleitungsserver) ein, der als Gateway fungiert und Anfragen von einem Sicherheitsunternehmen an eine harmlose Website sendet. Dagegen werden Anfragen der Opfer an den Phishing-Server weitergeleitet.

Im Laufe der Jahre wurden einige Verschleierungsmethoden entwickelt, wie etwa Identitätstäuschung, mehrfache Weiterleitungen, URL-Splits, HTML-Tag-Manipulation, polymorphe Malware und dynamische verschleierte Skripts, um nur einige zu nennen. Wir haben gesehen, dass versierte Hacker mehrere Verschleierungsmethoden in zielgerichteten Phishing-Kampagnen kombinieren, um die wahre Absicht der Zielseite (oft eine Credential-Harvesting-Seite) zu verbergen.

Menschen sind nicht perfekt.

„Menschen werden nicht von Logik geleitet, sondern von Emotionen. Uns ist nicht wichtig, was wahr ist. Uns ist wichtig, wie es sich anfühlt“, sagte Will Smith einmal, ein berühmter Schauspieler, Rapper und vielleicht sogar Philosoph unserer Zeit. Diese Worte haben eine tiefe Bedeutung für jene, die sich der Cybersicherheit verschrieben haben. Solange menschliche Emotionen manipuliert werden können, lassen sich schwere Fehler nicht vermeiden – das ist in der Tat eine von vielen komplexen Herausforderungen für Sicherheitsverantwortliche, die sich durch Technologie allein aber nicht lösen lässt. Dass Technologien zur Prävention von Phishing-Angriffen notwendig sind, liegt auf der Hand. Genauso wichtig ist es aber, das Bewusstsein für Cybersicherheit zu schärfen.

Sensibilisieren Sie Ihre Mitarbeiter mit dem SonicWall-Phishing-Quiz.

SonicWall treibt nicht nur die Weiterentwicklung von Sicherheitstools voran, die auf künstlicher Intelligenz und maschinellem Lernen basieren, sondern investiert auch in das Training und die Sensibilisierung von Nutzern, damit sie menschliche Täuschungsversuche erkennen können. Dies ist Teil eines größeren Projekts, das Nutzer dabei unterstützen soll, Teil der Lösung zu werden, anstatt Teil des Problems zu sein.
Der Gedanke, dass Sicherheit nur Sache von Sicherheitsexperten und den eingesetzten Technologien ist, kann gefährlich sein, denn es gibt keine weitere Verteidigungslinie, wenn eine Phishing-E-Mail es doch einmal ins Postfach schafft. Um das Risiko menschlichen Versagens zu reduzieren, ist ein Umdenken auf Unternehmens- und individueller Ebene erforderlich: Jeder Einzelne sollte bewusst denken und proaktiv handeln und so seinen Teil zur Unternehmenssicherheit beitragen.
Auf einfache, aber effektive Weise regt das Phishing-Quiz von SonicWall Teilnehmer dazu an, vorsichtig zu sein und beim Öffnen und Beantworten von E-Mails eine gesunde Portion Misstrauen an den Tag zu legen. Bei diesem Quiz können Sie auf interaktive Weise eine Reihe von Beispielmails einschließlich eingebetteter Links untersuchen, um Ihre Intuition und Ihr Know-how auf die Probe zu stellen und herauszufinden, wie gut Sie seriöse E-Mails von Phishingmails unterscheiden können.

Nehmen Sie heute noch am Phishing-Quiz von SonicWall teil und erfahren Sie, wie gut Sie Phishingmails erkennen können.

NEHMEN SIE AM QUIZ TEIL