Im Jahr 2022 wurden täglich nicht weniger als 3,4 Milliarden Phishing-Mails versendet, so die Analysten von Radicati und Statista. Wie schafft es ein seit Jahrzehnten bekanntes Phänomen immer wieder, die Schutzmechanismen zu durchbrechen? Stormshield bietet einen Rückblick auf einen Umstand, der immer wieder Opfer fordert.
Die Entwicklung des Phishings
Phishing ist eine bösartige Technik, die darauf abzielt, Dritte dazu zu verleiten, persönliche Informationen preiszugeben. Der Begriff Phishing wurde erstmals 1996 in einer Usenet-Newsgroup namens AOHell verwendet. Um die betrügerischen Absichten solcher Angriffe zu verdeutlichen, änderte der Autor absichtlich die Schreibweise von „Fishing“ in „Phishing“.
Der damalige erfolgreiche Diebstahl von Zugangsdaten zu AOL-Nutzerkonten ebnete den Weg zu einem grundlegenden Trend unter Cyberkriminellen, die dieses Werkzeug heute noch auch gegen große Unternehmen einsetzen. Auf dieser Grundlage entstand in den 2000er-Jahren das Konzept von „Spray and Pray“. Es bezeichnet Phishing-Kampagnen, bei denen besondere Anlässe als Lockmittel in wahllos versandten Emails eingesetzt werden.
Lotteriegewinne, Wohltätigkeitskampagnen, Schließungen von Bankkonten – jedes Thema eignet sich zum Betrug. Zur gleichen Zeit tauchte auch das „Clone-Phishing“ auf, bei dem Marken mit hohem Bekanntheitsgrad aus dem alltäglichen oder beruflichen Leben als Köder missbraucht werden. Hinter dem Phishing ist mittlerweile eine ganze Wirtschaft entstanden.
Früher generierten einzelne Akteure Einnahmen durch einige wenige Opfer. Jetzt nutzen strukturierte cyberkriminelle Organisationen das Phishing, um Einnahmen zu erzielen, Industriespionage zu betreiben oder Wirtschaftskriege zu führen. Dabei sind Phishing-Attacken, bei denen B2B-Marken missbraucht werden, alles andere als selten. Allein im Februar 2022 wurden zum Beispiel fast 23 Millionen Phishing-E-Mails, die die Marke Microsoft vortäuschten, von Vade verzeichnet.
Die Hersteller von Cybersicherheitslösungen reagieren auf diese Bedrohung mit Anti-Phishing-Filtern und Technologien zur zweifachen Authentifizierung. Um sie zu umgehen, betreiben Cyberkriminelle Identitätsdiebstahl – eine Technik, die darauf abzielt, das E-Mail-Konto eines Mitarbeitenden zu kompromittieren (BEC oder „Business Email Compromise“).
Das Ziel ist es, Kollegen, Kunden und Partner unter Vortäuschung der Identität des zum Opfer gefallenen Mitarbeitenden zu betrügen. Der sogenannte President's-Fraud-Angriff ist ein Paradebeispiel hiervon und kostete zum Beispiel einem französischen Bauträger im Januar 2022 die Rekordsumme von 33 Millionen Euro.
Mittlerweile koexistieren zahlreiche Arten von Phishing. Darunter: Der sogenannte „Romance-Scam“, wodurch Cyberkriminelle meist verwitwete oder alleinstehende Frauen bezirzen, um große Geldmengen zu erpressen. Auch Männer sind hiervon nicht ausgenommen: Sextorsion (Erpressungsversuch zu vermeintlichen sexuellen Handlungen des Opfers) ist eine Technik, die sich weitgehend am Phishing orientiert und mit der Leichtgläubigkeit des Internetnutzers spielt.
Als Reaktion auf die Abwehrmaßnahmen der Hersteller von Cybersicherheitssoftware und auf eine gewisse Reife der Öffentlichkeit gegenüber der Bedrohung sind Phishing-Kampagnen mit der Zeit immer raffinierter geworden.
