Schwachstelle Mensch – Wie soziale Netzwerke ausgenutzt werden können Spionage durch Social Engineering in Business-Portalen und Weblogs

Viele Unternehmen rüsten ihre EDV mit Firewalls, Virenscanner und anderen Abwehrmechanismen auf, um sich gegen Angriffe von außen zu schützen. Netzwerk-Security-Devices stellen allerdings nur einen Schutz auf technischer Ebene dar. Wie aber sieht es mit dem Menschen aus? Welche Gefahr geht von Mitarbeitern und Administratoren aus, wenn diese gesprächig werden? Jegliche Sicherheitsmaßnahmen und -richtlinien werden nutzlos, wenn der Mensch als Schnittstelle genutzt wird, um an Daten zu gelangen.

Anbieter zum Thema

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Derzeit entstehen und existieren viele soziale Netzwerkplattformen im Internet, um den Bedürfnissen der Menschen gerecht zu werden. Dazu gehört auch, neue Geschäftspartner zu finden und berufliche Kontakte zu knüpfen. Xing, Monster.de oder LinkedIn sind nur einige der modernen Plattformen, die im Internet ihren Platz gefunden haben.

Doch potentielle Angreifer sehen in den Nutzern sozialer Netzwerke eine unerschöpfliche Informationsquelle um an Daten zu gelangen, die sonst wesentlich schwerer zu bekommen wären. Man sollte außerdem bedenken, dass der PC selbst sehr viele Informationen über den Anwender und sein System preisgibt.

Für das Ausnutzen von Kontakten und sozialen Netzwerken ist der Hype um Blogs nicht uninteressant, denn dort verraten Menschen sehr viele Informationen über sich und das Arbeitsumfeld. Es ist ein ungesunder Exibitionismus zu beobachten, der durchaus ein Risiko darstellt. Denn Google bietet mit einer sehr umfangreichen Suchmöglichkeit ein Hilfsmittel, um Details zu Tage zu fördern, die manches Mal besser verborgen geblieben wären.

Xing: Social Engineering für Business Kontakte

Vormals unter openBC bekannt, ist Xing.com zu einer der großen Netzwerkplattformen geworden, die sich im Verknüpfen von Business-Kontakten einen Namen machen will. Das Portal bietet nahezu perfekte Möglichkeiten, an Administratoren und Geschäftsinhaber heran zu treten und Kontakte zu knüpfen. Social Networking schafft das nötige Vertrauen, um an wichtige Firmendaten in Bezug auf Wirtschaftskriminalität gelangen zu können.

Xing.com hat sich zum Ziel gesetzt, dass Mitglieder an Kontakte heran treten können, die für ihre Geschäftstätigkeit relevant sein können – denn ohnehin kennt man bekanntlich „jeden über 6 Ecken“. Allerdings sollte man sich einige Fragen stellen, bevor man in Kommunikation tritt und Informationen über das eigene Unternehmen preisgibt:

• Kennt man die Person wirklich, die hinter einem Profil steckt?
• Was weiß man wirklich über einen anderes Mitglied, das ein ordentlich ausgefülltes Profil mit Foto und detaillierten Angaben hat?
• Können die Daten, die in einem Profil eingetragen werden, als echt eingestuft werden und entsprechen diese der Realität?

Grundsätzlich ist zu empfehlen, dass man gegenüber neuen Kontakten skeptisch ist und sich verschlossen hält, wenn es um Firmendaten geht.

Social Engineering – ein mögliches Angriffsszenario

In den Gruppen (Foren) von Xing.com gibt es ausreichend Möglichkeiten, sich mit Fachwissen zu bereichern – und so stellt der eine oder andere Administrator schon mal eine Frage, die auf technische Gegebenheiten hindeutet. Diese können aufzeigen, welche Netzwerke und Hardware das Unternehmen des Administrators einsetzt.

Hat sich ein Angreifer bzw. Spion in den ersten Mails das nötige Vertrauen geschaffen, kann er anschließend auf persönliche Belange des Opfers eingehen. Denn die persönliche Situation lässt sich leicht ausnutzen, um an weitere Daten zu kommen. Nicht selten wird die finanzielle Situation des Angestellten angesprochen – und man ködert ihn mit einem deutlich hören Gehalt. Dabei kann man exakter hinterfragen, was genau derzeit die Tätigkeiten sind und welche Aufgaben genau er bislang übernommen hat.

Nach recht kurzer Zeit könnte der Administrator Details zur Netzwerkstruktur verraten, welche Firewall im Einsatz ist oder auch welche weiteren Schutzmechanismen greifen. Der Administrator wird somit Stück für Stück als Spion gegen die Firma genutzt, für die er derzeit tätig ist.

Andere Quellen für nützliche Informationen

Eine weitere Möglichkeit der Spionage stellen direkte Stellenangebote von Firmen dar, die einen Administrator suchen. Bereits in der Anzeige verrät das Unternehmen eine Menge über die eingesetzte Hardware, da hierfür Kenntnisse erforderlich sind. Oftmals werden auch entsprechende Zertifikate hinterfragt und Fähigkeiten für spezielle Firewalls sowie Netzwerkgeräte gefordert.

Auf diese Weise lassen Informationen, die man teilweise aus Stellenausschreibungen bekommt, häufig Rückschlüsse auf die Netzwerkstruktur und die Sicherheitshardware zu. Der potentielle Angreifer kann somit leichter ins Unternehmensnetzwerk eindringen.

Doch nicht nur sogenannte Business-Portale sind eine mögliche Informationsquelle, auch Liebessuchende können Online schlecht Geheimnisse wahren. Lesen Sie im zweiten Teil dieses Beitrags, wie in Single-Börsen leichtfertig mit Firmendaten umgegangen wird.

(ID:2008435)