So erkennen Sie die Anzeichen eines Social Engineering-Angriffs

Wenn Sie wissen, wie Sie die Anzeichen eines Social-Engineering-Angriffs erkennen, können Sie den Erfolg dieser Art von Angriffen verhindern und die sensiblen Daten und Systeme Ihres Unternehmens schützen.

Warum sollten Sie sich die Mühe machen, eine Tür einzuschlagen, wenn Sie jemanden bitten können, Ihnen den Schlüssel zu geben? Dieses Szenario ist die Analogie, die beschreibt, warum Social Engineering zur meistgenutzten Cyber-Angriffstechnik geworden ist.

Der Verizon Data Breach Investigation Report 2021 hat einen Aufwärtstrend beim Einsatz von Social Engineering seit 2017 festgestellt. In einem anderen Bericht wird für 2021 ein Anstieg der auf Social Engineering basierenden Cyberangriffe um 270 % festgestellt.

Es ist so schwierig, die Anzeichen für Social Engineering zu erkennen, weil es durch die Manipulation des täglichen Verhaltens unseres Lebens funktioniert. Wie kann ein Angestellter also erkennen, ob er das Ziel eines Social Engineering-Betrugs ist?

Was ist Social Engineering?

Das Verständnis der verschiedenen Elemente, die beim Social Engineering verwendet werden, hilft, die Anzeichen für einen Social Engineering-Angriff zu erkennen.

Cyberkriminelle sind immer auf der Suche nach Möglichkeiten, auf sensible Informationen zuzugreifen oder einen Geschäftsprozess zu manipulieren, um Schaden anzurichten. Diese Schäden sind vielfältig, einschließlich Business Email Compromise (BEC) Betrug und Malware-Infektionen.

Beide Arten von Cyberangriffen sind auf dem Vormarsch: BEC-Betrügereien kosteten Unternehmen weltweit in den fünf Jahren bis 2021 mehr als 43 Milliarden Dollar , wobei die Verluste zwischen Juli 2019 und Dezember 2021 um 65 % zunahmen; Untersuchungen ergaben, dass 71 % der Unternehmen im Jahr 2021 Opfer eines Malware-Angriffs wurden. Hinter diesem Anstieg stehen ausgeklügelte und komplexe Social-Engineering-Betrügereien.

Social Engineering nutzt das menschliche Verhalten aus, so dass Menschen Handlungen ausführen, die den Betrügern zugute kommen. Mit anderen Worten: Die Betrüger bringen Menschen dazu, unwissentlich ihre Drecksarbeit für sie zu erledigen. Die Taktik der Betrüger bei einem Social-Engineering-Angriff basiert auf der Manipulation von Verhalten, Täuschung und psychologischen Tricks. Diese Manipulation wird durch mangelndes Wissen der Zielperson unterstützt.

Social Engineering ist eine subtile, geheimdienstlich gesteuerte Angriffsmethode. Die Forscher Abid et al. haben die typischen Phasen des Lebenszyklus eines Social-Engineering-Angriffs identifiziert:

1. Informationsbeschaffung: Aufklärung, um Verhaltensmuster, verwendete Apps und Geschäftsprozesse zu identifizieren, die ausgenutzt werden können. Auf diese Weise kann eine Vertrauensbasis mit dem Ziel aufgebaut werden, und die Geheimdienste können dieses Vertrauen ausnutzen.
2. Beziehung entwickeln: Dieses Vertrauen wird genutzt, um Beziehungen in Vorbereitung auf die nächste Phase zu entwickeln.
3. Ausnutzung: Die böswillige Aufgabe wird ausgeführt, z. B. das Klicken auf einen Link in einer Phishing-E-Mail oder die Aktivierung einer Geldüberweisung.
4. Ausführung: die letzte Phase, in der der Hacker Geld erhält oder sich Zugang zu Anmeldedaten verschafft, um Ransomware zu installieren oder auf sensible Informationen zuzugreifen.

Wie können Sie einen Social-Engineering-Angriff erkennen, bevor es zu spät ist, wenn Sie die Phasen eines Social-Engineering-Angriffs vor Augen haben?

Fünf Anzeichen dafür, dass Sie gesellschaftlich manipuliert werden

Einige der offensichtlichsten Anzeichen sind auch die am schwersten zu erkennenden, da sie sich als normale Ereignisse tarnen. Die Kunst, das Unerwartete zu erkennen oder zu erkennen, wenn etwas nicht in Ordnung ist, ist jedoch etwas, das durch regelmäßiges Security Awareness Training erreicht werden kann.

