Phishing-E-Mail-Betrügereien sind auf dem Vormarsch, und die Angreifer werden immer kreativer bei der Art und Weise, wie sie versuchen, Daten zu stehlen. Wir werfen einen Blick auf die verschiedenen Arten von Phishing-Angriffen und die besten Möglichkeiten, sich und Ihr Unternehmen zu schützen.
Was sind Phishing- und Spoof-E-Mails?
Bei Phishing-E-Mails handelt es sich um sorgfältig gestaltete E-Mails, die von einem Angreifer so verschickt werden, dass sie legitim erscheinen, um die Zielperson dazu zu verleiten, in gutem Glauben etwas zu unternehmen.
E-Mail-Phishing kann grob in die folgenden Arten unterteilt werden:
Phishing
Bei dieser Art von Angriff gibt sich ein Angreifer als ein echtes Unternehmen aus, um an Ihre Anmeldedaten zu gelangen. Sie erhalten möglicherweise eine E-Mail, in der Sie aufgefordert werden, Ihre Kontodaten mit einem Link zu verifizieren, der Sie zu einem gefälschten Anmeldebildschirm führt, der Ihre Daten direkt an die Angreifer übermittelt.
Spear-Phishing
Spear-Phishing ist ein raffinierterer Angriff, der maßgeschneiderte Informationen enthält, die den Angreifer wie eine legitime Quelle erscheinen lassen. Sie können Ihren Namen und Ihre Telefonnummer verwenden und in der E-Mail auf Ihr Unternehmen verweisen, um Ihnen eine Verbindung zu Ihnen vorzugaukeln und Sie dazu zu bringen, auf einen Link oder Anhang zu klicken.
Whaling
Dieser Angriff ist in letzter Zeit immer beliebter geworden. Die Angreifer haben es ganz gezielt auf wichtige Mitarbeiter eines Unternehmens abgesehen, um sie zur Überweisung von Geld oder zur Übermittlung vertraulicher Informationen zu bewegen, indem sie sich als eine echte Führungskraft ausgeben. Unter Verwendung einer gefälschten Domäne, die dem Unternehmen des Opfers ähnlich zu sein scheint, oder in Kombination mit Spoofing (siehe unten) sendet der Angreifer eine E-Mail, die wie eine Nachricht von einem hochrangigen Kollegen im Unternehmen aussieht, in der Regel dem CEO oder CFO, und bittet um vertrauliche Informationen (einschließlich Benutzernamen und Kennwörter). Ein gängiges Beispiel für Whaling ist die Aufforderung an das Opfer, unter Druck finanzielle Maßnahmen zu ergreifen ("überweisen Sie schnell Geld auf ein Bankkonto, damit das Unternehmen nicht einen großen Kontakt verliert").
Phishing von gemeinsam genutzten Dokumenten
Möglicherweise erhalten Sie eine E-Mail, die von einer Plattform für gemeinsam genutzte Dokumente (z. B. SharePoint oder Google Drive) zu stammen scheint und Sie darauf hinweist, dass ein Dokument für Sie freigegeben wurde. Der in diesen E-Mails enthaltene Link führt Sie zu einer gefälschten Anmeldeseite, die die echte Anmeldeseite imitiert und Ihre Kontodaten stiehlt, wenn Sie diese eingeben.
Gefälschte E-Mails
Bei einer gefälschten E-Mail gibt sich ein Angreifer als ein anderer Absender aus. Dies wird oft in Kombination mit den oben genannten Angriffen verwendet, um Ihr Vertrauen in die erhaltene E-Mail zu erhöhen und Ihre Wachsamkeit zu verringern.
Worauf sollten Sie achten?
Die meisten E-Mail-Plattformen filtern zwar viele bösartige E-Mails heraus, aber einige dringen unweigerlich durch, vor allem bei Personen, die eine hohe Position innehaben oder deren Kontaktdaten öffentlich bekannt gemacht werden. Deshalb sollten Sie immer auf der Hut sein, wenn Sie eine E-Mail öffnen, die Sie erhalten. Wir haben einige offensichtliche Warnzeichen zusammengestellt, auf die Sie achten sollten, wenn Sie eine E-Mail öffnen...
Offensichtliche Warnungen
Warnungen vor ungeprüften Absendern
Möglicherweise finden Sie in Ihrem Posteingang E-Mails, in denen neben dem Absender "Unverified" oder ähnliches steht. Damit versucht Ihr E-Mail-Anbieter, Sie zu warnen, dass der Absender verdächtig sein könnte.
