3 Lehren aus dem Verlust von 100 Millionen Dollar durch Facebook und Google aufgrund einer Spear-Phishing-Attacke

Die BBC berichtete kürzlich, dass Facebook und Google getrennt voneinander über 100 Millionen Dollar an einen einzigen Hacker in Litauen überwiesen haben. Auch wenn es sich hier um globale Unternehmensgiganten handelt, gibt es Lektionen für jeden, was die Cybersicherheit im Jahr 2017 angeht.

1. Ein einzelner Hacker kann einen großen finanziellen Schaden verursachen
2. Unabhängig davon, wie ausgeklügelt Ihre Cybersicherheitsmaßnahmen sind, sind Sie einem Risiko ausgesetzt
3. Spear-Phishing und Social Engineering umgehen Netzwerk- und Endpunktsicherheit

Cyber-Kriminelle geben sich als Lieferanten aus

Facebook und Google sind wirklich nicht die einzigen, die auf diese Art von Betrug hereinfallen. Vor nicht allzu langer Zeit wurde Ubiquiti Networks mit einem ähnlichen Social-Engineering-Angriff um 47 Millionen Dollar betrogen. Die BBC beschrieb den Ansatz, der Facebook und Google zu Fall brachte.

„Betrügerische Phishing-E-Mails wurden an Mitarbeiter und Vertreter der betroffenen Unternehmen verschickt, die regelmäßig Transaktionen in Millionenhöhe mit dem [asiatischen] Unternehmen durchführten“, erklärte das US-Justizministerium (DOJ) im März. Justizministerium (DOJ) im März.

Diese E-Mails gaben vor, von Mitarbeitern des in Asien ansässigen Unternehmens zu stammen, behauptete das DOJ, und wurden von E-Mail-Konten versandt, die so gestaltet waren, dass sie den Anschein erweckten, als kämen sie von dem Unternehmen, was jedoch nicht der Fall war.

Das war's. Klassisches Spear Phishing (Definitionen von Phishing, Spear Phishing, Social Engineering und Whaling finden Sie hier). Bestimmte Mitarbeiter wurden gezielt mit betrügerischen E-Mails angeschrieben. Der Täter fälschte Dokumente, um wie ein legitimer chinesischer Lieferant auszusehen. Zwei Unternehmen überwiesen 100 Millionen Dollar an einen einsamen Hacker. Das Ungewöhnliche an dieser Geschichte ist, dass der Hacker gefasst wurde und ein Teil der Gelder wiedererlangt werden konnte. Hätte es sich um einen ausgeklügelten Ring gehandelt, wie den, der die Swift-Überweisungen der Bangladesch-Bank in Höhe von 81 Mio. Dollar geknackt hat, wären die Gelder sicher längst verschwunden und könnten nicht mehr zurückgefordert werden.

Was ist hier falsch? Der Mensch lässt sich leicht täuschen.

In dem Artikel wurde ein „Sicherheitsexperte“ zitiert, der sehr gut erklärt, warum diese Angriffe auch weiterhin stattfinden werden. Er sagte: „Aber Menschen sind Teil der besten Sicherheit, die man haben kann – deshalb muss man sie schulen.“ Leser des Kaseya-Blogs wissen, dass wir Schulungen befürworten, um Mitarbeitern dabei zu helfen, Phishing- und Spear-Phishing-Angriffe zu erkennen. Die Leser wissen jedoch auch, dass selbst Mitarbeiter, die darin geschult sind, Phishing zu erkennen, immer noch 30 % der betrügerischen E-Mails öffnen. Das ist wahrscheinlich der Grund, warum 65 % der Unternehmen angaben, im letzten Jahr Opfer erfolgreicher Social-Engineering-Angriffe geworden zu sein.

Die Vorstellung, dass Sie sich darauf verlassen können, dass Menschen Ihre Firewall gegen ausgeklügelte Cyber-Betrügereien sind, ist überholtes Wunschdenken. Machen Sie ruhig ein paar Schulungen. Es kann helfen. Aber Sie müssen erkennen, dass Menschen leicht zu täuschen sind. Ihre Mitarbeiter brauchen die Hilfe der Automatisierung.

Aktuelle Cyber-Abwehrmaßnahmen können Spear-Phishing-Angriffe nicht stoppen.

Wie Schulungen sind auch Netzwerksicherheit und Endgeräteschutz notwendige Abwehrmaßnahmen. Das Problem ist, dass Social-Engineering-Taktiken wie Spear-Phishing diese Abwehrmaßnahmen umgehen, weil Ihre Mitarbeiter ihnen Zugriff gewähren. Der Mitarbeiter wird entweder dazu verleitet, etwas im Namen des Hackers zu tun, der sich als Geschäftspartner ausgibt, oder dazu gebracht, Anmeldedaten preiszugeben, die direkten Zugriff auf Ihre Systeme ermöglichen.

Eine Studie von PhishMe aus dem Jahr 2016 ergab, dass 91 % aller Cyberangriffe mit einem Phishing-Angriff begannen. Der viel zitierte DBIR-Bericht von Verizon aus dem Jahr 2015 kam zu dem Ergebnis, dass 90 % aller Sicherheitsvorfälle auf menschliches Versagen zurückzuführen sind. Sichern Sie Ihre Netzwerke und Endgeräte, aber seien Sie sich bewusst, dass das, was das FBI als „Business Email Compromise“ (BEC) bezeichnet, ein weit verbreiteter Vektor für Cyberangriffe ist. Sie können sich einfach nicht darauf verlassen, dass Menschen alle Cybersicherheitsangriffe korrekt identifizieren. Die Cyberangreifer recherchieren gründlich und haben eine hohe Erfolgsquote.

Was tun Sie, um Ihre Mitarbeiter vor Spear Phishing zu schützen?

Es gibt zwei automatisierte Ansätze, die heute zum Schutz von Mitarbeitern vor Spear-Phishing eingesetzt werden: DMARC und Trust^GraphTM. DMARC schützt Unternehmen vor einer Art von Spear-Phishing-Angriffen. Das ist besser als nichts. Der von Kaseya 365 User entwickelte Trust Graph schützt Unternehmen jedoch vor allen vier Arten von Spear-Phishing-Angriffen.

Der Trust Graph nutzt Graphentheorie und maschinelles Lernen, um Beziehungen zwischen dem externen E-Mail-Absender und dem empfangenden Mitarbeiter schnell zu analysieren und vergleicht außerdem andere Indikatoren mit extern und intern generierten Bedrohungsinformationen. Während einer 15-monatigen Beta-Testphase mit 10 mittelständischen Unternehmen hat der Kaseya 365 User Trust Graph erfolgreich Spear-Phishing- und Social-Engineering-Angriffe identifiziert. Sie können Kaseya 365 User in nur einer Minute aktivieren und kostenlos testen, um zu sehen, wie es funktioniert.