Sie öffnen Ihren Posteingang. Die Betreffzeile ist dringend. Es soll von Ihrer Bank stammen. Es heißt, Ihr Konto sei gesperrt. Wenn Sie nicht sofort auf den Link klicken und sich anmelden, verlieren Sie alles.
Dein Herz setzt einen Schlag aus. Diese Panik? Das ist der Haken.
Das ist Phishing, ein digitaler Betrug, der darauf abzielt, Ihnen das Leben zu stehlen. Es geht nicht nur darum, ein paar hundert Dollar zu verlieren. Es geht um Identitätsdiebstahl. Es geht darum, dass Fremde Ihre Konten leeren, in Ihrem Namen Einkäufe tätigen oder sogar Ihren Computer zur Geldwäsche nutzen, ohne dass Sie es merken.
Die meisten Menschen denken unter Phishing an eine bösartige E-Mail, die vorgibt, Amazon oder ein Kreditkartenunternehmen zu sein. Und sicher, das ist das häufigste Gesicht des Tieres. Aber die E-Mail ist nur der Köder. Die Falle ist viel tiefer.
Die Anatomie eines digitalen Betrügers
Phishing ist keine Zauberei. Es ist ein Prozess. Ein kalter, kalkulierter Zyklus, der sich seit dem ersten Erscheinen des Wortes im Jahr 1996 entwickelt hat. Der Begriff selbst ist ein Wortspiel mit „Angeln“ und bedeutet, dass Kriminelle Netze auswerfen, um zu sehen, welche Informationen sie erbeuten können.
Hier erfahren Sie, wie die Maschine tatsächlich funktioniert.
Planung. Die Angreifer entscheiden, wen sie ins Visier nehmen. Sie raten nicht nur. Sie verwenden dieselben Datenerfassungstechniken wie Spammer. Sie kratzen Adressen. Sie kaufen Listen. Sie identifizieren den Kundenstamm einer bestimmten Bank oder eines bestimmten Einzelhändlers.
Einrichtung. Sobald die Ziele ausgewählt sind, wird die Infrastruktur aufgebaut. Sie erstellen eine gefälschte E-Mail-Adresse, die legitim aussieht. Sie erstellen eine gefälschte Website. Diese Seite spiegelt die Realität so perfekt wider, dass selbst ein geschultes Auge zögern könnte.
Der Angriff. Die Nachricht landet in Ihrem Posteingang. Es nutzt psychologischen Druck. Es schafft Dringlichkeit. Es droht der sofortige Verlust. Es erfordert sofortiges Handeln.
Sammlung. Sie klicken. Sie geben Ihr Passwort ein. Sie geben Ihre Sozialversicherungsnummer ein. Die Daten fließen in die Datenbank des Angreifers.
Die Folgen. Hier passiert der wahre Schaden. Die Diebe nutzen Ihre Zugangsdaten, um illegale Einkäufe zu tätigen. Sie begehen Betrug. Und hier ist der beängstigende Teil: Studien deuten darauf hin, dass sich bis zu 25 % der Opfer nie vollständig von den finanziellen und emotionalen Folgen erholen.
Warum Ihre Sicherheitssoftware Sie nicht retten kann
Um uns zu schützen, verlassen wir uns auf Firewalls und Antivirensoftware. Aber Phishing hackt nicht nur Ihren Computer. Es hackt dich.
Es nutzt Schwachstellen sowohl in der clientseitigen Software als auch in der serverseitigen Sicherheit aus. Aber im Kern ist es eine altmodische Hektik. Es beruht auf Vertrauen. Dabei wird davon ausgegangen, dass eine E-Mail von „[email protected]“ tatsächlich von Ihrer Bank stammt.
Die Kriminellen wissen, dass die meisten Menschen in Eile sind. Sie wissen, dass du müde bist. Sie wissen, dass Sie auf den Link klicken werden, weil die Bedrohung real erscheint.
Die roten Fahnen erkennen
Wie schützen Sie sich also? Da muss man skeptisch sein.
Seien Sie vorsichtig bei allgemeinen Begrüßungen. „Sehr geehrter Kunde“ ist ein eindeutiges Zeichen. Echte Banken kennen normalerweise Ihren Namen.
