Der Unterschied zwischen Phishing, Spear-Phishing und Social Engineering

Es gibt viele Unterschiede zwischen Phishing, Spear-Phishing und Social-Engineering-Angriffen, doch diese Begriffe werden oft synonym und falsch verwendet. Das führt zu Verwirrung, wenn Angriffe beschrieben und Abwehrmaßnahmen geplant werden. Es ist wichtig, diese Angriffsarten zu verstehen.

In unserer Analyse der „5 Qualen von Cyberangriffen“ haben wir darauf hingewiesen, dass 60 % der Unternehmen angaben, im vergangenen Jahr Opfer von Social-Engineering-Angriffen geworden zu sein, und 61 % Spear-Phishing als eine der größten Bedrohungen der Gegenwart betrachteten. Andere Berichte zeigen, dass 91 % aller Cyberangriffe mit einer Phishing- oder Spear-Phishing-Kampagne beginnen, und Proofpoint stellte fest, dass 99,7 % der in Kampagnen mit Anhängen verwendeten Dokumente auf Social Engineering und Makros setzten.

Verstanden? Gut. Das Team von „ Graphus “ hat einige klare Definitionen zu den Begriffen Phishing, Spear-Phishing und Social Engineering zusammengestellt. Wir haben außerdem einige Beispiele hinzugefügt und als Bonus den Begriff „Whaling“ mit aufgenommen. Ein gemeinsames Verständnis dieser Begriffe kann IT-Abteilungen und Führungskräften dabei helfen, klarer zu kommunizieren und sich besser abzustimmen, um sich gegen die häufigsten Formen erfolgreicher Cyberangriffe zu verteidigen.

Was ist Phishing?

Herkömmliche Phishing-Betrugsmaschen werfen ein weites Netz aus, in der Hoffnung, ein paar unachtsame Opfer zu fangen. In der Regel erhält das Opfer eine E-Mail, die seriös wirkt und es dazu auffordert, sich auf einer Website anzumelden, um eine bestimmte Aktion durchzuführen. Die E-Mail enthält einen Link zu einer scheinbar legitimen Website, auf der das Opfer aufgefordert wird, seine Kontodaten einzugeben. Sobald diese eingegeben sind, nutzt der Cyberkriminelle diese Informationen, um Geld zu stehlen, Betrug zu begehen oder noch wertvollere Informationen zu erlangen. Die Angriffsstrategie besteht darin, eine große Anzahl potenzieller Opfer anzusprechen, in der Hoffnung, dass einige davon auf den Link klicken und auf die Täuschung hereinfallen.

Was sind Beispiele für Phishing?

Phishing-Angriffe erfolgen in der Regel über einen schädlichen Anhang oder einen schädlichen Link zu einer kompromittierten Website. Ars Technica berichtete 2016 über mehrere durch Phishing ausgelöste Ransomware-Angriffe auf Krankenhäuser.

„Der März war kein guter Monat für die Krankenhaus-IT. Letzte Woche zahlten Mitarbeiter des Methodist Hospital in Henderson, Kentucky, ein Lösegeld in Höhe von angeblich 17.000 US-Dollar, um die Systeme des Krankenhauses wiederherzustellen – obwohl mit dem Vorfall vertraute Quellen berichten, dass das Krankenhaus weitaus mehr gezahlt habe. Und in Kalifornien waren zwei von Prime Healthcare Management, Inc. betriebene Krankenhäuser gezwungen, ihre Systeme abzuschalten. Der Ransomware-Angriff auf Prime führte zudem zu Betriebsstörungen in mehreren anderen Krankenhäusern und bei angeschlossenen Gesundheitsdienstleistern, da gemeinsam genutzte Systeme offline genommen wurden … Die Ransomware-Angriffe auf das Methodist Hospital und Prime Healthcare erfolgten über „Phishing“-E-Mails.“

Was ist Spear-Phishing?

Im Gegensatz dazu geht es beim Spear-Phishing um eine geringe Anzahl von Kontakten, die jedoch eine hohe Konversionsrate erzielen. Spear-Phisher verschaffen sich Zugang zu privaten Informationen, indem sie den Hintergrund von Personen und Unternehmen in sozialen Medien, auf Unternehmenswebsites und anhand anderer öffentlich zugänglicher Informationen recherchieren. Cyberkriminelle nutzen diese gezielten Informationen, um das Opfer davon zu überzeugen, eine bestimmte Handlung auszuführen oder Informationen preiszugeben.

Was sind Beispiele für Spear-Phishing?

Ein kürzlich erschienener Artikel auf der lokalen Nachrichtenseite von Berks County, Pennsylvania, liefert ein gutes Beispiel dafür.

