Die 10 häufigsten Phishing-Angriffe (2023)

Phishing ist die häufigste Cyber-Angriffsmethode und erfreut sich immer größerer Beliebtheit, da sie mit relativ geringem Aufwand großen Schaden anrichten kann. In der Cyberwelt basieren Phishing-Angriffe auf der menschlichen Verletzlichkeit und sind äußerst erfolgreich. HochBundesamt für Sicherheit in der InformationstechnikIn Deutschland stehen nicht nur die Mitarbeiter des Unternehmens im Fokus, sondern auch Kunden aus Banken, Zahlungssystemen und Online-Händlern.

Was ist ein Phishing-Angriff?

Erstens handelt es sich um eine offensichtliche Form des Identitätsdiebstahls mittels E-Mail, Webseiten, SMS oder Telefonkommunikation. Angreifer versuchen, ausgefeilte soziale Manipulationstechniken anzuwenden (Soziale Entwicklung), um ihre Opfer dazu zu verleiten, vertrauliche Informationen preiszugeben. Angreifer stützen ihre Phishing-Kampagnen häufig auf gesellschaftliche Ereignisse und aktuelle Ereignisse. Beliebt sind Themen, die die Bevölkerung mit Unsicherheit belasten, etwa Finanzanlagen oder Steuerfragen.

Die häufigsten Phishing-Angriffe – Wissen schützt

Es gibt eine große Auswahl an ausgefeilten Techniken undCyberkriminelleSie sind sehr einfallsreich, wenn es darum geht, sie zu verbessern. Zu Ihrem Schutz ist es wichtig, die gängigsten Verfahren zu studieren. Wenn Sie sich damit vertraut machen, entwickeln Sie eine grundlegende Sensibilität, die Ihnen das Erkennen neuer Arten von Phishing-Angriffen erleichtert.

Betrügerische Fischerei

Täuschendes Phishing funktioniert durch Spoofing einer Domain. Die Domain des Unternehmens oder der Organisation ist gefälscht. Es werden E-Mails gesendet, um Benutzer auf diese Domain zu leiten – entweder mit dem Absender der Domain oder mit gefälschten Adressen Ihrer Freunde, Kollegen oder anderer vertrauenswürdiger Kontakte. Der Inhalt der E-Mail kann einen vertrauenswürdigen Text mit einem Link oder nur einen Link enthalten. Sie ist entweder anklickbar oder inaktiv, daher muss der Empfänger sie in die URL-Leiste kopieren. Selbst Sicherheitsfilter haben in diesem Fall Schwierigkeiten, einen versuchten Identitätsdiebstahl zu erkennen. Wenn der Besucher auf der Website ist, besteht für ihn die Versuchung, persönliche Informationen preiszugeben. Es ist zu beachten, dass Links zu sicheren HTTPS-Domänen ebenso gefährlich sein können. Heutzutage werden fast zwei Drittel aller Phishing-Sites über HTTPS-Verschlüsselung übermittelt. Häufige Beispiele für Domain-Spoofing sind Datenschutzansprüche, Gewinnspiele, Sicherheitsüberprüfungen, Datenaktualisierungen und Kontobeschränkungen. Auch File-Sharing-Dienstleister oder Internet-Datenübertragungsdienstleister werden zum Zweck des Identitätsdiebstahls gefälscht. Cyberkriminelle verlassen sich darauf, dass Menschen bei weniger bekannten Unternehmen, Kollegen, Freunden oder anderen wichtigen Kontakten ermitteln und sind im Allgemeinen bereit, deren Anfragen nachzukommen.

Dagegen hilft nur: Folgen Sie nicht den Links, die Sie per E-Mail erhalten. Besuchen Sie die Website immer separat.

Kultur

Vorausgesetzt, Sie haben aufgepasst und die E-Mail, die Sie erhalten haben, überprüft. Sie haben die Verlässlichkeit der Absenderadresse und des Links überprüft und somit von vornherein alles richtig gemacht. Allerdings sind Sie noch lange nicht vor Phishing-Angriffen geschützt, da Cyberkriminelle wissen, dass Benutzer lernen und auf immer heimtückischere Methoden wie diese zurückgreifenKultur. Sie versenden gefälschte E-Mails von echten Quellen, in denen Sie beispielsweise aufgefordert werden, Ihr Kontopasswort zu ändern. Das Knifflige daran ist, dass der Link, auf den Sie klicken müssen, dieselbe URL wie das Original verwendet, Sie aber auf eine gefälschte Seite weiterleitet. Dies geschieht entweder durch eine Infektion Ihres Computers, die Sie über Sicherheitssoftware erhalten, zKasperskyAngebote, schützen können. Oder indem der DNS-Server so manipuliert wird, dass die vom Benutzer eingegebene korrekte Internetadresse in eine falsche IP-Adresse umgewandelt wird. Das Opfer landet auf einer gefälschten Website und übermittelt unabsichtlich seine Informationen.