Hier sind fünf typische Anzeichen für Social Engineering:

Unerwartete Anhänge oder Links

Phishing-Angriffe und Smishing (Mobile Phishing) enthalten oft entweder einen Anhang oder einen Link zu einer bösartigen Website. Die E-Mail selbst enthält typische Verhaltensmotivatoren wie Dringlichkeit, emotionalen Druck, Neugier, Angst und Drohungen sowie andere besorgniserregende Aussagen, z. B. eine Sicherheitsbedrohung. Der Phishing-Angriff verleitet den Empfänger dazu, einen Anhang zu öffnen oder auf einen Link zu klicken, indem er diesen emotionalen Druck ausübt.

Denken Sie nach, bevor Sie klicken oder einen Anhang öffnen. Sieht die Nachricht seriös aus? Achten Sie auf Anzeichen von Phishing, wie z. B. „Stimmt die E-Mail-Adresse des Absenders mit dem erwarteten Domainnamen überein? Ist die Sprache und Grammatik der E-Mail ein wenig ungewöhnlich?

Im MetaCompliance Ultimate Guide to Phishing finden Sie weitere Erkennungszeichen für Phishing-E-Mails.

Eine ungewöhnliche Anfrage

Betrüger können sich verraten, indem sie nach etwas Unerwartetem fragen. Dies ist besonders auffällig, wenn der Betrüger sich als eine andere Person im Unternehmen ausgibt, vielleicht als CFO oder CEO.

Bei BEC-Betrügereien kann es beispielsweise vorkommen, dass Mitarbeiter der Buchhaltung eine Spear-Phishing-E-Mail erhalten, die scheinbar von einem leitenden Angestellten stammt und in der um eine sofortige und dringende Geldüberweisung gebeten wird. In anderen Phishing-E-Mails wird der Empfänger aufgefordert, einen Anhang mit einer Sprachaufzeichnung zu öffnen, usw.

Wenn Ihnen eine Anfrage ungewöhnlich erscheint, sollten Sie sich fragen, ob es sich um einen Betrug handeln könnte. Dann führen Sie eine einfache Überprüfung durch – rufen Sie die Person an, die die Anfrage angeblich gesendet hat, und fragen Sie, ob sie legitim ist.

Eine dringende Bitte oder Forderung

Dringlichkeit ist ein Paradebeispiel für eine Taktik, mit der menschliche Gefühle manipuliert werden. Wenn eine dringende Anfrage den Anschein erweckt, als käme sie vom oberen Management oder der C-Ebene, sollten Sie sich einen Moment Zeit nehmen, um die Legitimität der Anfrage zu überprüfen.

Business Email Compromise (BEC) beinhaltet oft die emotionale Manipulation von Mitarbeitern, die in der Finanzabteilung arbeiten. Ein BEC-Betrüger versucht zum Beispiel, einen Mitarbeiter unter Druck zu setzen, Geld zu überweisen, indem er ihm mit dem Verlust seines Geschäfts droht, wenn er nicht schnell handelt.

Überprüfen Sie den Antrag noch einmal und rufen Sie die Person an, die den Antrag gestellt haben soll.

Ein Angebot, das zu gut ist, um wahr zu sein

Cyberkriminelle verwenden manchmal Erpressung oder Nötigung, um Informationen zu erhalten, insbesondere in der Phase der Informationsbeschaffung eines Social Engineering-Angriffs.

Denken Sie zweimal nach, wenn Sie ein Angebot über Geld oder einen Preis für die Weitergabe von Firmen- oder persönlichen Daten erhalten, denn es könnte sich um einen Versuch handeln, Ihr Konto zu hacken.

Eine Anfrage auf Social Media von jemandem, den Sie nicht kennen

In den sechs Monaten bis Juni 2021 hat LinkedIn mehr als 66 Millionen Spam- und Betrugsnachrichten auf der Plattform entfernt, davon 232.000, nachdem sich ein Nutzer beschwert hatte. Hacker erstellen gefälschte Konten in sozialen Medien und versuchen dann, Verbindungen herzustellen. Betrüger nutzen soziale Medien, um Informationen zu sammeln und Beziehungen zu Zielpersonen und deren Kontakten aufzubauen.

Wenn Sie eine Kontaktanfrage auf einer sozialen Medienplattform erhalten, prüfen Sie das Profil des Anfragenden und achten Sie auf Anzeichen dafür, dass es sich um eine Fälschung handeln könnte. Hat er zum Beispiel ein vollständiges Profil und einen vollständigen beruflichen Werdegang, hat er seriöse Empfehlungen usw.?

Social Engineering funktioniert und wird auch in Zukunft funktionieren, solange wir nicht lernen, die Zeichen zu erkennen. Ein Sicherheitstraining, das Social-Engineering-Taktiken vermittelt, gibt den Mitarbeitern das Wissen an die Hand, mit dem sie Betrüger davon abhalten können, ihr Verhalten auszunutzen.