Tailgating am Arbeitsplatz: Eine Cyber-Bedrohung

Verstehen von Tailgating im Social Engineering

Was ist Tailgating? Tailgating ist eine Social-Engineering-Technik, die von Personen angewendet wird, die sich unbefugt Zugang zu gesicherten Bereichen verschaffen wollen, indem sie einer autorisierten Person dicht auf den Fersen sind. Diese Taktik nutzt die menschliche Höflichkeit aus und ermöglicht es dem Eindringling, sich ohne ordnungsgemäße Authentifizierung Zugang zu verschaffen.

Die Schlagzeilen sind voll von massiven Sicherheitsverletzungen und Analysten, die uns die oft komplexen Hacks erklären.

Frank Abagnale war einer der berüchtigtsten Hacker der Welt. Seine kriminellen Aktivitäten wurden durch den Film „Catch me if you can“ berühmt. Frank Abagnale hat in den 1960er Jahren einen Großteil seiner Hacking-Aktivitäten durchgeführt. Er nutzte Low-Tech-Social-Engineering-Techniken wie das ‚Tailgating‘, um sich als Arzt und Pilot auszugeben und verschiedene Finanzbetrügereien durchzuführen. Bei seinen Betrügereien benutzte Frank falsche Identitäten, um Schecks zu fälschen und einzulösen. Frank stahl große Geldsummen und wurde schließlich wegen Betrugs zu 12 Jahren Gefängnis verurteilt. Frank hat sein kriminelles Leben längst hinter sich gelassen und berät nun, wie man Cyberkriminalität verhindern kann.

Frank nutzte Social Engineering, um Betrug zu begehen, indem er Situationen und Menschen manipulierte. Diese Angriffsmethoden konzentrieren sich in der Regel auf Schwachstellen im menschlichen Verhalten und nutzen diese aus, um Cyberangriffe wie kriminelle Schäden, Ransomware-Infektionen, Business Email Compromise (BEC) und die Preisgabe von Daten zu initiieren. Der Begriff „Engineering“ täuscht darüber hinweg, dass viele Social-Engineering-Probleme oft subtil und technisch unbedeutend sind. Im Folgenden werfen wir einen Blick auf die Low-Tech-Hacking-Taktik, die als „Tailgating“ bekannt ist.

Was ist Tailgating im Zusammenhang mit einer Cyber-Bedrohung?

Die Schlagzeilen sind voll von massiven Sicherheitsverletzungen und Analysten, die uns die oft komplexen Hacks erklären. Aber nicht alle Hacks sind digital, viele werden mit einfachen Mitteln durchgeführt. Aber selbst diese Low-Tech-Angriffe können immer noch zu großen Sicherheitsverletzungen und Diebstählen führen.

Tailgating, manchmal auch als „Piggbacking“ bekannt, ist eine Form des Low-Tech-Social-Engineering, bei der es sich eher um einen physischen als um einen digitalen Hack handelt. Dieser physische Angriff kann jedoch zu einem digitalen Cyberangriff führen.

Ein typisches Beispiel für Tailgating ist ein Betrüger, der sich Zugang zu einem Firmengebäude verschafft, indem er vorgibt, ein legitimer Besucher oder ein Zusteller oder ähnliches zu sein. Colin Greenless, ein Berater bei Siemens Enterprise Communications, demonstrierte 2009, wie einfach Tailgating ist und wie schädlich es sein kann. Greenless verschaffte sich unbefugten Zutritt zu einem Gebäude eines an der FTSE 100 notierten Finanzinstituts und fand innerhalb von 20 Minuten ein hochsensibles M&A-Dokument, das offen auf einem Schreibtisch lag.

Die Psychologie des Tailgating oder Piggbacking

Beim Tailgating oder Piggbacking werden das menschliche Verhalten und Situationen ausgenutzt. Tailgating ist eine Social-Engineering-Taktik an Ort und Stelle – das heißt, der Tailgater muss sich physisch in der Umgebung befinden, die er ausnutzen möchte. Dies bringt andere wichtige Faktoren für erfolgreiches Tailgating ins Spiel, nämlich das Vorwanding.

Pretexting ist wahrscheinlich so alt wie die menschliche Gesellschaft. Dabei gibt man sich als eine andere Person aus, um sensible oder wichtige Informationen von einer anderen Person oder Gruppe zu erhalten, ähnlich wie Frank Abagnale. Beim Beschatten nimmt der Täter oft eine Identität an, die die Zielperson bereit macht, Informationen preiszugeben oder eine Handlung vorzunehmen (z. B. eine Tür zu öffnen). Pretexting erfordert Nachforschungen über ein Ziel. Es basiert auch auf dem Konzept des Vertrauens – welche Voraussetzungen helfen dabei, eine vertrauenswürdige Persona aufzubauen, um ein Social Engineering-Szenario erfolgreicher zu machen? Wenn der Social Engineer beispielsweise ein Zielunternehmen beschatten möchte, kann er Zeit damit verbringen, die Art der Besucher zu beobachten, die das Gebäude des Unternehmens aufsuchen. Gibt es zum Beispiel eine bestimmte Uhrzeit, zu der Lieferungen erfolgen. Auf diese Weise kann der Betrüger eine vertrauenswürdige Persona aufbauen, die er nutzen kann, um Mitarbeiter zu manipulieren und zu beeinflussen, damit sie ihm Zutritt zu einem normalerweise gesicherten Gebäude oder Raum gewähren.

