gesponsertCrime-as-a-Business Phishing hat sich professionalisiert und ist Unternehmensalltag

Der steile Aufstieg von Phishing-Angriffen in den letzten Monaten war Grund genug für Sophos, diese Form der Cyberkriminalität einmal näher zu untersucht. Das Ergebnis: Ausgefuchste Taktiken in Tateinheit mit penetrantem Auftreten machen die neue Qualität von Phishing-Emails aus.

Die Angreifer haben die Vorteile von Malware-as-a-Service (MaaS) entdeckt – ein Cousin von Ransomware-as-a-Service (RaaS), beide wohnhaft im Dark Web – um die Effizienz und das Volumen von Attacken zu steigern. Lieblings-Ziel: die Mitarbeiter. Aus der aktuellen Forschung geht hervor, dass die beste Verteidigung gegen Phishing-Attacken eine duale Strategie ist:

• Einsatz moderner Sicherheitstechnologien

• Sensibilisierung der Mitarbeiter für Angriffswege und Verhalten

Tägliche Angriffe bei 41 Prozent der Unternehmen

Traditionell lässt sich Phishing im Online Banking verorten. Aber die Angriffstechnik ist weit mehr als eine gefälschte Seite zum Abgreifen sensibler Bankdaten. Cyberkriminelle erlangen mit Phishing auch andere wertvolle User-Informationen oder gar Systemzugriff. Angesichts des exorbitant gestiegenen Volumens, angefeuert durch Dark-Web-Angebote wie kostenlose Phishing-Bausätze und PaaS (Phishing-as-a-Service), lässt sich feststellen: Phishing ist Big Business und täglicher Bestandteil des Geschäftslebens. 41 Prozent der IT-Fachleute geben an, dass ihre Organisation zumindest täglich Phishing-Angriffe erwartet. Mehr als Dreiviertel (77 Prozent) rechnet zumindest monatlich mit einer Attacke.

Phishing ist Big Business

Das Phishing-Ökosystem nährt dank seiner Dienstleistungsmentalität auch Kriminelle ohne jegliches IT-Verständnis. Ganze Kampagnen und dazu gehörige Kontrollpanels lassen sich im Dark Web mittlerweile erwerben. So bleibt noch Zeit fürs perfide Feintuning und die Businessauswertung: die Klickrate von Phishing-Emails liegt bei 14 Prozent – sechsmal höher als bei gängigen Marketing-Emails (2,4 Prozent). Die Bausätze und Services sparen viel Zeit und lassen den Angreifern wiederum Raum für weitere Ideen wie beispielsweise Business Email Compromise (BEC).

Fazit

Während wir viele „Zu-schön-um-wahr–zu-sein“-Angebote und Skurriles sofort durchschauen, scheinen unsere Abwehrmechanismen bei Emails, die die tägliche Arbeit betreffen, zu pausieren. Die Top 3 der höchsten Phishing-Klickraten sind:

• einfache, Aufgaben-basierte Betreffzeilen, wie „[JIRA] Eine Aufgabe wurden Ihnen zugewiesen“ (Klickrate 38,5 Prozent)

• alltägliche Themen, wie „Meeting nächste Woche“ (29,1 Prozent)

• Andeutung von Fehlverhalten, wie „Belästigungs-Achtsamkeits-Training“ (26,0 Prozent)

Es heißt also immer auf der Hut sein. Denn die Nutzer selbst sind die erste Defensive gegen eine Phishing-Attacke. Sophos bietet mit Phish Threat zu diesem Zweck eine fortschrittliche Phishing-Angriffssimulator- und Schulungslösung an. Damit können IT-Manager authentische Phishing-Simulationen und Phishing-Schulungen erstellen sowie gezielte Verhaltenskorrekturen bei den Mitarbeitern einleiten. Die Simulation hilft Anwendern ein Phishing-Angriff zu erkennen und ohne echtes Risiko aus den zu Fehlern lernen.

(ID:48410048)