Das in Boston ansässige Cybersicherheitsunternehmen, Cybereason Inc., hat kürzlich bekannt gegeben, dass eine Gruppe von bösartigen Cybersicherheitsexperten, auch bekannt als Cloudhopper, mehr als 10 weltweit tätige Telekommunikationsanbieter infiltriert hat.
Es wird spekuliert, dass die Gruppe von der chinesischen Regierung unterstützt wird, um nach strategischen und sensiblen Daten zu suchen, die sofort monetarisiert werden können. Die Angreifer haben Spear-Phishing-E-Mails und andere Techniken wie Web-Shell, ebenfalls ein Remote-Access-Tool zum Erwerb von Anmeldeinformationen verwendet.
Über die eingesetzten Tools hatten sie Zugriff auf Server, die Benutzerstandorte, Anruf- und Textnachrichten. Die Angreifer erstellten Admin-Konten, um unbemerkt im System zu bleiben und benutzten auch VPN-Zugänge, so dass sie als legitime Mitarbeiter der Unternehmen eingestuft wurden.
Jelle Wieringa, Security Awareness Advocate bei KnowBe4 kommentiert: „ Laut dem Verizon's Data Breach Investigations Report 2018 machen Phishing und Social Engineering 93 Prozent der Sicherheitsverstöße aus, und 91% der erfolgreichen Datenschutzverletzungen begannen mit einem Spear-Phishing-Angriff. Spear Phishing ist eine viel gezieltere Form des Phishings, indem Kriminelle Zeit damit verbringen, spezifische Informationen über eine Person, Gruppe oder ein Unternehmen von ihren Social Media-Profilen und anderen Plattformen zu sammeln.
Die E-Mails sind sehr personalisiert gestaltet – beispielsweise mit dem Namen der Person oder dem Namen eines Kunden, und sie sind sehr überzeugend formuliert. Das führt dazu, dass die Opfer spontan auf bösartige Links und Anhänge klicken, was den Angreifern ein Einfallstor in das Unternehmensnetzwerk öffnet. Die gestohlenen Daten können den Angreifern auch Zugriff auf die Kontaktdaten des Opfers ermöglichen.
Die Mitarbeiter sind in vielen Fällen das schwächste Glied, da sie ohne entsprechendes Training oft anfällig für Phishing- und Social-Engineering-Angriffe wie Spear Phishing sind. Das New School Security Awareness-Training kann Mitarbeitern das notwendige Wissen vermitteln, um sich gegen solche Angriffe im beruflichen und privaten Leben zu wappnen.“