Social-Engineering-Angriffe auf den Service Desk Bei Anruf Account-Übernahme

Wenn Anrufer beim Service Desk das Zurücksetzen eines Passwortes verlangen, kann Social Engineering dahinter stecken. Der IT-Support verhilft dann ungewollt und ahnungslos dem Angreifer zu einem Zugang zu Systemprivilegien und vertraulichen Daten. Mit Specops Secure Service Desk lassen sich die Identitäten der Anrufer verifizieren und ein Hacking per Telefonanruf verhindern.

Gesponsert von

Specops Software GmbH

Specops Software GmbH

Social Engineering, um Passwörter zurückzusetzen

Wenn Nutzer eines ihrer Passwörter vergessen haben, melden sie sich bei dem Service Desk, oder sie können es selbst zurücksetzen. Wenn aber das Verfahren für den Passwort-Reset nicht richtig umgesetzt wird, öffnen sich Angriffsmöglichkeiten für Cyberkriminelle. Um das Zurücksetzen von Passwörtern abzusichern, müssen beide Wege intelligent geschützt werden, der Self-Service für den Passwort-Reset, aber auch die Möglichkeit, den Service Desk zu kontaktieren und um das Zurücksetzen des Passwortes zu bitten.

In vielen Unternehmen sind die Prozesse für den Passwort-Reset am Service Desk noch anfällig für Social-Engineering-Angriffe. Ruft zum Beispiel der angebliche Vorstand bei dem IT-Support an und verlangt dringend das Zurücksetzen eines seiner Passwörter, greifen die gleichen Mechanismen zur Manipulation wie bei einem klassischen CEO-Fraud, bei dem ein vorgetäuschter Vorgesetzter telefonisch die Überweisung eines hohen Geldbetrages verlangt.

Die Mitarbeiterinnen und Mitarbeiter im IT-Support trauen sich häufig nicht, die Identität des vorgespielten Vorstandsmitglieds zu hinterfragen, und führen den Passwort-Reset durch. Inzwischen bauen die Angreifer mittels Social Engineering nicht nur einen psychologischen Druck auf den Service Desk auf, selbst die Stimme des echten Vorstandes kann technisch nachgeahmt werden.

Abhängig von den kompromittierten Zugängen können die Schäden enorm sein, wenn für Anrufer mit gefälschter Identität die Neuvergabe des Passwortes ermöglicht wird. E-Mail-Zugänge können ebenso erbeutet werden wie Zugänge zu Anwendungen und Privilegien, die die komplette Produktion im Unternehmen lahmlegen können.

Man sollte sich klarmachen: Social-Engineering-Angriffe auf den Service Desk missbrauchen die Berechtigungen der IT-Administration zum Zurücksetzen von Passwörtern.

Unsicherheit beim Service Desk hat weitreichende Konsequenzen

Polizeibehörden wie das LKA Hamburg raten dringend dazu, die Identität eines Anrufers zu verifizieren, um CEO-Fraud verhindern zu können. Entsprechendes gilt natürlich auch für Anrufe, die das Zurücksetzen von Passwörtern verlangen. Doch 48 Prozent der Unternehmen besitzen noch keine Richtlinie zur Benutzerverifizierung für Passwort-Reset-Anfragen am IT-Service-Desk, wie eine Specops Software-Umfrage ergab.

„Basierend auf unseren jüngsten Erkenntnissen sind Passwort-Resets am Service Desk ein ernsthaftes Sicherheitsrisiko für Unternehmen jeder Größe”, sagt Marcus Kaber, CEO von Specops Software. „In Ermangelung einer Self-Service-Lösung zum Zurücksetzen von Passwörtern muss der Service-Desk-Agent überprüfen, ob der Anrufer der rechtmäßige Besitzer des Kontos ist, bevor er ein neues Passwort vergibt. Leider können Service-Desk-Agenten ohne eine sichere Verifizierungsrichtlinie unbefugten Nutzern Zugang zu Konten gewähren, ohne es zu wissen – was Unternehmen einem erhöhten Risiko kostspieliger Cybersecurity-Verstöße aussetzt.”

Beispiele für fehlende oder unzureichende Verifizierung am Service Desk gibt es viele. So berichtet zum Beispiel die EU-Agentur für Cybersicherheit ENISA: Ein Social Engineer könnte den Support Desk eines Unternehmens anrufen, unter dem Vorwand, ein leitender Mitarbeiter des Unternehmens zu sein und dringend Hilfe zur Wiederherstellung wichtiger Dienste zu benötigen. Ein ähnlicher Vorwand wurde bei dem vielbeachteten Hack gegen das Telefon von Paris Hilton verwendet, bei denen ein T-Mobile-Mitarbeiter am Service Desk ausgetrickst wurde, um wichtige vertrauliche Informationen bereitzustellen, so ENISA.

