Phishing – die unterschätzte Gefahr

Phishing – die unterschätzte gefahr Mythos und Wahrheit dercyberkriMinalität >autor: MatheW nisbet, analyst von MalWare-daten, syMantec hosted services >inhalt >executive suMMary >1 >einleitung: PerManente entWicklung >2 >Phishing: fakten und Mythen >3 >das leben iM verborgeneM >5 >sPear-Phishing: ins schWarze treffen >8 >Werden sie herr der bedrohung >10 >executive suMMary Der Begriff Phishing wurde Mitte der 1990er Jahre geprägt. Phishing umfasst verschiedene kriminelle Aktivitäten, die auf die Beschaffung vertraulicher Daten über Computersysteme abzielen. Diese Daten werden anschließend in betrügerischer Absicht verwendet oder gewinnbringend verkauft. Es kann sich bei den gestohlenen Informationen um wertvolles geistiges Eigentum, um Kundendaten, Bankkonto- oder Kreditkarteninformationen, Benutzernamen oder Kennwörter handeln. Der Schaden, den die Opfer von Phishing-Angriffen erleiden, kann enorm sein. Zum klassischen Phishing gehört das Versenden gefälschter E-Mails, die anscheinend von vertrauenswürdigen Organisationen stammen. Diese E-Mails verleiten die Opfer dazu, einem Link zu einer gefälschten Webseite zu folgen, wo sie zur Eingabe vertraulicher Informationen aufgefordert werden. Heutzutage basiert ein erheblicher Teil des Phishing allerdings auf Malware. Dabei wird ein Schadprogramm mithilfe unterschiedlichster Methoden unbemerkt auf dem Computer des Opfers installiert, und die Daten des Opfers werden heimlich über das Internet an die Spione zurückgesendet. Spear-Phishing ist eine relativ neue Variante, bei der gezielte Angriffe gegen bestimmte Organisationen oder sogar einzelne, vom Spion ausgewählte Mitarbeiter ausgeübt werden. Die Daten, die für den Erfolg eines derartigen Angriffs notwendig sind, werden in der Regel im Internet gesammelt. MessageLabs Hosted Services sorgen dafür, dass Unternehmen sich selbst wirksam gegen die gesamte Palette von Phishing-Bedrohungen schützen können. Unabhängig vom verwendeten Protokoll bieten sie Anti-Phishing- Schutz auf höchstem Niveau. Dabei ist der Vektor, den die Cyberkriminellen verwenden, und die betrügerische Methode, die sie sich zunutze machen nicht relevant. 1 >einleitung: PerManente entWicklung Mitte der 1990er Jahre fand ein neues Wort Eingang in den Sprachgebrauch. Dieser eigenartige, harmlos klingende Begriff, bei dem das „F“ von „Fishing“ durch ein „Ph“ ausgetauscht wurde. Die Aktion allerdings, die hinter dem Wort steckt, war offenkundig kriminell: Die Verteilung elektronischer Mitteilungen von einer vorgeblich vertrauenswürdigen Quelle, deren Zweck darin besteht, die Empfänger zu täuschen, damit diese ihre Konto- oder Kreditkarteninformationen, Benutzernamen und Kennwörter an Computer- Phisher sind Hacker verraten. in die Welt Phishing war zu der Zeit in der Tat einfach ein anderes Wort für Betrug, der industries- Täuschung und die Absicht, auf Kosten anderer Geld zu machen. Anfangs war es eine mehr oder weniger homogene Art von Cyberkriminalität: Durch Pionage Täuschung des Opfers wurden sensible Daten gesammelt. Dabei kann es sich eingetaucht. gleichermaßen um den geschäftlichen, öffentlichen oder privaten Bereich handeln. Mit den Daten wird sich Zugang zum Vermögen verschafft. Das Vermögen wird gestohlen. Seitdem hat sich das Phishing jedoch enorm weiterentwickelt. Es ist zu einem Überbegriff geworden, der eine Vielzahl von Ablegern umfasst: Jeder stellt eine eigene Waffe dar, die von der Gemeinde der Internetkriminellen heute äußerst professionell gehandhabt wird. Die Nutzung gestohlener Daten zum Identitätsbetrug und zur Erstellung falscher Bankkonten beispielsweise um Geld zu waschen, gehören zu den klassischen Zielen. Heutzutage sind die „Phisher“ darüber hinaus auch in die Welt der Industriespionage eingetaucht und erfinden immer ausgefeiltere Methoden, um auf Computernetzwerke zuzugreifen. Vertrauliche Daten sind das Lebenselixier eines Cyber-Kriminellen. Mit dem Diebstahl vertraulicher Daten und von geistigem Eigentum machen