Achten Sie auf Bedrohungen. Seriöse Institutionen werden Ihnen sagen, dass es ein Problem gibt. Sie werden aufgefordert, sich bei einem sicheren Portal anzumelden, um das Problem zu beheben. Sie fordern kein sofortiges Handeln per E-Mail.
Wenn Sie in einer E-Mail aufgefordert werden, Ihr Passwort zu bestätigen, löschen Sie es. Geben Sie niemals persönliche Informationen über einen Link in einer E-Mail weiter.
Berichten Sie. Wenn Sie einen Versuch vermuten, melden Sie ihn den zuständigen Behörden. Die Betrugsabteilung Ihrer Bank ist normalerweise ein guter Anfang.
Der Zyklus geht weiter
Phisher sind nicht statisch. Nach einem Angriff bewerten sie, was funktioniert hat. Sie optimieren ihre Botschaften. Sie verfeinern ihre gefälschten Websites. Sie beginnen den Zyklus erneut.
Der erste dokumentierte Einsatz von „Phishing“ liegt fast drei Jahrzehnte zurück. Die Taktik hat sich geändert, aber das Ziel bleibt dasselbe: nach Ihren Informationen zu fischen.
Überprüfen Sie Ihre E-Mails immer noch mit der gleichen Dringlichkeit?
Sie würden Ihre Bankdaten keinem Fremden preisgeben. Die meisten Leute wissen es besser. Doch Phisher fragen nicht nach. Sie stehlen. Um diese Qualifikationen zu erlangen, müssen sie sich mit der menschlichen Psychologie auseinandersetzen. Das ist Social Engineering. Es geht nicht darum, Code zu hacken. Es geht darum, Vertrauen zu hacken.
Betrüger kopieren bekanntes Branding. Sie kopieren legitime E-Mails genau. Dann tauschen sie die Links aus. Das Opfer klickt auf einen Button, der offiziell aussieht. Es führt zu einer betrügerischen Seite. Die E-Mail-Adresse im Feld „Von:“ ist gefälscht. Es sieht echt aus. Die „Antwortadresse“ ist gefälscht. Die Links sind verschleiert. Sie verbergen das wahre Ziel. Aber den Look zu kopieren ist nur die halbe Miete.
Der wahre Trick ist Dringlichkeit. Phishing-Nachrichten erfordern sofortiges Handeln. Sie möchten, dass Sie reagieren, bevor Sie nachdenken.
„Handeln Sie jetzt oder verlieren Sie alles.“
Das ist die Botschaft. Einige Drohungen versprechen eine Kontoauflösung. Andere behaupten, Sie hätten einen Kauf getätigt, den Sie nicht getätigt haben. Du gerätst in Panik. Sie möchten kein Geld für eine Transaktion verlieren, die Sie nie abgeschlossen haben. Also klicken Sie. Sie folgen dem Link. Sie geben genau die Informationen preis, von denen Sie befürchteten, dass sie sie hätten.
Dabei spielt das Vertrauen in die Automatisierung eine große Rolle. Die Leute glauben, dass Computer objektiv sind. Sie glauben, dass Algorithmen keine Fehler machen. Phisher nutzen diesen blinden Fleck aus.
In Nachrichten wird häufig behauptet, dass bei einer „computergestützten Prüfung“ Anomalien festgestellt worden seien. Sie sagen, ein automatisierter Prozess habe verdächtige Aktivitäten entdeckt. Das Opfer glaubt, dass jemand sein Konto hackt. Sie glauben nicht, dass das System einen Fehler gemacht hat. Es ist einfacher, sich einen Dieb als einen Pannen vorzustellen.
Phishing ist nicht mehr nur E-Mail. Betrüger werfen ihr Netz noch weiter aus.
- Sofortnachrichten
- Handytexte (SMS)
- Chatrooms
- Gefälschte Bannerwerbung
- Message Boards und Mailinglisten
- Gefälschte Jobsuchseiten
- Gefälschte Browser-Symbolleisten
Das Medium verändert sich. Das Ziel bleibt dasselbe.
Warum komplexe Software Phishing einfacher macht
Es besteht ein direkter Zusammenhang zwischen Softwarekomplexität und Sicherheitslücken. Je mehr Funktionen ein Webbrowser oder E-Mail-Client bietet, desto mehr Möglichkeiten haben Angreifer, durch das Raster zu schlüpfen. Mit der Verbesserung der Sicherheitsfilter entwickeln sich Phishing-Taktiken weiter, um diese zu umgehen. Es ist ein Wettrüsten, und die Tools, auf die sich Benutzer täglich verlassen, bieten häufig Lücken.