„Weidenhammer ist Opfer eines Spear-Phishing-Angriffs geworden, der dazu geführt hat, dass 100 Prozent unserer W-2-Formulare für das Jahr 2016 an einen Unbekannten übermittelt wurden“, teilte der Gründer der Weidenhammer Systems Corporation den Mitarbeitern im Jahr 2017 mit. „Sie sollten davon ausgehen, dass Ihre Sozialversicherungsnummer, Ihre Wohnadresse, Ihr Einkommen aus dem Jahr 2016 und alle Steuerabzüge, die auf einem W-2-Formular aufgeführt wären, offengelegt wurden.“

„Die Täter haben bereits damit begonnen, die Daten zu nutzen, um betrügerische Einkommensteuererklärungen auf Bundes- und Landesebene für das Jahr 2016 einzureichen, Hypothekendarlehen zu beantragen und Kreditkartenkonten zu eröffnen bzw. damit Betrug zu begehen“, sagte John Weidenhammer.

Dieses Beispiel verdeutlicht, wie schnell Mitarbeiter eines Unternehmens durch einen Spear-Phishing-Betrug geschädigt werden können. Die häufigere Gefahr betrifft jedoch direkt die Finanzen oder das geistige Eigentum des Unternehmens. Das Infosec Institute hat Einzelheiten zu einem weiteren Spear-Phishing-Angriff auf Ubiquiti Networks im Jahr 2015 dokumentiert.

„Das zerstörerische Potenzial eines Spear-Phishing-Angriffs für ein Unternehmen wird am Beispiel von Ubiquiti Networks Inc., einem amerikanischen Netzwerktechnologieunternehmen für Dienstleister und Unternehmen, deutlich. Im Juni 2015 erlitt das Unternehmen aufgrund einer Spear-Phishing-E-Mail einen Verlust in Höhe von 46,7 Millionen US-Dollar. Einem Bericht der US-Börsenaufsichtsbehörde SEC zufolge erfolgte der Angriff durch ‚die Vortäuschung der Identität eines Mitarbeiters und betrügerische Anfragen einer externen Stelle, die auf die Finanzabteilung des Unternehmens abzielten‘.“

Was ist Walfang?

Dies ist ein relativ neuer Begriff und bezeichnet schlichtweg einen Spear-Phishing-Angriff, der sich gegen Führungskräfte – die sogenannten „Wale“ – richtet. Whaling ähnelt zwar Spear-Phishing oder Social Engineering, unterscheidet sich jedoch dadurch, gegen wen innerhalb des Unternehmens es gerichtet ist. Führungskräfte benötigen möglicherweise zusätzliche Schulungen, um diese Art von Angriffen zu erkennen, und sie benötigen auf jeden Fall zusätzlichen Schutz durch technische Lösungen, die Vorfälle verhindern können, bevor sie eintreten. Wenn Sie vor Spear-Phishing geschützt sind, können Sie davon ausgehen, dass Sie auch vor Whaling geschützt sind.

Was ist ein Beispiel für „Whaling“?

Ein Beispiel für einen Phishing-Angriff aus dem Jahr 2016 betrifft das bekannte Social-Media-Unternehmen Snap, das für seine beliebte App „Snapchat“ bekannt ist. Digital Guardian hat folgende Zusammenfassung des Angriffs veröffentlicht.

Anfang 2016wurdedie Social-Media-AppSnapchat Opfer eines „Whaling“-Angriffs, als ein hochrangiger Mitarbeiter eine E-Mail von einem Cyberkriminellen erhielt, der sich als CEO ausgab, und dazu verleitet wurde, Informationen zur Gehaltsabrechnung der Mitarbeiter preiszugeben.

Ein Angriff im Jahr 2015 richtete sich gegen Mattel, den weltberühmten Hersteller von Barbie und anderem Spielzeug. CBS News berichtete:

„Die E-Mail schien völlig unauffällig: eine routinemäßige Anfrage des Vorstandsvorsitzenden von Mattel bezüglich einer neuen Lieferantenzahlung nach China … Die Finanzleiterin, die die Nachricht erhielt, war natürlich bestrebt, ihrem neuen Chef zu gefallen. Sie überprüfte die Vorschriften noch einmal. Für Überweisungen war die Genehmigung von zwei hochrangigen Führungskräften erforderlich. Sie erfüllte diese Voraussetzung, ebenso wie der Vorstandsvorsitzende … Zufrieden überwies die Finanzleiterin über 3 Millionen Dollar an die Bank of Wenzhou in China. Einige Stunden später erwähnte sie die Zahlung gegenüber Sinclair. Doch er hatte keine solche Anfrage gestellt.“

Was ist Social Engineering?