Mangelnde Sicherheit am Service Desk kann auch zu einer Datenschutzverletzung führen und zu Sanktionen und Bußgeldern durch die Aufsichtsbehörden für den Datenschutz führen. So hatte der Bundesdatenschutzbeauftragte (BfDI) den Telekommunikationsdienstleister 1&1 Telecom GmbH mit einer Geldbuße belegt. Aufgrund eines unzureichenden Authentifizierungsverfahrens bei der telefonischen Kundenbetreuung der 1&1 Telecom GmbH konnten Anrufer allein mit Angabe des Namens und Geburtsdatums eines Kunden weitreichende Informationen zu weiteren personenbezogenen Daten dieser Person erhalten. Hierin sah der BfDI einen Verstoß gegen die Datenschutzgrundverordnung (DSGVO).

Die Lösung: Benutzerverifizierung am Service Desk

Der Service Desk verwendet oftmals Daten, die aus einem HR-System oder Kundensystem abgerufen werden können, um Benutzer zu überprüfen. Häufig werden auch Sicherheitsfragen nach persönlichen Informationen verwendet. Dank umfangreicher persönlicher Daten im Internet ermöglicht Social Engineering den Cyberkriminellen, sich als die Zielperson, deren Zugänge missbraucht werden sollen, auszugeben.

„Die IT-Sicherheit am Service Desk stellt nicht immer sicher, dass die Benutzer wirklich die sind, für die sie sich ausgeben. Dies lässt Raum für Angreifer, die es als Hintertür für den Zugriff auf Netzwerkressourcen verwenden können“, sagt Lori Österholm, CTO bei Specops Software. „Mit Secure Service Desk können Unternehmen eine sichere Benutzerverifizierung durchsetzen und Methoden vermeiden, die für Social Engineering anfällig sind.“

Specops Secure Service Desk erzwingt die Benutzerverifizierung am Service Desk und verhindert so den Erfolg der Social Engineers bei ihren Anfragen für ein Zurücksetzen von Passwörtern. Wenn zum Beispiel ein Mitarbeiter sein Passwort vergisst, muss er zuerst seine Identität über einen einmaligen Code verifizieren, der an das mobile Gerät gesendet wird, das mit dem Active Directory-Konto des Benutzers verbunden ist. Sobald der Benutzer den Code erhält und gegenüber dem Service Desk Agenten bestätigt, kann das Passwort des Mitarbeiters zurückgesetzt werden. Zur Benutzerverifizierung können im Unternehmen vorhandene Authentifizierungslösungen wie Duo Security, Okta Verify, PingID und Symantec VIP eingebunden und genutzt werden. Mehr dazu können Sie in der Specops Secure Service Desk Overview erfahren.

Die Service-Desk-Agenten haben erst dann die Möglichkeit, Benutzerkonten sicher zurückzusetzen oder zu entsperren, nachdem der Benutzer erfolgreich verifiziert wurde. Specops Secure Service Desk erzwingt somit die Benutzerauthentifizierung am Service Desk und protokolliert die Vorgänge bei dem Passwort-Reset, um sicherzustellen, dass Informationen und Kennwortzurücksetzungen nicht Benutzern angeboten werden, die nicht verifiziert wurden. Secure Service Desk unterstützt mehrere Sprachen und kann mit dem Self-Service-Tool uReset zum Zurücksetzen des Passworts kombiniert werden, um das Entsperren des Kontos und den Vorgang zum Zurücksetzen des Passworts zu unterstützen.

Vereinbaren Sie eine kostenlose Live-Demo von Specops Secure Service Desk und sehen Sie selbst, wie sich damit die Social-Engineering-Attacken zur Account-Übernahme am Service Desk verhindern lassen.

Nach der Benutzerverifizierung und dem legitimierten Zurücksetzen eines Passwortes geht die Unterstützung durch SpecOps Software weiter. Bei der Neuvergabe eines Passwortes unterstützt zum Beispiel die neue Funktion Dynamic Feedback den Benutzer in intelligenter Weise bei der Wahl eines sicheren Passwortes. Dies wird in dem nächsten Teil dieser Serie näher betrachtet. Wer jetzt schon schauen möchte, findet die Lösung hier:

(ID:47570869)