[datensicherheit.de, 25.03.2019] Detlev Weise, „Managing Director“ bei KnowBe4, geht in seinem aktuellen Kommentar auf einen Vorfall infolge einer sogenannten Business-E-Mail-Compromise (BEC) ein. Laut der News-Website „CyberScoop“ sollen zwei Rüstungsunternehmen und eine Universität im Jahr 2018 etwa 170.000 US-Dollar durch BEC verloren haben. Die Betrüger haben sich demnach als Mitarbeiter in den Unternehmen ausgegeben, indem sie E-Mail-Adressen fälschten, und dann gefälschte Kreditlinien nutzten, um teure Einkäufe zu tätigen.

Besonders gezielter E-Mail-Betrug

Im Gegensatz zu Massen-Phishing-Angriffen ist BEC laut Weise eine Form „besonders gezielten E-Mail-Betrugs“, der Mitarbeiter in den Unternehmen nachahmt.
Ziel sei es, betrügerische Überweisungen zu erbitten und Unternehmensdaten, Anmeldedaten und andere vertrauliche Daten zu stehlen. „Da sie selten schädliche Links oder Anhänge enthalten, sind BEC-Scams extrem schwer zu verhindern“, warnt Weise.

In den letzten Jahren immer wieder betrügerische Profite erzielt

In einem Fall habe sich ein Betrüger als Universitätsmitarbeiter ausgegeben und 150 elektronische Messinstrumente bei einem US-Verteidigungsunternehmen bestellt, wodurch insgesamt 80.000 US-Dollar gestohlen worden seien. Zwei ähnliche Vorfälle hätten zu einem weiteren Verlust von 90.000 US-Dollar bei einem Verteidigungsunternehmen geführt.
Cyber-Kriminelle hätten mit BEC in den letzten Jahren immer wieder Profite erzielen können. Eine in London ansässige kriminelle Gruppe habe laut dem E-Mail-Sicherheitsunternehmen Agari eine Liste von mehr als 50.000 Unternehmensmitarbeitern, darunter die der weltweit größten Banken, zusammengestellt, um im großen Stil Geld zu entwenden.

Manchmal hilft ein Telefonanruf bei der Betrugsaufdeckung…

Das FBI habe den Vorfall damit kommentiert, dass diese Betrügereien hätten verhindert werden können – die betroffenen Rüstungsfirmen hätten Schritte unternehmen müssen, um zu bestätigen, dass die Käufe fingiert waren.
In vielen Fällen könne ein einfacher telefonischer Anruf bei dem Geschäftspartner einen betrügerischen E-Mail-Austausch aufdecken. Das „New School-Security Awareness Training“ könne Mitarbeitern beibringen, allen Transaktionsanforderungen zu misstrauen, bis sie sich ihrer Legitimität absolut sicher sind, empfiehlt Weise.

Foto: KnowBe4

Detlev Weise: Mitarbeitern beibringen, allen Transaktionsanforderungen zu misstrauen, bis deren Legitimität absolut sicher ist!

Weitere Informationen zum Thema:

datensicherheit.de, 20.12.2018
Spear Phishing: Hilfsorganisation verlor eine Million US-Dollar

datensicherheit.de, 06.12.2018
Quora: 100 Millionen Nutzer von Hacker-Angriff betroffen

[datensicherheit.de, 20.12.2018] Laut einer Meldung im „Boston Globe“ soll die weltweit operierende Hilfsorganisation Save The Children im Jahr 2017 von einem Hacker angegriffen worden sein. Der Angreifer hat demnach rund eine Million US-Dollar unter dem Vorwand ergaunert, von dem Geld Solaranlagen für ein Gesundheitszentrum in Pakistan zu kaufen. Der Angriff sei über ein im Mai 2017 kompromittiertes E-Mail-Konto eines Mitarbeiters durchgeführt worden. Von dem gehackten Konto hätten die Cyber-Kriminellen gezielt gefälschte Rechnungen und andere Dokumente mit Zahlungsanweisungen an andere Angestellte verschickt.

Offensichtlich ein „Spear Phishing“-Angriff

„Der Vorfall bei Save The Children lässt sich deutlich als ,Spear Phishing,-Angriff kategorisieren. ,Spear Phishing‘ ist eine besonders zielgerichtete Form des Phishings. Die Cyber-Kriminellen haben dazu entweder gezielt über eine Person Nachforschungen angestellt oder Daten von Social-Media-Seiten über sie gesammelt“, erläutert Detlev Weise, „Managing Director“ bei KnowBe4.
Die E-Mail gehe in der Regel an eine Person oder eine kleine Gruppe von Personen, die diese Dienstleistung nutzen. Solche E-Mails seien in der Regel besonders personalisiert.

