Jeder wird gezielt angegriffen Die Automatisierung von Spear Phishing

Anbieter zum Thema

F5 Networks GmbH

Fsas Technologies GmbH

FTAPI Software GmbH

Bislang ließen sich Phishing-Mails leicht an Rechtschreib- und Grammatikfehlern erkennen. Doch KI-basierte Tools erstellen nicht nur überzeugende Inhalte, sondern ermöglichen auch eine durchgängige Automatisierung von Spear Phishing, also den gezielten Angriff auf bestimmte Personen. Daher müssen Unternehmen ihre bestehenden Anti-Phishing-Maßnahmen deutlich verstärken.

Es ist noch nicht lange her, als Phishing-E-Mails aufgrund schlechter Rechtschreibung, Grammatikfehlern und falschem Satzbau sofort aufgefallen sind. Außerdem waren die Inhalte recht generisch und oft unglaubwürdig – wie der berühmt-berüchtigte Prinz aus Nigeria.

Die meisten Anwender waren bisher noch nie mit individuell auf sie zugeschnittenen Spear-Phishing-Angriffen konfrontiert. Denn für die Kriminellen war es sehr kostspielig und aufwendig, den persönlichen Hintergrund zu erforschen und zielgerichtete Nachrichten zu verfassen. Doch diese Zeiten sind vorbei. Generative KI ermöglicht eine durchgängige Automatisierung von Spear Phishing. Dies senkt die Kosten und erweitert die Anwendungsbereiche.

Zur Erstellung einer überzeugenden Spear-Phishing-Nachricht für einen E-Mail-Angriff auf einen Mitarbeiter im Unternehmen (Business Email Compromise, BEC) sind verschiedene Schritte nötig: Der Angreifer wählt ein bestimmtes Opfer aus, recherchiert es in sozialen Medien, findet dessen engste Kontakte und ermittelt die Interessen der Zielperson. Mit diesen Informationen verfasst der Angreifer eine personalisierte E-Mail in einem Tonfall, der keinen Verdacht erregen soll. Dies erfordert ein sorgfältiges Sammeln und Auswerten von Hinweisen sowie ein gewisses Fingerspitzengefühl.

Security-Insider Podcast – Folge 84

Gehackt! Was jetzt?

So gehen Angreifer vor

Aufgrund des Aufwands wurden bislang nur ausgewählte Ziele auf diese Weise angegriffen – vor allem Geschäftsführer, IT-Administratoren sowie Mitarbeiter der Finanzabteilung, die auf sensible Kundendaten zugreifen oder Rechnungen abzeichnen dürfen. Doch die einzelnen Schritte für Spear Phishing lassen sich inzwischen alle automatisieren. Dazu zählen das Durchforsten von Social-Media-Inhalten und der Einsatz von Credential Stuffing, um Konten zu übernehmen und Informationen zu sammeln. Auf dieser Grundlage können Angreifer durch Automatisierung ein individuelles Personendossier über das Leben eines Opfers erstellen.

Damit geben Angreifer sehr persönliche Informationen in einen ChatGPT-ähnlichen Dienst ein, der ohne entsprechende Sicherheitsfunktionen gezielte und effektive Spear-Phishing-Nachrichten erstellt. So lassen sich ganze Reihen von Nachrichten erzeugen, die sich über mehrere Kanäle erstrecken, von E-Mails bis hin zu sozialen Medien. Die Nachrichten stammen dann von mehreren gefälschten Konten. Dabei besitzt jedes Konto eine gut ausgearbeitete Persona, die auf Basis der Vertrauensneigung der Zielperson erstellt wurde.

Die Gefahr steigt

Es gibt klare Anzeichen dafür, dass die Umsetzung dieses Szenarios unmittelbar bevorsteht. Berichte über neue Angriffstools wie WormGPT und FraudGPT, die im Dark Web angeboten werden, zeigen: Kriminelle haben damit begonnen, generative KI für bösartige Zwecke wie Phishing zu nutzen. Auch wenn diese Technologien noch nicht in großem Umfang für die End-to-End-Automatisierung zum Einsatz kommen, fügen sich die einzelnen Puzzle-Teile langsam zusammen. Die wirtschaftliche Dynamik der Cyberkriminalität macht eine entsprechende Entwicklung fast unvermeidlich.

Das Weltwirtschaftsforum (WEF) schätzt, dass die Cyberkriminalität inzwischen die drittgrößte Wirtschaftsmacht der Welt ist, hinter den USA und China. Die dadurch erzeugten Kosten werden 8 Billionen Dollar im Jahr 2023 und 10,5 Billionen Dollar im Jahr 2025 erreichen. Die Wirtschaft der Cyberkriminalität umfasst dabei Anbieter mit unterschiedlichen Spezialisierungen: Es gibt welche, die gestohlene Zugangsdaten verkaufen, die Zugang zu kompromittierten Konten gewähren, die Innovationen vorantreiben oder die IP-Adressen-Proxys für Dutzende von Millionen privater IP-Adressen anbieten.