„Die Cyberkriminellen nutzen die primären Emotionen ihrer Opfer, um ein Maximum an Klicks zu sichern – meistens aus Angst, ein tolles Angebot (Job, Deal, Erbe u. Ä.) zu verpassen, Geld zu verlieren, dass das Abonnement gekündigt oder man entlassen wird. Oft sind diese Ängste unkontrollierbar und führen zu einer instinktiven, schnellen Reaktion. Deshalb ist diese Art von Angriff so erfolgreich“, bestätigt Uwe Gries, Country-Manager DACH bei Stormshield.
Die zunehmende Komplexität von Phishing-Kampagnen
Mithilfe von Tools zur Automatisierung von Phishing-Kampagnen wie z. B. Gophish oder Sniperphish sind nun Cyberkriminelle mit fertigen Templates für Fangseiten und E-Mail-Vorlagen ausgestattet und passen sich vor allem an neue Moden an.
Nach Jahren der weltweiten Dominanz von bankbezogenen E-Mails gehörten Facebook, LinkedIn und WhatsApp neben Marken wie Google und Apple 2019 bis 2021 zu den am häufigsten in solchen Kampagnen missbrauchten Marken. Nach der COVID-19-Welle wurden wiederum Logistikmarken ins Visier genommen: DHL, FedEx, Amazon und AliExpress gehören weltweit zu den zehn am meisten missbrauchten Brands.
Dazu werden neue Taktiken wie das Typosquatting (zum Beispiel „mcrosoft.com“ anstelle von „microsoft.com“) oder die Verschleierung von Phishing-URLs durch die Aneinanderreihung von Umleitungs-Links eingesetzt, sodass Phishing-Filter nicht in der Lage sind, die endgültige URL zu ermitteln. Auch die Einbettung von E-Mail-Texten in Bilder, um der textbasierten Erkennung entgegenzuwirken, zählt zu den Angriffsarten.
Sogar Logos werden in eine Tabelle eingebettet, die aus einer Reihe von Zellen mit einer Breite von einem Pixel bestehen, um Logo-Spoofing-Filter zu umgehen. Datenbank-Leaks mit E-Mail-Adressen und Telefonnummern sind zudem eine wahre Goldgrube für Cyberkriminelle.
Auf der Liste der Rekorddatenlecks steht Yahoo im Jahr 2013 mit 3 Milliarden Nutzerdaten, Facebook im Jahr 2019 mit 540 Millionen Daten oder Instagram im Jahr 2020 mit 200 Millionen Daten. Dabei erleichtert die Nutzung desselben Passwortes für mehrere Plattformen die Kompromittierung von Konten und führt analog, durch gezieltere Kommunikation, zu einem starken Anstieg der Zahl der Phishing-Opfer.
Hinzu kommen neue Phishing-Vektoren. Das als „Smishing“ bezeichnete Phishing per SMS scheint während des Lockdowns eine starke Beschleunigung erfahren zu haben. Gleiches gilt für WhatsApp und firmeninterne Messenger wie Microsoft Teams und Slack. Die allerneueste Variante des Phishings ist allerdings der Browser-in-the-Browser-Angriff – eine Strategie, bei der ein falsches Browser-Fenster angezeigt wird.
Wenn das Opfer auf eine Anmeldetaste klickt, glaubt es, ein neues Authentifizierungsfenster zu laden, was aber in Wahrheit nicht passiert. Der Cyberkriminelle zeigt eine legitime URL an, die jegliche Wachsamkeit des Opfers zerstreut. Ohne es zu wissen, gibt das Opfer seine Anmeldedaten auf einer bösartigen Website ein.
Die Zukunft des Phishings
In Zukunft ist eine starke Automatisierung des Phishings zu erwarten. Mit der Text-Augmentation-Technologie ist es heute möglich, Hunderte von E-Mails zu generieren, die bei gleichbleibender Bedeutung völlig unterschiedliche Texte verwenden. Das Phishing dürfte sich daher in den nächsten Jahren von einer Masse an generalisierten Angriffen zu einer Masse an chirurgisch genauen Kampagnen entwickeln.
Dies geschieht durch Automatisierungstechniken, die sich anscheinend von dem Bereich der Suchmaschinenoptimierung und dem GPT-3-Algorithmus inspirieren lassen. Angesichts des verstärkten Einsatzes solcher Open-Source-Technologien werden die Hersteller von Cybersicherheitslösungen noch weitere Innovationen benötigen, um diesen neuen Herausforderungen gerecht zu werden.