Cyberkriminelle nutzen zunehmend den "menschlichen Faktor", auch bekannt als Social Engineering, um Cyberangriffe durchzuführen. Mehrere Untersuchungen zeigen, dass dies nicht nur ein Gerücht ist und dass Social Engineering eine erfolgreiche Technik für Cyberangriffe ist: Daten der Sicherheitsforschung von PurpleSec haben beispielsweise ergeben, dass 98 % der Cyberangriffe auf Social Engineering basieren.
Cyberkriminelle haben unsere Mitarbeiter zur vordersten Front von Cyberangriffen gemacht: Sie zielen mit bösartigen E-Mails auf sie, tricksen sie mit gefälschten Anrufen aus und manipulieren generell ihr Verhalten.
Indem wir unsere Mitarbeiter über Social-Engineering-Taktiken und -Techniken aufklären, versetzt ein Unternehmen sie in die Lage, sich gegen Betrüger zu wehren. Für ein erfolgreiches Social-Engineering-Schulungsprogramm müssen jedoch bestimmte Best Practices befolgt werden.
Hier ist der MetaCompliance-Leitfaden zur Aufklärung der Mitarbeiter über Social Engineering:
Was ist Social Engineering?
Im Zusammenhang mit der Cybersicherheit ist Social Engineering eine Technik oder eine Reihe von Techniken, die eingesetzt werden, um einen Menschen so zu manipulieren, dass er etwas Nützliches für einen Cyberkriminellen tut.
Die Tricks der Social Engineers sind vielfältig und können sich im Laufe der Zeit ändern, da die Cyberkriminellen ihre Taktiken optimieren. Das Ergebnis von Social Engineering ist, dass Mitarbeiter (oder die Öffentlichkeit) dazu verleitet werden, sensible Daten wie Anmeldeinformationen weiterzugeben, Geld an einen Betrüger zu überweisen oder einen Fehler zu begehen, indem sie beispielsweise auf einen Phishing-Link klicken.
Social Engineering ist in der Regel eine schrittweise Technik, die Folgendes beinhaltet:
- Überwachen: Das Sammeln von Informationen ist eine Schlüsselkomponente eines sozial motivierten Cyberangriffs. Es werden persönliche und geschäftliche Informationen über die Mitarbeiter der Zielpersonen gesammelt, die in der Regel in Bereichen wie der Kreditorenbuchhaltung oder der IT-Verwaltung tätig sind.
- Grooming der Zielperson: Die bei der Überwachung gesammelten Informationen werden genutzt, um eine Beziehung zu dem Zielmitarbeiter aufzubauen. Einige Betrüger rufen den Mitarbeiter sogar an, um eine freundschaftliche Beziehung zu ihm aufzubauen und ihn für die Ausbeutung zu präparieren.
- Ausnutzung der Markierung: Dies ist ein zentraler Bestandteil des sozial ausgeführten Cyberangriffs, der auf der mit den gesammelten Informationen aufgebauten Beziehung aufbaut. Diese Beziehung wird ausgenutzt, um den Angriff auszuführen, z. B. durch die Entgegennahme eines Benutzernamens und Passworts per Telefon oder das Öffnen eines infizierten E-Mail-Anhangs.
- Den Hack zu Ende bringen: In der Exploitation-Phase wird die Grundlage für die Durchführung des Kernstücks des Cyberangriffs geschaffen. Ein erfahrener Social Engineer wird in der Lage sein, den Cyberangriff in dem Wissen zu beenden, dass es einige Zeit dauern wird, bis der Mitarbeiter oder das Unternehmen merkt, dass sie ausgenutzt wurden.
Beispiele für Social Engineering
Social Engineering gibt es in vielen Formen, die sowohl Low-Tech- als auch High-Tech-Methoden und oft auch Mischformen aus beiden umfassen. Einige Beispiele zeigen, auf welche Art und Weise unsere Mitarbeiter sozial manipuliert werden:
Massiver Social-Engineering-Angriff gegen Google und Facebook
Business Email Compromise (BEC) ist ein Betrug, der Social Engineering einsetzt, um einen Angestellten dazu zu bringen, eine Firmenzahlung an den Betrüger zu senden, bei der es oft um hohe Geldbeträge geht.
Im Jahr 2019 wurden durch einen massiven BEC-Betrug rund 100 Millionen US-Dollar von Unternehmen, darunter Google und Facebook, gestohlen. Die Betrüger erstellten ein gefälschtes Unternehmen mit einem ähnlichen Namen wie ein rechtmäßiges Unternehmen, mit dem die Zielunternehmen zu tun hatten. Von dort aus verschickten sie Spear-Phishing-E-Mails an bestimmte Mitarbeiter und Vertreter der Opferunternehmen.
Um herauszufinden, auf welche Mitarbeiter sie es abgesehen haben, setzen Betrüger in der Regel Überwachungstechniken ein, um herauszufinden, wie sie das Verhalten der Zielmitarbeiter am besten manipulieren können.
Microsoft 365 Betrug
Marken wie Microsoft 365 werden oft dazu benutzt, um Mitarbeiter zu beeinflussen und auszutricksen.