sie Profit. Was auch immer genau die Spione erreichen, wenn sie erfolgreich sind: es ist sicher, dass es irgendwo in der Welt eine Organisation gibt, die einen herben Schlag erleidet was Bilanz, Marktanteil, Vertrauen der Investoren oder den Ruf des Unternehmens betrifft. Phishing ist also alles andere als ein harmloses Kavaliersdelikt ohne Opfer. Dieses Whitepaper untersucht das Phänomen Phishing. Es erläutert die katastrophale Bedrohung, die Phishing für alle möglichen Organisationen haben kann. Durch Aufräumen mit einigen weitverbreiteten Mythen bringt es Licht in das Dunkel, aus dem Phishing aufgetaucht ist. Außerdem wird aufgezeigt, wohin die Entwicklung tendiert und wie sich Ihr Unternehmen gegen diese Bedrohung schützen kann. Die hier dargestellten Informationen basieren auf den Erfahrungen von MessageLabs Hosted Services, aus der Verwaltung von täglich circa 5 Milliarden versuchter SMTP-E-Mail-Verbindungen und einer Milliarde verarbeiteter Anfragen. MessageLabs stellt Dienstleistungen im Bereich Messaging- und Web-Sicherheit weltweit für über 21.000 Kunden und 9 Millionen Endbenutzer zur Verfügung. 2 >Phishing: fakten und Mythen Seit seinem Aufkommen vor ungefähr 15 Jahren ranken sich weit verbreitete Mythen um Phishing und die davon ausgehenden Bedrohungen. In einigen Fällen spiegeln diese Mythen früher gültige, mittlerweile aber veraltete Tatsachen wider. In anderen Fällen war der zugrunde liegende Glaube schon immer irrational. Die Mythen haben jedoch eine Gemeinsamkeit: Wenn sie sich in den Köpfen in Ihrem Unternehmen auch halten, können sie Ihre Verteidigung bei einem Phishing-Angriff schwächen – mit möglicherweise schon ein katastrophalen Konsequenzen. einziger Mythos 1: „Mich wird es schon nicht treffen.“ Phishing-angriff Gleichgültigkeit ist der Todfeind der Internetsicherheit. Auch wenn es kann enorMen stimmt, dass Sie statistisch gesehen seltener Phishing-E-Mails als Spam schaden erhalten, sollten Sie das Ausmaß des Problems nicht unterschätzen. verursachen. Von MessageLabs Hosted Services durchgeführte Analysen des verarbeiteten Internetverkehrs zeigen, dass weltweit täglich circa 600 Millionen Phishing-E Mails auf Malware-Basis versendet werden. Hinzu kommen noch die unzähligen traditionellen Phishing-E-Mails, die nicht auf Schadprogrammen basieren. Und zwei weitere Faktoren sollten Sie nicht außer Acht lassen: Erstens ist Phishing eine Bedrohung, die zwar relativ selten auftritt, aber sehr wirkungsvoll ist. Eine einzige Phishing-E-Mail kann einen enorm großen Schaden verursachen. Zweitens kann gerade die Tatsache, dass Phishing- E-Mails nicht so häufig vorkommen wie Spam und manchmal sehr zielgerichtet sind, dazu führen, dass sie einfacher durch die konventionellen Internetschutzvorrichtungen schlüpfen. Mythos 2: „Solange ich wachsam bin, wird schon nichts passieren.“ Dem ist nicht so. Im heutigen Milieu der Internetkriminalität genügt es nicht mehr, jedes Element in einer E-Mail oder im Instant-Messaging-Postfach kritisch zu betrachten, um eine ausreichende Sicherheit zu garantieren. Viele der Tools, die Spione heutzutage verwenden, sind derart perfektioniert, dass sogar ausgesprochene Computerexperten Opfer eines Phishing-Angriffs werden können. So können beispielsweise ganz seriöse Webseiten in einem Angriff durch Einschleusung von SQL-Befehlen (Structured Query Language) vorsätzlich mit Phishing-Malware infiziert worden sein. Allein das Aufrufen einer derartigen Webseite kann dazu führen, dass das Schadprogramm automatisch und unbemerkt in einem sogenannten „Drive-by-Download“ auf den Computer heruntergeladen wird. Sogar das Vorhängeschloss-Symbol im Browser ist nicht unbedingt ein Garant dafür, dass eine Webseite frei von Infektionen oder tatsächlich echt ist. 3 Mythos 3: „Phishing besteht aus gefälschten Banken-E-Mails.“ Falsch. Es stimmt sicherlich, dass seit der Geburtsstunde von Phishing das typische Werkzeug der Spione E-Mails waren, die allem Anschein nach von einer Bank stammen und sensible Daten abfragen.