CyberInsights
Der Blog rund um
Ihre Datensicherheit

Phishing: Die wohl beliebteste Masche der Cyberkriminellen  

DGC Cyberinsights Blog - Phishing

Die Vorgehensweisen von Cyberkriminellen werden stets ausgefeilter und richten von Jahr zu Jahr höhere Schäden bei den Betroffenen an. Eine altbekannte und immer beliebter werdende Methode der Angreifer ist dabei das Phishing. Auch diese Cybercrime-Masche entwickelt sich ständig weiter und verfügt mittlerweile über besonders ausgeklügelte Taktiken. Was man gemeinhin unter Phishing versteht und welche vielfältigen Methoden es gibt, erklären wir Ihnen in diesem Beitrag.

Phishing: Was ist das?

Phishing ist eine Methode, die Sie dazu verleiten soll, Kennwörter, Kreditkartennummern und andere sensible Informationen preiszugeben, indem sich die Betrüger als vertrauenswürdige Person oder Institution ausgeben. Diejenigen, die bereits von einem Angriff betroffen waren, fielen am häufigsten auf E-Mail-Phishing herein (56 %). Dahinter folgten Phishing-Websites (36 %), Telefon-Phishing (22 %) und gefälschte SMS (10 %).

Phishing ist daher die beliebteste Masche der Cyberkriminellen. Allein im ersten Quartal 2020 stieg die Bedrohung durch Phishing-Angriffe um 21 % im Vergleich zum viertel Quartal 2019. Nicht ohne Grund, denn ein erfolgreicher Phishing-Angriff kann weitere Einfallstore öffnen. Damit zählt Phishing zu den größten Risiken vor denen Sie sich und ihre Mitarbeiter schützen sollten.

Doch Phishing kann auf verschiedene Arten und Weisen durchgeführt werden und ist längst nicht mehr auf das gemeine E-Mail-Phishing zu begrenzen.

Mit diesen 10 Phishing-Methoden „phishen“ Cyberkriminelle nach Ihren sensiblen Daten

Von Clone Phishing über Smishing zu Whaling: Es gibt zahlreiche Phishing-Methoden, über die Angreifer auf unterschiedliche Weise an Ihre wertvollen Daten gelangen wollen. Die häufigsten Taktiken, vor denen Sie sich schützen sollten, haben wir Ihnen hier zusammengefasst:

1. CEO Fraud

CEO-Betrug liegt vor, wenn ein Cyberkrimineller eine E-Mail an einen Mitarbeiter sendet – oftmals an jemanden, der in der Buchhaltungs- oder Finanzabteilung arbeitet – und dabei vorgibt, der CEO des Unternehmens oder eine andere Führungskraft zu sein. Das Ziel dieser E-Mails ist es, Gelder auf ein gefälschtes Konto zu überweisen.

2. Clone Phishing

Ein Klon-Phishing-Angriff macht sich legitime Nachrichten zunutze, die das Opfer bereits erhalten hat, um eine bösartige Version davon zu erstellen. Diese wird dann von einer E-Mail-Adresse, die legitim wirkt, abgeschickt. Alle Links und Anhänge der ursprünglichen E-Mail werden durch böswillige ausgetauscht. Die Cyberkriminellen benutzen die Ausrede, dass es in der vorhergehenden Mail Probleme mit den Links oder Anhängen gab – womit Sie die User verleiten wollen, auf diese zu klicken.

3. Domain Phishing

Bei dieser Methode wird die Domain (Website) eines Unternehmens oder einer Organisation vorgetäuscht. Um die User auf diese Domain zu bringen, werden E-Mails versendet – entweder mit dem Absender der Domain, oder über Fake-Adressen vertrauter Kontakte. Der Inhalt der E-Mail kann einen glaubwürdigen Text mit einem Link enthalten oder nur einen Link. Der ist entweder anklickbar oder nicht aktiv, so dass ihn der Empfänger in die Webadressleiste kopieren muss. In diesem Fall ist es sogar für Sicherheitsfilter schwer, den Phishing Versuch zu erkennen. Auf der Website angelangt, wird der Besucher nun dazu verleitet, persönliche Daten preiszugeben. Gängige Beispiele für Domain Spoofing sind Datenschutzanfragen, Gewinnspiele, Sicherheitsüberprüfungen, etc.