Hier können Sie nur eines tun: Überprüfen Sie die Zuverlässigkeit der Website selbst, bevor Sie sensible Informationen eingeben.

Identitätsdiebstahl

uIdentitätsdiebstahlDie Täter greifen nicht Massen von Nutzern mit Spam-ähnlichen E-Mails an, sondern nehmen ganz bestimmte Personen im Unternehmen ins Visier. Sie nutzen Social-Engineering-Techniken, um ihre E-Mails gezielt an ihre Opfer anzupassen. Sie gestalten beispielsweise die Betreffzeilen von E-Mails so, dass sie Themen enthalten, die für das Opfer von Interesse sind. Dies erleichtert vielen Menschen das Öffnen von E-Mails und das anschließende Klicken auf Links und Anhänge. Ziel ist es, Daten zu stehlen oder den Computer des Empfängers mit Schadsoftware zu infizieren. Dadurch erhalten Angreifer Zugriff auf das Netzwerk und die Konten des Empfängers.

CEO Business-E-Mail-Betrug oder Kompromittierung

Die beiden Begriffe werden verwendet, wenn bei einem Phishing-Angriff vorgetäuscht wird, dass eine Führungskraft oder ein Vorstandsmitglied per E-Mail eine streng vertrauliche Angelegenheit mit einem Mitarbeiter beginnen möchte. Zu diesem Zweck senden Cyberkriminelle eine E-Mail an einen Mitarbeiter in der Buchhaltungs- oder Finanzabteilung und geben sich als CEO des Unternehmens aus. In der Hoffnung, dass der Mitarbeiter unschuldig ist, bitten Sie ihn, Geld auf ein gefälschtes Konto zu überweisen. Die Täter verlassen sich darauf, dass Mitarbeiter E-Mails im Allgemeinen „von oben“ mit wenig Verdacht betrachten. Natürlich kann es sich auch um Manager oder Geschäftspartner handeln, deren Weisungen die Interessenten befolgen werden.

Um dies zu verhindern, überprüfen Sie unbedingt die E-Mails, die Sie erhalten, wenn Ihre Vorgesetzten Ihnen Anweisungen geben, die nicht dem normalen Verhalten entsprechen oder keinen Bezug zur Geldüberweisung haben. Überprüfen Sie die Richtigkeit des Absenders und der Signatur der E-Mail. Stellen Sie sicher, dass der Text dem üblichen Stil Ihres CEO entspricht, und rufen Sie ihn im Zweifelsfall direkt an.

Drachenjagd

uDrachenjagdJeder der Täter hat es auf einen ausgewählten leitenden Angestellten abgesehen, etwa den CEO, CFO oder COO. Diese Person wird sorgfältig anhand der Informationen ausgewählt, die die Täter erhalten möchten. Erstens erstellen Cyberkriminelle perfekt zugeschnittene E-Mails mit Informationen aus Suchmaschinen und sozialen Medien. Sie verwenden die richtige Begrüßung mit Titel, Name, Berufsbezeichnung und Elementen, die die Nachricht glaubwürdig machen. Der weitere Ablauf ähnelt dem Spear-Phishing, jedoch entsteht durch die Auswahl hochrangiger Empfänger und deren Berechtigungen ein extrem hoher Schaden.

Daher sollten Führungskräfte möglichst wenig persönliche Informationen in sozialen Netzwerken teilen. Als Unternehmer sollten Sie neben der Mitarbeiterschulung auch viel in Datensicherheit und Verifizierungsprozesse investieren.

Phishing-Klon

Bei einem Klon-Phishing-Angriff erstellen die Täter eine nahezu identische E-Mail auf der Grundlage einer echten, legitimen E-Mail mit einem Anhang, den das Opfer bereits erhalten hat. Es wird dann von einer E-Mail-Adresse gesendet, die legitim erscheint. Alle Links und Anhänge der ursprünglichen E-Mail wurden durch bösartige Links ersetzt. Kriminelle nutzen häufig die Ausrede, dass es in einer früheren E-Mail Probleme mit Links und Anhängen gegeben habe, um den Nutzer zum Klicken zu verleiten. Die Täter vertrauen darauf, dass ihre Opfer leicht zu täuschen sind, da sie den Inhalt der E-Mail bereits kennen.

Seien Sie also zunächst misstrauisch, wenn Sie die E-Mail ein zweites Mal erhalten. Es könnte sich um einen Phishing-Angriff handeln.