Die am weitesten verbreitete Methode bleibt Adress-Spoofing. Bei den meisten E-Mail-Clients können Benutzer in die Felder „Von“ und „Antwort an“ eingeben, was sie möchten. Dieser Komfort ist nützlich für Personen, die mehrere Identitäten verwalten, ist jedoch eine Goldgrube für Betrüger. Sie können Nachrichten erstellen, die scheinbar aus vertrauenswürdigen Quellen stammen. Einige E-Mail-Server verstärken dieses Risiko, indem sie Verbindungen zum Simple Mail Transfer Protocol (SMTP)-Port ohne Authentifizierung zulassen. Dadurch können Angreifer persönliche Passwörter vollständig umgehen und den Server anweisen, schädliche Nachrichten direkt zu senden.
Über gefälschte Absender hinaus nutzen Angreifer mehrere technische Tricks, um Benutzer zu täuschen und der Entdeckung zu entgehen.
Irreführende Links und versteckter Code
Verschleierte URLs sind ein primärer Vektor. Diese Links sehen legitim aus, leiten Benutzer jedoch auf bösartige Websites weiter. Um dies zu erreichen, nutzen Angreifer mehrere Techniken:
- Tippfehler und IDNs: Sie schreiben möglicherweise die URL eines Unternehmens falsch oder verwenden IDN-Registrierungen (International Domain Name). Dadurch können sie Zeichen aus anderen Alphabeten verwenden, die mit lateinischen Zeichen identisch aussehen, was das Auge täuscht.
- Hexadezimale Formate: URLs können hexadezimal codiert werden, um einfache Scanner zu verwirren.
- Umleitungsanweisungen: Seriös aussehende URLs können versteckte Anweisungen enthalten, die den Datenverkehr anderswo umleiten.
- Trügerisches HTML: Der angezeigte Text kann völlig vom tatsächlichen Ziel abweichen. Beispielsweise könnte ein Link so aussehen, als würde er auf eine Anleitung zu „Zombie-Maschinen“ auf einer seriösen Website verweisen, aber der zugrunde liegende HTML-Code leitet den Browser zu einem völlig unabhängigen, bösartigen Artikel weiter.
Visuelle und strukturelle Täuschung
Angreifer manipulieren auch das, was Sie auf Ihrem Bildschirm sehen. Indem ein Phisher erkennt, welchen Browser und E-Mail-Client Sie verwenden, kann er gefälschte Grafiken überlagern. Sie können Bilder von Adressleisten und Sicherheitsvorhängeschlössern über der eigentlichen Statusleiste platzieren. Dadurch entsteht ein falsches Sicherheitsgefühl.
Popup-Fenster und -Frames sind eine weitere gängige Taktik. Schädlicher Code kann in unsichtbaren Frames rund um eine Website ausgeführt werden, oder Popups können den legitimen Inhalt vollständig verdecken. Auch Klartext-E-Mails können irreführend sein. Viele enthalten verstecktes HTML-Markup mit unsichtbaren Wörtern, das dazu dient, Anti-Spam-Filter zu umgehen.
Das Risiko von Pharming
Besonders gefährlich ist DNS-Cache-Poisoning, oft auch Pharming genannt. Bei diesem Angriff ändert ein Angreifer die DNS-Serverinformationen. Dies kann durch Social Engineering geschehen, beispielsweise indem Kundendienstmitarbeiter dazu verleitet werden, Änderungen vorzunehmen.
Sobald die DNS-Einträge geändert werden, wird jeder, der versucht, die Website des gefälschten Unternehmens zu besuchen, auf eine andere Website umgeleitet. Dies betrifft alle im Netzwerk, nicht nur einzelne Benutzer. Es ist schwer zu erkennen, da der Browser des Benutzers eine legitim aussehende Adresse anzeigt, der Inhalt jedoch vollständig kompromittiert ist.
Die Landschaft des Social Engineering hat sich verändert. Sie benötigen keine auffällige, gefälschte URL mehr, um Daten zu stehlen. Die gefährlichsten Angriffe finden heutzutage in legitimen Browsern statt.