Der Schaden durch Tailgating am Arbeitsplatz

Beim Tailgating geht es nicht nur darum, dass jemand aus Jux und Tollerei in ein Gebäude eindringt. Hinter Tailgating steckt eine böswillige Absicht, und die Täter begehen diese Tat, um Sachschäden zu verursachen, Informationen zu stehlen, Malware zu installieren und sogar das Leben von Mitarbeitern zu gefährden. In einer kürzlich durchgeführten Umfrage von Boon Edam fühlten sich 71% der Befragten durch einen physischen Einbruch aufgrund von Tailgating gefährdet.

Tailgating kommt in jeder Form vor, und diejenigen, die es ausüben, können ehemalige Mitarbeiter oder Fremde sein.

Ex-Mitarbeiter: Untersuchungen haben ergeben, dass 80 % der Ansprüche aus der Cyber-Haftung auf Nachlässigkeit von Mitarbeitern zurückzuführen sind, darunter auch auf abtrünnige Mitarbeiter. Diese Ex-Mitarbeiter sind oft verärgert, wollen sich rächen, beschädigen Eigentum und stehlen Unternehmensinformationen und sensible Daten, um sich zu rächen.

Fremde Gefahr: Höflichkeit kann zu Datendiebstahl und Malware-Infektionen führen: Während der Colin Greenless Tailgating-Übung gaben 17 Mitarbeiter Colin auf Anfrage ihre Passwörter. Betrüger planen ihre Angriffe in der Regel lange im Voraus. Sie wissen, auf wen sie es abgesehen haben, und neben Passwörtern stehen auch Zugangsausweise auf ihrer „Must-have“-Liste. Einem Fremden gegenüber höflich zu sein, kann zu kompromittierten Konten, einer Datenverletzung und sogar zu einer Infektion durch die Installation von Malware führen.

Wie Sie das Tailgating beenden

Ein Verwaltungssystem für Sicherheitsrichtlinien und Compliance ist ein wichtiger erster Schritt bei der Entwicklung von Methoden zur Verhinderung von Tailgating-Vorfällen. Die Richtlinien müssen die Methoden des Tailgating widerspiegeln und aufzeigen, wie man den Tailgater auf seinem Weg stoppen kann. Um Tailgating zu stoppen, bevor es sich in Ihrem Unternehmen festsetzt, sollten Sie die folgenden Bereiche berücksichtigen:

Grundlagen

Klären Sie Ihre Mitarbeiter darüber auf, was Tailgating ist, wie es passiert und welche Konsequenzen es hat. Dies sollte Teil eines fortlaufenden Schulungsprogramms für das Sicherheitsbewusstsein sein. Programme zum Sicherheitsbewusstsein sollten alle Aspekte von Cyber-Bedrohungen abdecken, sowohl die digitale als auch die physische Sicherheit.

Wachsamkeit

Fördern Sie die Wachsamkeit Ihrer Mitarbeiter. Jeder, der verdächtig aussieht, sollte aufgefordert werden, sich zu legitimieren. Noch besser ist es, wenn Sie ein Verfahren einrichten, mit dem die Mitarbeiter einen zuständigen Mitarbeiter des Sicherheitsteams oder einen Manager über ihren Verdacht informieren können.

Umweltbewusstsein

Schulen Sie Ihre Mitarbeiter über die Aktionen von Tailgatern, wie z.B. den Versuch, sich physischen Zugang zu gesperrten Bereichen zu verschaffen, während eine autorisierte Person den Raum betritt. Stellen Sie sicher, dass Ihre Mitarbeiter wissen, dass es sich bei Tailgating um Tricks handelt, um Vertrauen aufzubauen.

Selbstbehauptung

Höflichkeit ist wichtig, aber auch Durchsetzungsvermögen kann dazu beitragen, einen schwerwiegenden Unternehmensverstoß zu verhindern. Die Mitarbeiter müssen über die Tricks der Hintermänner aufgeklärt werden und darüber, wie diese Kriminellen die Angst davor nutzen, unhöflich zu wirken, um die Sicherheit zu umgehen.

Die Tür zum Tailgating schließen

Colin Greenless war ein White-Hat-Hacker, und seine Eskapaden wurden transparent gemacht, um Tailgating zu verhindern. Dennoch ist Tailgating immer noch ein alltägliches Ereignis. Ein jüngeres Beispiel ist eine Frau, der es gelang, mit vier mobilen Geräten, einem Laptop, einer externen Festplatte und einem USB-Stick mit Malware in einen gesperrten Bereich des Mar-a-Lago Trump Resorts einzudringen. Trotz der Sicherheitsvorkehrungen des Präsidenten gelang es ihr, die Sicherheitsvorkehrungen zu umgehen, indem sie vorgab, die Fragen des Sicherheitspersonals nicht zu verstehen.

Personen, die einer Organisation schaden und/oder Betrug begehen wollen, werden hart daran arbeiten, die Mitarbeiter hinters Licht zu führen. Menschliche Eigenschaften wie Höflichkeit, mangelnde Wachsamkeit oder einfach nur Ablenkung durch die Arbeit können dazu führen, dass ruchlose Personen mit böser Absicht in ein Unternehmen eindringen. Die Mitarbeiter müssen für die Gefahren sensibilisiert werden, die von scheinbar harmlosen Dingen ausgehen, wie z.B. wenn jemand in ein Büro kommt, der dort vielleicht nicht sein sollte. Eine Schulung zum Sicherheitsbewusstsein (Cyber Security Awareness Training) schließt die Tür zum Tailgating und vermittelt den Mitarbeitern das nötige Wissen, um dieses heimtückische Problem zu bekämpfen.