Phishing-Gießkanne

Angreifer verhalten sich wie Tiere, die im Krokodilloch lauern: Wer zu weit geht, wird ihr Opfer. In der Cyberwelt finden Kriminelle die Websites, die Ihr Unternehmen oder Ihre Mitarbeiter am häufigsten besuchen. Dabei kann es sich um die Website eines Anbieters handeln, die Ihr Unternehmen regelmäßig nutzt. Kriminelle infizieren diese Websites so, dass bei Ihrem Besuch automatisch Malware auf Ihren Computer heruntergeladen wird. Diese Malware wiederum verschafft Angreifern Zugriff auf Ihr Netzwerk, Ihre Server und sensible Informationen wie persönliche und finanzielle Informationen.

Leider kann der Benutzer nicht erkennen, ob die von ihm besuchte Website in ein Versteck für Cyberkriminelle verwandelt wurde. Hier hilft lediglich das hohe Niveau allgemeiner IT-Sicherheitsmaßnahmen im Unternehmen.

Teufelsduo

Ein gefälschter WLAN-Zugangspunkt, der sich als legitimer Zugangspunkt ausgibt. Ein Angreifer kann damit ohne Wissen des Benutzers Informationen sammeln. Dazu muss es sich in der Nähe eines Hotspots befinden und mithilfe einer entsprechenden Software dessen Funkfrequenz und SSID (Service Set Identifier) erkennen. Anschließend sendet es sein eigenes Funksignal mit derselben SSID. Wenn sich der Benutzer dann anmeldet, kann der Angreifer den Netzwerkverkehr ausspionieren.

Wenn Sie am Arbeitsplatz über WLAN surfen, sollten Sie sich nur über a mit dem Internet verbindenvirtuelles privates Netzwerk (VPN)Konzentration. Gehen Sie privat auf Nummer sicher, indem Sie Finanztransaktionen an öffentlichen Hotspots meiden.

Lächelnd

ZustandLächelndist eine Kurzform von SMS-Phishing. Die SMS scheint von vertrauenswürdigen Quellen zu stammen und enthält gefährliche URLs, auf die Sie klicken können. Sie versprechen oft vermeintliche Gutscheincodes für Rabattangebote, Freikarten für Veranstaltungen oder andere Vorteile. Kriminelle ersetzen ihre Nummer meist durch eine fünfstellige Kurznummer. Das bedeutet, dass der Nutzer nicht sofort erkennen kann, ob der Anbieter seriös ist.

Um die Seriosität des Anbieters zu überprüfen, folgen Sie diesem sogenannten Premium-Shortcode. Sie können dies in den Datenbanken oder Dokumenten Ihres Betreibers oder über eine Internetsuchmaschine tun. Dort finden Sie gute Informationen darüber, ob Betrüger die Kurzwahlnummer nutzen.

Wunsch

SWunschbedeutet eigentlich Stimmenfischen. Kriminelle werden Sie dazu verleiten, Telefonanrufe zu tätigen, und Sie auffordern, persönliche oder finanzielle Informationen anzugeben. In der Regel werden Sie bei der ersten Kontaktaufnahme nicht direkt zu einem Vorstellungsgespräch eingeladen, Sie werden aber zur Kontaktaufnahme animiert. Der Computer ruft Sie an und legt sofort auf. Wenn Sie zurückrufen, ist der Täter am Telefon. Um Sie zu betrügen, kann sich Ihr Kontrahent als vertrauenswürdige Person ausgeben – zum Beispiel als Mitarbeiter Ihrer Mutterbank. Wenn Sie erfahren, dass Ihr Konto missbraucht wurde und mit Ihren persönlichen Daten überprüft werden muss, schüren Sie Ängste, die Ihren natürlichen Verdacht verhindern können.

Rufen Sie daher keine unbekannten Nummern an und überprüfen Sie die Telefonnummer im Internet, wenn Sie wirklich anrufen möchten. Wenn die Person Sie auffordert, etwas Verdächtiges zu tun, legen Sie sofort auf.

Abschluss

Bei Phishing-Angriffen versuchen Cyberkriminelle, Sie über verschiedene Kommunikationskanäle, sei es per E-Mail, Websites, Textnachrichten oder Telefonanrufe, zur Herausgabe sensibler Informationen zu bewegen, um Ihnen dadurch finanziellen Schaden zuzufügen. Stellen Sie daher sicher, dass die E-Mail von der Person stammt, für die sie sich ausgibt. Überprüfen Sie vor dem Senden vertraulicher Dateien die Zuverlässigkeit der Website. Achten Sie darauf, nicht unvorsichtig auf kurze SMS-Codes zu reagieren und seien Sie stets vorsichtig, wenn Sie mit Fremden sprechen.

Welche Sicherheitslösungen schützen vor Identitätsdiebstahl?

Kaspersky Internet Security für Android

Kaspersky Internet Security

Kaspersky Total Security

Kaspersky Security Cloud