3 Lehren aus dem Verlust von 100 Millionen Dollar durch einen Spear-Phishing-Angriff bei Facebook und Google
Die BBC berichtete kürzlich, dass Facebook und Google unabhängig voneinander jeweils über 100 Millionen Dollar an einen einzigen Hacker in Litauen überwiesen haben. Auch wenn es sich hierbei um globale Unternehmensgiganten handelt, lassen sich daraus für jeden Lehren in Bezug auf die Cybersicherheit im Jahr 2017 ziehen.
- Ein einzelner Hacker kann einen großen finanziellen Schaden anrichten
- Ganz gleich, wie ausgefeilt Ihre Cybersicherheitsmaßnahmen auch sein mögen – Sie sind dennoch einem Risiko ausgesetzt
- Spear-Phishing und Social Engineering umgehen Netzwerk- und Endpunktsicherheit
Cyberkriminelle, die sich als Lieferant ausgeben
Facebook und Google sind eigentlich keine Ausnahme, wenn es darum geht, auf diese Art von Betrug hereinzufallen. Vor nicht allzu langer Zeit wurde Ubiquiti Networks durch einen ähnlichen Social-Engineering-Angriff um 47 Millionen Dollar betrogen. Die BBC hat die Vorgehensweise beschrieben, die Facebook und Google zu Fall gebracht hat.
„An Mitarbeiter und Vertreter der betroffenen Unternehmen, die regelmäßig Transaktionen in Millionenhöhe mit dem [asiatischen] Unternehmen abwickelten, wurden betrügerische Phishing-E-Mails versendet“, teilte das US- Justizministerium (DOJ) im März.
Diese E-Mails gaben vor, von Mitarbeitern des in Asien ansässigen Unternehmens zu stammen, so die Behauptung des DOJ, und wurden von E-Mail-Konten versendet, die so gestaltet waren, dass sie den Anschein erweckten, als stammten sie von dem Unternehmen, was jedoch nicht der Fall war.
Da haben wir es. Ein klassischer Fall von Spear-Phishing (Definitionen zu Phishing, Spear-Phishing, Social Engineering und Whaling finden Sie hier). Bestimmte Mitarbeiter wurden gezielt mit betrügerischen E-Mails angegriffen. Der Täter fälschte Dokumente, sodass sie wie von einem legitimen chinesischen Lieferanten stammten. Zwei Unternehmen überwiesen 100 Millionen Dollar an einen einzelnen Hacker. Das Ungewöhnliche an dieser Geschichte ist, dass der Hacker gefasst wurde und ein Teil der Gelder wiederbeschafft werden konnte. Wäre es sich um eine raffinierte Bande gehandelt, wie jene, die den Swift-Überweisungsbetrug bei der Bangladesh Bank in Höhe von 81 Millionen Dollar verübte, hätte man davon ausgehen können, dass das gesamte Geld längst verschwunden und nicht mehr einforderbar gewesen wäre.
Was stimmt hier nicht? Menschen lassen sich leicht täuschen.
In dem Artikel wurde ein Zitat eines „Sicherheitsexperten“ angeführt, das sehr gut verdeutlicht, warum diese Angriffe auch weiterhin stattfinden werden. Er sagte: „Aber Menschen sind Teil der besten Sicherheit, die man haben kann – deshalb muss man sie schulen.“ Leser des Kaseya-Blogs wissen, dass wir Schulungen befürworten, die Mitarbeitern helfen, Phishing- und Spear-Phishing-Angriffe zu erkennen. Die Leser wissen jedoch auch, dass selbst Mitarbeiter, die darin geschult sind, Phishing zu erkennen, immer noch 30 % der betrügerischen E-Mails öffnen. Das ist wahrscheinlich der Grund, warum 65 % der Unternehmen angaben, im letzten Jahr Opfer erfolgreicher Social-Engineering-Angriffe geworden zu sein.
Die Vorstellung, man könne sich auf Menschen als Schutzwall gegen raffinierte Cyberbetrugsversuche verlassen, ist ein überholtes Wunschdenken. Führen Sie ruhig Schulungen durch. Das kann helfen. Aber Sie müssen sich bewusst sein, dass Menschen leicht getäuscht werden können. Ihre Mitarbeiter brauchen die Unterstützung durch Automatisierung.
Aktuelle Cyberabwehrmaßnahmen können Spear-Phishing-Angriffe nicht abwehren.
Genau wie Schulungen sind auch Netzwerksicherheit und Endgeräteschutz notwendige Abwehrmaßnahmen. Das Problem ist, dass Social-Engineering-Taktiken wie Spear-Phishing diese Abwehrmaßnahmen umgehen, weil Ihre Mitarbeiter ihnen Zugriff gewähren. Der Mitarbeiter wird entweder dazu verleitet, im Namen des Hackers, der sich als Geschäftspartner ausgibt, etwas zu tun, oder dazu gebracht, Zugangsdaten preiszugeben, die direkten Zugriff auf Ihre Systeme ermöglichen.
Eine PhishMe-Studie aus dem Jahr 2016 ergab, dass 91 % aller Cyberangriffe mit einem Phishing-Angriff begannen. Der viel zitierte DBIR-Bericht von Verizon aus dem Jahr 2015 kam zu dem Ergebnis, dass 90 % aller Sicherheitsvorfälle auf menschliches Versagen zurückzuführen waren. Sichern Sie Ihre Netzwerke und Endgeräte, aber seien Sie sich bewusst, dass das, was das FBI als „Business Email Compromise“ (BEC) bezeichnet, ein weit verbreiteter Angriffsvektor ist. Man kann sich einfach nicht darauf verlassen, dass Menschen alle Cyberangriffe korrekt erkennen. Die Cyberangreifer recherchieren gründlich und haben eine hohe Erfolgsquote.
Was unternehmen Sie, um Ihre Mitarbeiter vor Spear-Phishing zu schützen?
Es gibt zwei automatisierte Ansätze, die heute zum Schutz der Mitarbeiter vor Spear-Phishing eingesetzt werden: DMARC und Trust Graph™. DMARC trägt dazu bei, Unternehmen vor einer bestimmten Art von Spear-Phishing-Angriffen zu schützen. Das ist besser als gar nichts. Der von Kaseya 365 User entwickelte Trust Graph schützt Unternehmen jedoch vor allen vier Arten von Spear-Phishing-Angriffen.
Der „Trust Graph“ nutzt Graphentheorie und maschinelles Lernen, um die Beziehungen zwischen dem externen E-Mail-Absender und dem empfangenden Mitarbeiter schnell zu analysieren, und vergleicht zudem weitere Indikatoren mit externen und intern generierten Quellen für Bedrohungsinformationen. Im Rahmen einer 15-monatigen Beta-Testphase mit 10 mittelständischen Unternehmen hat der „ Kaseya 365 User Trust Graph“ Spear-Phishing- und Social-Engineering-Angriffe erfolgreich identifiziert. Sie können den „ Kaseya 365 User“ in nur einer Minute aktivieren und kostenlos testen, um sich von seiner Funktionsweise zu überzeugen.