Bei einem kürzlich erfolgten Angriff auf Microsoft 365 ging es darum, die Anmeldedaten von Mitarbeitern zu stehlen. Bei diesem Cyberangriff setzten die Betrüger Techniken ein, um E-Mail-Gateways zu umgehen, so dass die Phishing-E-Mails im Posteingang eines Mitarbeiters landen konnten und wie eine scheinbar legitime Microsoft 365-E-Mail aussahen. Die Phishing-E-Mail enthielt eine Betreffzeile über eine "Preisrevision" und als Anhang eine Excel-Tabellenkalkulationsdatei. Der Trick bestand darin, dass es sich bei der "Tabelle" in Wirklichkeit um eine getarnte .html-Datei handelte. Die Datei leitete jeden, der sie öffnete, auf eine Website um, auf der die Eingabe der Anmeldedaten für Microsoft 365 verlangt wurde.
5 Best Practices für die Unterrichtung von Mitarbeitern über Social Engineering
Wenn Sie bereit sind, Ihre Mitarbeiter über Social Engineering aufzuklären, lohnt es sich, diese fünf Best Practices anzuwenden:
Best Practice Eins: Das komplexe Netz des Social Engineering verstehen
Aufbau einer Wissensbasis über Taktiken und Techniken des Social Engineering. Dies wird die Grundlage für Ihr Schulungspaket bilden. Social Engineering basiert auf der menschlichen Psychologie. Zu verstehen, wie Betrüger das menschliche Verhalten manipulieren, ist daher von grundlegender Bedeutung, um einen erfolgreichen Cyberangriff auf der Grundlage dieser Methode zu verhindern.
Daher ist die Schulung von Mitarbeitern zur Erkennung eines Social-Engineering-Versuchs komplexer als die Schulung zum Thema Phishing; Phishing-Simulationen sollten jedoch Teil eines umfassenderen Schulungsprogramms für Social Engineering sein.
Ein umfassendes Programm zur Aufklärung über Social Engineering sollte auch beinhalten, wie diese Betrügereien funktionieren und welche Verhaltensweisen oder Situationen sie manipulieren, z. B. Vertrauen, Dringlichkeit, Beziehungen usw.
Best Practice Zwei: Schulung des Sicherheitsbewusstseins +SEE
Allgemeine Schulungspakete zum Sicherheitsbewusstsein sollten immer auch Aufklärung über Social Engineering beinhalten. Sicherheitshygiene und allgemeines Phishing-Bewusstsein sind allesamt Teil der Entschärfung eines erfolgreichen Social Engineering-Versuchs. Fügen Sie Social-Engineering-Schulungen (SEE) in Ihr allgemeines Schulungsprogramm für das Sicherheitsbewusstsein ein, um Social-Engineering-Tricks für alle sichtbar zu machen.
Best Practice Drei: Intelligentes Lernen
Der Mensch lernt am besten, wenn er mit interaktiven Techniken unterrichtet wird. Die Forschung hat bestimmte Kriterien für effektives Lernen ermittelt:
- Gestalten Sie die Lektionen kurz, aber informativ: Bauen Sie darauf auf und wiederholen Sie sie regelmäßig, um optimal zu lernen.
- Wenn Sie beim Lernenzwischen den Ideen wechseln, entstehen natürliche Pausen zwischen den Sitzungen, die dazu beitragen, die Ideen zu vertiefen. Stellen Sie sicher, dass Sie auch Verbindungen zwischen verschiedenen Bereichen der Cybersicherheit und Social-Engineering-Taktiken aufzeigen, damit die Mitarbeiter die Komplexität dieser Arten von Angriffen verstehen.
- Verwenden Sie "konkrete Beispiele", damit das Gelernte im Gedächtnis des Mitarbeiters haften bleibt.
Best Practice Vier: Spülen und Wiederholen
Social Engineering wird, wie andere Angriffsmethoden auf die Cybersicherheit, von Cyberkriminellen ständig optimiert. Stellen Sie sicher, dass Sie regelmäßige Schulungen zum Thema Social Engineering als Teil Ihres umfassenden Schulungsprogramms für das Sicherheitsbewusstsein durchführen. Automatisieren Sie Ihre Security-Awareness-Kampagne, um die Schulungen zu verbessern und zu optimieren.
Best Practice 5: Machen Sie Ihren Arbeitsplatz zu einer Null-Toleranz-Zone für Social Engineering
Indem Sie das Vertrauen Ihrer Mitarbeiter in die Erkennung und Verhinderung eines sozial motivierten Cyberangriffs stärken, wird Ihr Unternehmen eine Kultur des Sicherheitsbewusstseins aufbauen.
Diese Kultur wird Ihre Mitarbeiter vor Cyberangriffen schützen, selbst wenn das Social Engineering komplex ist und sich auf Ängste, Verhalten, Dringlichkeit und Beziehungen der Mitarbeiter stützt. Diese Kultur wird sich auch auf ihr Privatleben ausdehnen, ihre allgemeine Sicherheit verbessern und dazu beitragen, dass auch die Arbeitsumgebung zu Hause weniger gefährdet ist.
Bei Cyberangriffen, die Social-Engineering-Techniken einsetzen, ist der Mensch die Sicherheitsschwachstelle. Indem Sie Ihre Mitarbeiter mit dem Wissen ausstatten, Social-Engineering-Versuche zu erkennen, stärken Sie Ihr Unternehmen und Ihre Mitarbeiter.