Betreffzeile und E-Mail-Text-Warnungen
In E-Mail-Plattformen wie Office 365 können Administratoren benutzerdefinierte Richtlinien einrichten, die dem Betreff einer E-Mail entweder [WARNUNG] oder [VORSICHT] voranstellen, wenn E-Mails von einem unbekannten Absender empfangen werden. Wenn dies der Fall ist, wird auch dem Text der E-Mail eine Warnung oder ein Warnhinweis vorangestellt, wie im Folgenden dargestellt.
Ungewöhnliche Aufforderungen
Phishing-E-Mails fordern Sie zu einer bestimmten Handlung auf. Wenn Sie also eine der folgenden Aufforderungen erhalten, sollten Sie sie als verdächtig betrachten;
1. Klicken Sie auf einen eingebetteten Link, der Sie zu einer Website führt
2. Antwort auf die E-Mail, die sensible Informationen wie Benutzername, Passwort oder persönliche Daten enthält
3. Finanzielle Handlungen wie Überweisungen oder die Angabe von Bank- oder Kreditkartendaten vorzunehmen
Zeitliche Dringlichkeit
Phishing-E-Mails erwecken oft ein Gefühl der Dringlichkeit, wie z. B. "Sie müssen dies in der nächsten Stunde erledigen, damit Sie Ihren Zugang nicht verlieren" oder "Können Sie die Überweisung heute tätigen, damit wir keine wichtigen Geschäfte verpassen". Wenn es sich um eine echte und wirklich dringende Anfrage handelt, ist die E-Mail oft nicht die beste Form der Kommunikation, und das sollte Misstrauen wecken.
Schlechte Rechtschreibung/Grammatik
In Phishing-E-Mails wird häufig eine schlechte oder falsche Rechtschreibung sowie eine schlechte Grammatik verwendet. Wenn der Ton der E-Mail nicht mit der Person übereinstimmt, die die E-Mail zu senden scheint, sollten Sie immer versuchen, die Anfrage entweder persönlich oder per Video-/Audioanruf zu überprüfen, damit Sie sicher sein können, dass Sie mit der richtigen Person sprechen.
Subtile Warnungen
Manchmal sind die Anzeichen etwas weniger offensichtlich, aber mit einigen grundlegenden Überprüfungen ist es möglich, Phishing-E-Mails zu erkennen. Unten sehen Sie ein Beispiel für eine E-Mail von jemandem, der sich als PayPal ausgibt. Auf den ersten Blick sieht die E-Mail legitim aus, aber mit ein paar schnellen Überprüfungen können wir sie als Phishing-E-Mail identifizieren.
1. Wenn wir uns die Absender-E-Mail-Adresse im Beispiel ansehen, scheint sie von "service@intl.paypal.com" zu sein, aber bei näherer Betrachtung werden Sie sehen, dass sie tatsächlich von "service.epaiypal@outlook.com" stammt.
2. Die E-Mail enthält einen Anmeldelink, der zu einer skrupellosen Website führt. Sie können überprüfen, wohin der Link in einer E-Mail führt, indem Sie mit dem Mauszeiger über die URL fahren, die dann die Adresse anzeigt, zu der sie führt, so dass Sie sie überprüfen können, bevor Sie darauf klicken. Diese wird in der Regel in einer der unteren Ecken oder manchmal auch in Ihrem Cursor angezeigt.
Dos und Don'ts
Das mag alles etwas kompliziert klingen, aber im Allgemeinen haben Sie eine sehr gute Chance, Phishing-E-Mails zu erkennen, wenn Sie die nachstehenden Regeln befolgen.
- DO Achten Sie auf die oben stehenden Zeichen.
- Versuchen Sie, den Absender über eine andere Kommunikationsmethode zu überprüfen, wenn Sie unsicher sind.
- Übermitteln Sie nach Möglichkeit KEINE sensiblen oder persönlich identifizierbaren Informationen per E-Mail, vor allem wenn es sich um eine blinde oder externe Anfrage handelt.
- Ergreifen Sie KEINE Maßnahmen im Bereich der Finanz- oder IT-Verwaltung, ohne sich über eine andere Kommunikationsmethode zu vergewissern.
- Klicken Sie NICHT auf Links in E-Mails, ohne vorher zu prüfen, wohin die URL führt.
- Öffnen Sie KEINE Anhänge von verdächtigen oder unbekannten Absendern.
- Geben Sie Ihre Anmeldedaten unter keinen Umständen an Dritte weiter.