Darüber hinaus gibt es Phishing-as-a-Service-Provider, die komplette Toolkits von E-Mail-Vorlagen bis hin zu Echtzeit-Phishing-Proxy-Sites bereitstellen. Da die Anbieter um die Gunst der Kriminellen konkurrieren, werden die Organisationen gewinnen, die einen End-to-End-Service zu den niedrigsten Kosten anbieten. Diese Dynamik wird die Automatisierung von Spear Phishing vorantreiben. So dürften sich Organisationen herausbilden, die sich auf verschiedene Arten der Datenerfassung rund um Ziele, Datenaggregation und LLMs spezialisieren, sich auf bestimmte Branchen konzentrieren oder sich durch bestimmte Betrugsarten auszeichnen.

Schutzmaßnahmen für Unternehmen

Angesichts der erwarteten Zunahme von Spear Phishing und der Erweiterung auf prinzipiell jeden Mitarbeiter müssen Unternehmen ihre bestehenden Anti-Phishing-Maßnahmen verbessern, zum Beispiel:

• Phishing-Schulungen intensivieren: Schon seit langem ist es wichtig, die Mitarbeiter regelmäßig über die Gefahren von Phishing auf dem Laufenden zu halten. Dazu gehört, wie sie verdächtige E-Mails erkennen und welche Schritte sie unternehmen müssen, wenn sie auf einen potenziellen Phishing-Versuch stoßen. Viele Unternehmen schulen ihre Mitarbeiter jedoch darin, Phishing-E-Mails an ihren Rechtschreib- und Grammatikfehlern zu erkennen. Heute müssen Mitarbeiter jedoch lernen, auf jede Anfrage von einer nicht vertrauenswürdigen, nicht überprüften Quelle zu achten. Simulierte Phishing-Kampagnen testen die Fähigkeit der Mitarbeiter, Phishing-E-Mails zu erkennen. Dazu sollten die Phishing-Nachrichten in gutem Deutsch geschrieben sein, professionell aussehen, sich individuell an bestimmte Mitarbeiter richten und von legitim erscheinenden Quellen stammen.

• Vor Echtzeit-Phishing-Proxys schützen: Angreifer nutzen Phishing häufig, um die Multi-Faktor-Authentifizierung (MFA) über Echtzeit-Phishing-Proxys zu umgehen. Phishing soll Benutzer dazu verleiten, ihre Anmeldedaten und ihr Einmal­passwort auf einer von den Kriminellen kontrollierten Website einzugeben. Diese leiten die Angaben dann über einen Proxy an die echte Anwendung weiter, um Zugang zu erhalten.

• Kontoübernahmen verhindern: Kriminelle erlangen die Kontrolle über eine große Anzahl von Konten, indem sie Credential Stuffing mit Hilfe von Bots durchführen. Neben finanziellem Betrug sammeln sie durch Scraping persönliche Daten, die sie für weitere Phishing-Angriffe nutzen können. Eine wirksame Abwehr von Bots erfordert eine umfangreiche Signalerfassung und Machine Learning.

• KI nutzen – gegen KI: Da Kriminelle generative KI für ihre Betrügereien einsetzen, sollten Unternehmen KI für ihre Sicherheitsmaßnahmen nutzen. KI-basierte Lösungen überwachen Transaktionen in Echtzeit über die gesamte User Journey hinweg, um bösartige Aktivitäten zu erkennen. Wer Betrugsversuche innerhalb von Anwendungen entdeckt, verringert den Schaden durch Phishing. Die Analyse des Datenverkehrs mit KI erfordert dabei auch eine effiziente Entschlüsselung von verschlüsselten Daten.

Ein Blick in die Zukunft

Generative KI führt eindeutig zu einer Reihe neuer Herausforderungen für die Sicherheit. Mit dem Aufkommen von automatisiertem Spear Phishing müssen Anwender ihren Vertrauensvorschuss überdenken. Während in der Vergangenheit der Anschein von Professionalität ausreichte, um einer Mail zu vertrauen, sind jetzt strengere Richtlinien nötig. Im neuen Zeitalter von Fehlinformationskampagnen, Deep Fakes und automatisiertem Spear Phishing müssen alle misstrauischer werden – und Unternehmen KI mindestens genauso rigoros für ihren Schutz einsetzen, wie die Kriminellen für ihre Angriffe.

Über den Autor: Stephan Schulz ist Regional Security Solution Architect bei F5.

(ID:49898908)