Der Diebstahl von Zugangsdaten mittels Spear-Phishing ist so beliebt wie eh und je. Was sich jedoch geändert hat, sind die Zielgruppen dieser Social-Engineering-Angriffe. Sicherheitsexperte CyberArk zeigt anhand von drei Beispielen, welche Gefahren Entwicklern, dem mittleren Management und Forschern drohen.
In der Vergangenheit konzentrierten sich die Angreifer auf IT-Administratoren mit hochprivilegiertem Zugang. Die von CyberArk gesponserte „CISO View 2021 Survey: Zero Trust and Privileged Access“ hat aber ergeben, dass zunehmend ein erweiterter Personenkreis ins Blickfeld von Hackern rückt. Dazu zählen Führungskräfte und Softwareentwickler ebenso wie generell Endbenutzer – einschließlich Fachanwender mit direktem Zugriff auf vertrauliche Systeme oder Daten.
Drei Beispiele zeigen, wie diese neuen Benutzergruppen Opfer von Social-Engineering-Angriffen werden und was konkret passieren kann:
- Der Entwickler und die Social-Media-Aktivität
Ein Softwareentwickler leitet ein Team bei einem Finanzinstitut und kommuniziert seine technischen Schwerpunktthemen auf seiner LinkedIn-Seite. Vor ein paar Monaten hat sich ein Entwickler auf LinkedIn mit ihm vernetzt und das gemeinsame Interesse an den Programmiersprachen Python und Ruby hat sich herausgestellt. Sie wurden schnell zu Online-Freunden. Eines Tages erwähnt der neue Freund, dass ein Cousin in der Gegend eine Stelle als Entwickler sucht.
Der Softwareentwickler verspricht, die Informationen weiterzugeben, und erhält bald darauf den Lebenslauf des Cousins per E-Mail. Er klickt auf den Lebenslauf und überfliegt ihn, bevor er ihn an die Personalabteilung weiterleitet. Er ahnt nicht, dass es sich bei dem „Online-Freund“ in Wirklichkeit um einen Cyberangreifer handelt, der monatelang eine Beziehung zu ihm aufgebaut hat, um diese E-Mail zu versenden, die im Anhang Malware enthält.
- Das mittlere Management und die Deepfake-Attacke
Die Finanzcontrollerin arbeitet in einem großen Fertigungsunternehmen. Es ist Montagmorgen und mit dem Kaffee in der Hand öffnet sie eine als „dringend“ gekennzeichnete E-Mail vom CEO des Mutterkonzerns, der sich am anderen Ende der Welt befindet. Er schreibt, dass die Banken wegen eines Feiertags geschlossen sind und er dringend eine Überweisung tätigen muss, um ein wichtiges Geschäft abzuschließen. Sie ist misstrauisch, aber die E-Mail sieht authentisch aus und kommt von der E-Mail-Adresse des CEO. Plötzlich klingelt ihr Telefon. Es ist der CEO, der aus dem Ausland anruft, um nachzufragen.
Er erklärt noch einmal die Situation und gibt alle notwendigen Informationen zur Transaktion. Die Finanzcontrollerin folgt den internen Richtlinien und holt ein zweites Teammitglied zur Überprüfung des Auftrags und zur Verifizierung der Details hinzu. Anschließend autorisiert sie die Überweisung. Nur wenige Stunden später stellt sich heraus, dass es sich um ein gekapertes E-Mail-Konto und beim Anruf um einen Betrug in Form einer Voice-Deepfake-Attacke handelte – und das Unternehmen hat Millionen Dollar verloren, nachdem es erfolglos versucht hat, die Transaktion zu stoppen.
- Der Forscher und das gehackte E-Mail-Konto
Ein Forscher arbeitet für ein bekanntes Biotech-Unternehmen an der Entwicklung eines neuen lebensrettenden Medikaments. Sein Team arbeitet mit Analytikern eines Partnerunternehmens aus dem Gesundheitswesen zusammen und jedes Teammitglied hat Zugang zu großen Mengen vertraulicher Patienten- und medizinischer Daten, die für die Forschung benötigt werden.
Eines Tages erhält der Forscher eine E-Mail von einem Analytiker, der ihn bittet, ihm die neuesten Daten zu senden. Da er regelmäßig mit ihm zusammenarbeitet, übermittelt er – ohne zu zögern – die angeforderten Informationen. Das E-Mail-Konto des Analytikers wurde jedoch gehackt, sodass das unternehmenskritische geistige Eigentum nicht an den vertrauenswürdigen Partner geht, sondern an einen Cyberkriminellen.
Die Beispiele zeigen, dass Endanwender zunehmend ins Visier von Angreifern geraten. Dafür gibt es mehrere Gründe. So wird es für Angreifer immer schwieriger, IT-Administratorkonten zu kompromittieren. Viele Unternehmen sind sich der Tatsache bewusst, dass Admin-Zugangsdaten ein hohes Sicherheitsrisiko darstellen.
Folglich nutzen sie in immer stärkerem Maße Privileged-Access-Management-Systeme. Darüber hinaus finden Angreifer immer weniger Möglichkeiten für laterale Bewegungen innerhalb des Netzwerks, da Unternehmen auch zunehmend auf Zero-Trust-Modelle setzen.
Doch was können Unternehmen zur Abwehr solcher Angriffe auf Endanwender tun? Der erste Schritt zur Erhöhung der Sicherheit besteht darin, die Mitarbeiter zu identifizieren, die direkten Zugang zu vertraulichen Systemen des Unternehmens haben.
Je nach Firma kann es sich dabei um Finanzsysteme, Kundendatenbanken, Produktentwicklungssysteme oder Fertigungsprozesse handeln. Anschließend sollte ermittelt werden, auf welche Art und Weise die Benutzer auf diese Systeme zugreifen können, etwa über welche Anwendungen, Infrastrukturen und Geräte.
„Ausgehend von einer detaillierten Bestandsaufnahme sollte ein Unternehmen einen mehrschichtigen Identity-Security-Ansatz verfolgen“, betont Michael Kleist, Regional Director DACH bei CyberArk. „Zu den elementaren Sicherheitsmaßnahmen gehören dabei eine Privilege-Management-Lösung mit der Reglementierung und Überwachung von Benutzer- und Anwendungsberechtigungen sowie die Nutzung eines Multi-Faktor-Authentifizierungsverfahrens.“
„Darüber hinaus sind aber auch gezielte Benutzerschulungen erforderlich, um insgesamt das Bewusstsein für mögliche Sicherheitsgefahren zu schärfen. Nur mit diesem Maßnahmenpaket können die Gefahren eines Social-Engineering-Angriffs auf ein absolutes Minimum reduziert werden.“