Betrachten Sie den Proxy-Computer. Dieses Gerät befindet sich zwischen Ihnen und der Zielwebsite. Es zeichnet jede von Ihnen getätigte Transaktion auf. Die Seite sieht echt aus. Die Adressleiste zeigt die richtige Domain an. Aber der Verkehr wird gespiegelt.
Phisher, die diese Methoden verwenden, müssen ihre Links nicht verschleiern, da sich das Opfer zum Zeitpunkt des Datendiebstahls auf einer legitimen Website befindet.
Das ist die Falle. Sie vertrauen der URL. Sie geben Ihr Passwort ein. Der Proxy stiehlt es.
Malware: Der versteckte Komplize
Beim Phishing geht es nicht nur um E-Mails. Es geht darum, was auf Ihrem Computer läuft. Angreifer setzen Schadprogramme ein, um die schwere Arbeit zu erledigen.
- Keylogger erfassen jeden Tastendruck. Ihr Passwort? Gegangen.
- Screenshot-Trojaner machen Schnappschüsse Ihrer Aktivitäten. Sie melden es dem Angreifer zurück.
- Fernzugriffstrojaner (RATs) verwandeln Ihren PC in einen Zombie. Ihr Computer wird zum Knotenpunkt in einem Botnetz. Es versendet Phishing-E-Mails oder hostet gefälschte Seiten.
- Bots chatten mit Ihnen. Sie ahmen menschliches Verhalten in Foren nach. Sie koordinieren die Zombie-Netzwerke.
- Spyware verfolgt Ihre Surfgewohnheiten. Es lernt Ihre Muster. Es hilft Angreifern, den nächsten Angriff zu planen.
Ihre Maschine ist kompromittiert. Der Phisher muss Sie nicht dazu verleiten, auf einen Link zu klicken. Sie müssen lediglich eine Seite besuchen.
Können Sie den Unterschied erkennen?
Wie gut wissen Sie eigentlich, was Sie sehen?
MailFrontier bietet einen Phishing-IQ-Test an. Es prüft, ob Sie Fälschungen erkennen können. Next Generation Security Software veröffentlicht einen Leitfaden zu anderen Techniken. Antiphishing.org schlüsselt einen Angriff Schritt für Schritt auf.
Es gibt viel zu verfolgen.
Anti-Phishing
Warum grundlegende Sicherheit die meisten Betrügereien stoppt
Sie kennen die Übung bereits. Firewall eingeschaltet. Antivirus aktiv. Das sind nicht nur Schlagworte; Sie sind Ihre erste Verteidigungslinie gegen Phishing. Doch wer echte Sicherheit will, muss genauer hinsehen. Überprüfen Sie das SSL-Zertifikat auf jeder Website, bevor Sie sich anmelden. Überprüfen Sie Ihre Kontoauszüge Zeile für Zeile.
Phisher sind schlampig. Sie hinterlassen Fingerabdrücke in ihren E-Mails und Websites. Achten Sie beim Öffnen Ihres Posteingangs auf die roten Fahnen.
Allgemeine Grüße sind ein klares Zeichen. „Sehr geehrter Kunde“, schreit Betrug. Seriöse Banken nehmen sich normalerweise die Zeit, Ihren tatsächlichen Namen einzugeben. (Hinweis: Spear-Phishing ist die Ausnahme. Diese Angreifer machen ihre Hausaufgaben und verwenden Ihren Namen. Lassen Sie also nicht nach, nur weil es sich persönlich anfühlt.)
Achten Sie auf Bedrohungen. Wenn in einer E-Mail steht: „Antworten Sie in fünf Tagen oder wir kündigen Ihr Konto“, löschen Sie sie. Echte Unternehmen wollen Ihr Unternehmen. Sie geraten nicht in Panik, wenn ein paar Tage lang Stille herrscht.
Kein legitimes Unternehmen fragt per E-Mail nach Passwörtern oder SSNs. Das galt schon, bevor es Phishing gab. Es ist immer noch wahr.
Über Links wird die Falle gestellt. Lange URLs? Seltsame Zeichen wie das @-Symbol in der Mitte? Tippfehler? Klicken Sie nicht. Geben Sie die Adresse manuell ein. Es dauert zwei Sekunden länger. Es bewahrt Sie davor, alles zu verlieren.