Während Phishing-Angriffe in der Regel auf E-Mails, Anhänge und Webseiten zurückgreifen, um an private Daten zu gelangen, können bei Social Engineering diese Mittel ebenso zum Einsatz kommen wie das Telefon oder eine Vielzahl anderer Methoden. Bei Social Engineering werden Menschen psychologisch manipuliert, damit sie Informationen preisgeben oder unangemessene Handlungen vornehmen. Sehr oft haben die Opfer keine Ahnung, dass sie etwas Falsches getan haben, bis der Betrug später aufgedeckt wird. Ähnlich wie beim Spear-Phishing richten sich Social-Engineering-Angriffe gezielt gegen eine kleine Anzahl potenzieller Opfer.

Was sind Beispiele für Social-Engineering-Angriffe?

Ein Artikel in der „USA Today“ beschreibt eine Social-Engineering-Angriffstechnik, die im Jahr 2016 zum Einsatz kam.

„Bei einer der jüngsten Varianten dieses Betrugs nehmen die Kriminellen, die sich als Anwälte ausgeben, Kontakt zu Führungskräften der betroffenen Unternehmen auf und behaupten, sie würden wichtige, vertrauliche oder äußerst zeitkritische Angelegenheiten bearbeiten. Durch psychologischen Druck bringen sie die Führungskräfte dazu, Geld an die Betrüger zu überweisen.“

Ein weiteres Beispiel stammt von Smartfile. Darin wird ein Angriff auf das FBI beschrieben, bei dem eine einfache Social-Engineering-Technik zum Einsatz kam, die durch einen Telefonanruf ausgelöst wurde.

„‚Also habe ich [den Helpdesk] angerufen und ihnen gesagt, dass ich neu bin und nicht weiß, wie ich [das Portal] umgehen kann‘, erzählte der Hacker Motherboard. ‚Sie fragten mich, ob ich einen Token-Code hätte, ich verneinte, und sie sagten, das sei kein Problem – ich solle einfach ihren verwenden. Ich habe darauf geklickt und hatte sofort vollen Zugriff auf den Computer.‘“

„Kurz darauf wurden 20.000 Datensätze des FBI und 9.000 Datensätze des Ministeriums für Innere Sicherheit der Öffentlichkeit zugänglich gemacht. Der Hacker verschaffte sich Zugriff auf die Namen der Mitarbeiter und sogar auf Kreditkartendaten. Nach dem IBM-Standard für die Kosten pro Datensatz bei Datenschutzverletzungen aus dem Jahr 2015 (170 Dollar pro Datensatz bei böswilligen Aktivitäten) entspricht dies einem Verlust von fast 5 Millionen Dollar während eines zweiminütigen Telefongesprächs. Angesichts der Menge an Kreditkartendaten und der bislang unbekannten Auswirkungen des Zugriffs auf Daten zur nationalen Sicherheit dürfte der Schaden sogar noch höher gewesen sein.“

Was haben diese Angriffe gemeinsam?

All diese Techniken können dazu führen, dass Zugangsdaten kompromittiert werden oder im Rahmen der Angriffe bösartige Links oder Malware zum Einsatz kommen. Wie es in der Branche heißt, kommen bei vielen Verstößen gegen die Informationssicherheit mehrere Tools, Techniken und Vorgehensweisen (TTP) zum Einsatz. Die meisten davon beginnen jedoch mit einer einfachen E-Mail. Phishing, Spear-Phishing, Whaling und Social Engineering werden in der Regel als Einstiegspunkte genutzt, um einen Angriff zu initiieren, oder als Eskalationspunkte, um leichter an wertvolle Informationen zu gelangen oder schädlichere Aktionen auszuführen.

Zudem kommen dabei durchweg Angriffstechniken zum Einsatz, die selbst Ihre besten Systeme zur Eindringungsprävention und Endpunktüberwachung nicht abwehren können. Ihre Mitarbeiter lassen diese Personen durch Ihre Haustür herein. Manchmal begehen Ihre Mitarbeiter den Diebstahl sogar unwissentlich im Auftrag der Kriminellen.

Graphus Hilft Ihnen, das Vertrauen zu messen und Sicherheitslücken zu verhindern

Graphus hat einen Weg gefunden, nahezu alle diese Angriffe zu verhindern, indem bekannte Anzeichen für Täuschungsversuche identifiziert UND ein Netzwerk vertrauenswürdiger Beziehungen zwischen Ihren Mitarbeitern und der Außenwelt aufgebaut wird. Dies geht weit über die von Google angebotene E-Mail-Sicherheit oder Anti-Phishing-Schulungen hinaus. Beide Lösungen sind zwar hilfreich, lassen jedoch viel zu viele Angriffe durch. Einem ISMG-Bericht zufolge umgehen 65 % aller Social-Engineering-Angriffe diese herkömmlichen Abwehrmaßnahmen erfolgreich. Durch den Einsatz von Graphentheorie in Verbindung mit maschinellem Lernen und Big-Data-Algorithmen ist „ Graphus “ in der Lage, Spear-Phishing- und Social-Engineering-Angriffe zu unterbinden.