Bild: KnowBe4

Detlev Weise, „Managing Director“ bei KnowBe4

„Security Awareness“-Trainings für Mitarbeiter empfohlen

„Wir leben in einer Ära des ,Social Engineering‘. Wir können uns nicht vollständig auf Antiviren-Programme verlassen, um alle Systeme sicher zu halten. Wenn technische Vorkehrungen versagen, sind Mitarbeiter die letzte Verteidigungslinie jeder Organisation und müssen entsprechend geschult werden“, betont Weise.
„Security Awareness“-Trainings böten hierfür Lösungen, die den Mitarbeitern dabei helfen könnten, wachsam zu bleiben und Phishing-Angriffe rechtzeitig zu erkennen. Dadurch seien sie weniger gefährdet, auf betrügerische Angriffe hereinzufallen. Laut Weise wurde z.B. das „New School Security Awareness-Training“ entwickelt, um Benutzern mit Hilfe von praxisnahen Simulationen per E-Mail, Telefon und SMS aufzuzeigen, wie sie sogenannte „Red Flags“, also Hinweise auf Phishing-, Smishing- und Vishing-Versuche erkennen können. Sie seien dann deutlich besser auf Gefahren vorbereitet.

Weitere Informationen zum Thema:

golem.de, 14.12.2018
Save The Children verliert 1 Million US-Dollar an Betrüger

The Bosotn Globe, 13.12.2018
Hackers fooled Save the Children into sending $1 million to a phony account

datensicherheit.de, 06.12.2018
Quora: 100 Millionen Nutzer von Hacker-Angriff betroffen

datensicherheit.de, 23.10.2018
KnowBe4 veröffentlicht Top-Klicks Phishing Report für das 3. Quartal

datensicherheit.de, 18.10.2018
IT-Sicherheit über die menschlichen Ebene erreichen

datensicherheit.de, 16.09.2018
Phishing-Nachrichten: Anstieg des CEO-Frauds zu beobachten

[datensicherheit.de, 06.12.2018] Laut Medienberichten hat am 30. November 2018 der US-Online-Fragedienst Quora mitgeteilt, dass rund 100 Millionen Nutzer von einem Hacker-Angriff betroffen sein sollen. Die Angreifer haben demnach unter anderem sensible Informationen wie E-Mail-Adresse, unkenntlich gemachte Passwörter, Username, private Direktnachrichten, Kommentare und die Bewertungen der Antworten sowie Informationen, die von „LinkedIn“ importiert wurden, erbeutet. Der Angriff auf Quora soll auf „Social Engineering“ basieren und hätte durch ein modernes „Security Awareness“-Training verhindert werden können, kommentiert Detlev Weise, „Managing Director“ bei KnowBe4.

Bild: KnowBe4

Detlev Weise, „Managing Director“ bei KnowBe4

„Social Engineering“ und Malware derzeit größte Sicherheitsrisiken

„Social Engineering und Malware stellen derzeit eines der größten Sicherheitsrisiken für sensible Daten dar. Die Komplexität der IT und mangelnde Schulung von Mitarbeitern erhöhen die ohnehin schon schwierige Aufgabe, Online-Dienste, Desktop-Geräte und das gesamte Netzwerk eines Unternehmens abzusichern“, so Detlev Weise.

Schulungsinitiativen zur „Security Awareness“ intensivieren!

Daher konzentrierten sich viele Unternehmen weitgehend auf die Abwehr dieser Angriffe, indem sie ihre Schulungsinitiativen zur „Security Awareness“ nun intensivierten.
Weise: „Security Awareness-Trainings helfen den Mitarbeitern dabei, wachsam zu bleiben und Social Engineering rechtzeitig zu erkennen, wodurch sie weniger anfällig für betrügerische Angriffe sind.“

Erkennen von Phishing-, Smishing- und Vishing-Versuchen trainieren!

Ein modernes Trainingsprogramm kläre die Teilnehmer über Anzeichen und Gefahren von sogenannten Phishing-, Smishing- und Vishing-Versuchen auf und trainiere sie anschließend mit praxisnahen Simulationen.
Eine dafür geeignete Plattform verfüge über eine hohe Zahl von Vorlagen für simulierte Social-Engineering-Angriffe per E-Mail, Telefon und SMS.

Mitarbeiter sensibilisieren!

Diese könnten automatisiert genutzt werden, um Mitarbeiter zu sensibilisieren, Sicherheitslücken und bösartige Betrugsversuche zu erkennen, so dass sie sich vor solchen unvorhergesehenen Angriffen schützen können.
„Das Risiko eines Datenschutzvorfalls wie bei Quora, kann dadurch stark reduziert werden“, erläutert Weise.

Weitere Informationen zum Thema:

datensicherheit.de, 23.10.2018
KnowBe4 veröffentlicht Top-Klicks Phishing Report für das 3. Quartal

datensicherheit.de, 13.10.2018
ESET: Hacker-Gruppen kooperierten bei Angriff auf Energieversorger