BEC-Attacken bevorzugt an Werktagen

Barracuda publiziert aktuellen Report „Spear Phishing: Top Threats and Trends“

[datensicherheit.de, 03.12.2019] Unter sogenannten Spear-Phishing-Angriffen werden stark personalisierte E-Mail-Angriffe mit sorgfältig gestalteten Inhalten von vermeintlich vertrauenswürdigen Kollegen, Websites oder Unternehmen verstanden. Laut einer aktuellen Meldung von Barracuda haben es dabei „Business eMail Compromise“-Angriffe (BEC) besonders in sich – obwohl sie vergleichsweise nur einen geringen Anteil an den verschiedenen Angriffsvektoren ausmachten, sei der finanzielle Schaden für Unternehmen und Institutionen umso höher. Zahlen hierzu sind demnach im aktuellen „Spear-Phishing“-Report von Barracuda zu finden.

Brand Impersonation bevorzugte Spear-Phishing-Attacke

Im Zeitraum von Juli bis September 2019 hat Barracuda nach eigenen Angaben 1,5 Millionen Spear-Phishing-Attacken bei über 4.000 Unternehmen oder Institutionen, die „Barracuda Sentinel“ einsetzen, identifiziert. Folgender vier Vektoren bedienten sich die Angreifer hauptsächlich:

• „Scamming“ (39 Prozent): Diese Angriffe zielten ab auf private, sensible und persönliche Informationen wie etwa Kontodaten oder Kreditkartennummern.
• „Brand Impersonation“ (47 Prozent): Diese Art von Spear-Phishing imitiere bekannte Unternehmen wie etwa Microsoft und damit verbundene, häufige Geschäftsvorgänge.
• „Blackmailing“ (7 Prozent): Die häufigsten Erpressungsbetrügereien seien sog. Sextortion-Angriffe, bei denen Cyber-Kriminelle vorgäben, im Besitz eines kompromittierenden Videos zu sein, das angeblich auf dem Computer des Opfers aufgezeichnet worden sei, und drohten, es mit allen Kontakten des Opfers zu teilen – es sei denn, die Zielperson bezahlt.
• „Business eMmail Compromise“ (BEC) (7 Prozent): Diese Attacken seien auch bekannt als „CEO-Fraud“, „Whaling“ oder „Wire-Transfer-Fraud“ – sie machten zwar nur einen kleinen Teil der Spear-Phishing-Angriffe aus, seien aber umso gefährlicher. Laut FBI seien BEC-Angriffe in den vergangenen vier Jahren für einen Schaden von mehr als 26 Milliarden US-Dollar verantwortlich gewesen.

BEC selten, aber umso gefährlicher

Die äußerst zielgerichteten BEC-Angriffe seien extrem schwer zu erkennen, weil sie selten eine URL oder einen bösartigen Anhang enthielten, und stehen demnach im Mittelpunkt des aktuellen Barracuda-Reports. Dessen wichtigsten Erkenntnisse:

• 91 Prozent der BEC-Angriffe fänden werktags statt und würden im Regelfall während der üblichen Geschäftszeiten des ins Visier genommene Unternehmen verschickt. Die Angreifer wollten damit die typischen Geschäftsabläufe simulieren, um diese so unverdächtig wie möglich erscheinen zu lassen.
• Der durchschnittliche BEC-Angriff ziele auf nicht mehr als sechs Mitarbeiter ab. 94,5 Prozent aller Angriffe nähmen weniger als 25 Personen ins Visier.
• 85 Prozent der BEC-Exploits seien als dringende Anfragen getarnt, welche vorgeblich eine schnelle Reaktion erforderten.
• BEC-Angriffe auf geschäftliche E-Mails hätten hohe Klickraten. Jede zehnte Spear-Phishing-E-Mail verleite den Adressaten, diese anzuklicken. Drei von zehn Spear-Phishing-E-Mails brächten den Adressaten dazu, sie zu öffnen, wenn das Schreiben suggeriere, von der Personal- oder der IT-Abteilung des Unternehmens zu kommen.

Vorsichtsmaßnahmen treffen und Taktiken der Cyber-Kriminellen kennen

„Angreifer finden immer wieder neue Wege, um BEC-Angriffe noch überzeugender zu gestalten, was sie letztlich teurer und schädlicher für Unternehmen macht“, warnt Don MacLennan, SVP, „Email Protection, Engineering and Product Management“ bei Barracuda.
Die richtigen Vorsichtsmaßnahmen zu treffen und über die Taktiken der Cyber-Kriminellen auf dem Laufenden zu bleiben, werde Unternehmen helfen, sich effektiver gegen diese sehr gezielten Angriffe zu verteidigen.

Weitere Informationen zum Thema:

Barracuda, November 2019
Spear Phishing: Top Threats and Trends / Defending against business email compromise attacks

datensicherheit.de, 25.03.2019
Dreister BEC-Betrug: Schaden von 170.000 US-Dollar

datensicherheit.de, 08.09.2018
Security-Systeme: Business Email Compromise-Angriffe schwer erkennbar

datensicherheit.de, 18.07.2018
BEC und EAC Fraud: Schäden in Milliardenhöhe