Rechtschreibfehler sind der älteste Trick überhaupt. Schlechte Grammatik sieht nicht professionell aus und man sollte ihr bei einer Finanznachricht nicht vertrauen.
Wie Regierungen und ISPs sich wehren
Der Krieg geht nicht nur gegen Sie. Unternehmen und Regierungen wehren sich. Die US-Regierung hat den Banken bis Ende 2006 die Verwendung einer Zwei-Faktor-Authentifizierung vorgeschrieben. Das bedeutet mehr als nur ein Passwort. Sie benötigen einen physischen Token oder einen biometrischen Scan. Für die meisten Kriminellen ist es eine kleine Hürde, die die Angriffskette unterbricht.
Internetdienstanbieter und Softwareentwickler bieten Toolbar-Schutzmaßnahmen an. Diese Tools überprüfen Sicherheitszertifikate sofort. Sie sagen Ihnen, wo eine Site registriert ist. Sie analysieren Links, bevor Sie darauf klicken. Einige bieten sogar visuelle Hinweise – einen grünen Balken oder ein bestimmtes Logo –, die bestätigen, dass Sie sich auf der echten Website befinden.
Benutze sie.
Was tun bei Verbrennungen?
Wenn Sie denken, dass eine E-Mail gefälscht ist, antworten Sie nicht. Klicken Sie nicht. Verschenken Sie nichts.
Melden Sie es dem Unternehmen, das sich ausgibt. Nutzen Sie die offizielle Website oder rufen Sie sie direkt an. Verwenden Sie nicht die Kontaktinformationen in der verdächtigen E-Mail. Sie können den Versuch auch dem National Fraud Information Center und der Anti-Phishing Working Group melden.
Wenn Sie ihnen Ihre Daten bereits mitgeteilt haben, ist der Schaden angerichtet. Aber man kann es begrenzen.
- Kontaktieren Sie umgehend das gefälschte Unternehmen.
- Rufen Sie Ihre Bank, Ihren Kreditgeber oder Ihren Kreditkartenaussteller an.
- Melden Sie den Betrug mindestens einem großen Kreditbüro: Equifax, Experian oder TransUnion.
- Erstatten Sie Anzeige bei Ihrer örtlichen Polizei.
- Benachrichtigen Sie die Federal Trade Commission.
- Melden Sie die Cyberkriminalität dem FBI über das Internet Crime Complaint Center.
Ändern Sie Ihre Passwörter. Beginnen Sie mit der kompromittierten Website. Dann ändern Sie sie überall anders. Wenn Sie Passwörter wiederverwenden, warten Sie nur darauf, dass der andere Schuh fällt.
Das Ausmaß der Bedrohung
Zahlen lügen nicht. Allein im August 2005 gab es 13.776 Phishing-Angriffe im Zusammenhang mit 5.259 verschiedenen Websites.
Sie zielten auf 84 Unternehmen ab. Aber drei Unternehmen mussten 80 Prozent der Treffer einstecken.
85 Prozent dieser Angriffe richteten sich gegen Banken und Finanzinstitute. Das Geld steckt in den Transaktionen.
Phisher haben in etwa fünf Prozent der Fälle Erfolg. Das ist keine hohe Conversion-Rate, aber vom Volumen her ist sie enorm.
57 Millionen US-Internetnutzer haben mindestens eine Phishing-E-Mail erhalten. Bis zu 1,7 Millionen gaben tatsächlich ihre persönlichen Daten preis.
Quelle: NGS Software und AntiPhishing.org
Schützen Sie Ihre Daten vor Phishing-Angriffen
Auch Unternehmen müssen eine Rolle spielen. Sie benötigen eine Multifaktor-Authentifizierung. Sie benötigen E-Mail-Authentifizierungsprotokolle. Und sie müssen ihre Benutzer schulen. Du bist das schwächste Glied. Mach dich stärker.
Wenn Sie eine Phishing-E-Mail vermuten, hören Sie auf. Klicken Sie nicht. Geben Sie keine Informationen weiter. Melden Sie es der Organisation. Löschen Sie die Nachricht.
Es ist einfach. Es ist langweilig. Aber es funktioniert.