4. Evil-Twin

Evil-Twin-Phishing tarnt sich als legitimer Wi-Fi-Zugangspunkt, Dadurch kann der Angreifer ohne Wissen des Endbenutzers, persönliche oder geschäftliche Informationen sammeln. Diese Art von Angriff wird auch als Starbucks-Betrug bezeichnet, da er häufig in Coffeeshops stattfindet. Beim Evil-Twin-Phishing erstellt ein Cyberkrimineller einen Wi-Fi-Hotspot, der wie der echte aussieht – er verwendet sogar den festgelegten Service-Identifier (SSID), der mit dem echten Netzwerk identisch ist. Wenn der Endbenutzer eine Verbindung herstellt, kann der Angreifer ihren Netzwerkverkehr belauschen und sensible Daten einsehen.

5. Smishing

Smishing ist eine Kurzform von SMS-Phishing. Beim Smishing wird eine Textnachricht an das Handy des Empfängers versendet, die von vertrauenswürdigen Quellen zu kommen scheinen und bösartige URLs enthalten, auf die sie klicken sollen. Häufig werden angebliche Gutscheincodes für Rabattaktionen, Freikarten für Veranstaltungen oder sonstige Vorteile versprochen. Ziel ist es an vertrauliche Informationen zu gelangen, die Cyberkriminelle nutzen können, um Ihre Online-Identität zu stehlen.

6. Spear Phishing

Spear-Phishing-E-Mails zielen auf bestimmte Personen innerhalb einer Organisation ab. Sie verwenden Social-Engineering-Taktiken, um die E-Mails auf ihre beabsichtigten Opfer zuzuschneiden und zu personalisieren. So können E-Mail-Betreffzeilen interessante Themen enthalten, die den Empfänger dazu verleiten, die Nachricht zu öffnen und auf Links oder Anhänge zu klicken. Das Ziel ist, Daten zu stehlen oder den Computer des Empfängers mit Malware zu infizieren. Damit können die Angreifer Spear Phishing Zugang zum Netzwerk und zu den Accounts der Empfänger bekommen.

7. Vishing

Die Bezeichnung steht für „Voice Phishing, bei der ein Krimineller Ihr Telefon anruft, um Sie zur Herausgabe von persönlichen Daten zu bringen, um damit Zugriff auf Ihre Konten zu erhalten. In der Regel werden Sie im Erstkontakt nicht direkt angerufen, sondern zu einem Rückruf animiert. Ein Computer wählt Sie an und legt sofort wieder auf. Wenn Sie zurückrufen, haben Sie den Täter am Apparat, der sich gerne als vertrauenswürdige Person (z.B. Mitarbeiter Ihrer Hausbank, des Finanzamts, etc.) ausgibt. Der Angreifer schürt bei seinem Opfer Emotionen, damit dieser sensible Daten – etwa Kreditkartennummern oder Passwörter – herausgibt.

8. Whaling

Hier richtet sich der Angriff gegen hochrangige Führungskräfte wie CEOs, CFOs und COOs. Das Ziel ist es, an sensible Informationen und Unternehmensdaten zu gelangen. Zunächst generieren die Cyberkriminellen perfekt zugeschnittene E-Mails mit Informationen aus Suchmaschinen und Social Media. Sie benutzen die korrekte Anrede mit Titel, Namen, Berufsbezeichnung und Details, die die Nachricht vertrauenswürdig erscheinen lassen. Das weitere Vorgehen entspricht dem Spear Phishing, aber die Auswahl der hochrangigen Adressaten samt deren Befugnisse hat eine extrem hohe Dimension der Schäden zur Folge.

9. Watering Hole Phishing

Diese Art von Phishing-Angriff zielt speziell auf Unternehmen ab. Die Täter machen dazu die Websites ausfindig, die Ihr Unternehmen oder Ihre Mitarbeiter am häufigsten besuchen. Die Cyberkriminellen infizieren diese Websites so, dass bei einem Besuch automatisch Malware auf Ihrem Computer hochgeladen wird. Diese Schadsoftware wiederum beliefert die Angreifer mit dem Zugang zu Ihrem Netzwerk, den Servern und zu sensiblen Informationen, wie persönliche und finanzielle Daten.

10. Pharming

Darunter versteht man die gezielte Manipulation von DNS-Anfragen an Webbrowser. So werden betrügerische E-Mails von authentischen Quellen geschickt und fordern Sie beispielsweise auf, eine Passwortänderung auf Ihrem Konto durchzuführen. Das Tückische daran ist, dass der Link, auf den Sie klicken sollen, dieselbe Webadresse wie das Original verwendet, Sie aber auf eine gefälschte Website weitergeleitet werden. Das geschieht entweder durch Infektion Ihres Computers, oder durch Manipulation eines DNS-Servers, so dass die vom Benutzer eingegebene, korrekte Internetadresse in eine falsche IP-Adresse umgewandelt wird. So landet das Opfer auf einer Fake Website und gibt unbedarft seine Daten Preis.

Folgen Sie uns auf