Seit einigen Jahren ist jeder Privatperson wie auch jedem KMU klar das eine Anti-Virus Lösung unabdingbar ist um unseren Computer und unsere Dateien zu schützen. Doch ein Anti-Virus Programm deckt nur einen kleinen Teil der Angriffsfläche ab. Neben herkömmlichen Viren gibt es täglich neue Angriffsmuster von personalisierten Angriffen, Ransomware Attacken usw. die nicht durch herkömmliche Programme abgedeckt werden. In diesem Artikel werden wir uns dem Social Engineering widmen.
Social Engineering trifft den Punkt den mir mit Technik am wenigsten beeinflussen können – den Menschen vor dem Computer. Gewiefte Hacker kombinieren dazu gerne auch mehrere Methoden, wie zum Beispiel Telefon und E-Mail.
Folgendes Szenario aus der Praxis zeigt dies sehr eindrücklich:
Der Cyberkriminelle verwendet dazu die sogenannte Spear Phishing Methode. Der Betrüger versendet zu diesem Zweck eine E-Mail an einen ausgewählten Mitarbeiter. Die Mailadresse des neuen Opfers bekommt er direkt von der Unternehmenswebsite seines Zieles. In diesem Mail befindet sich ein Dokument das mit einer Malware versehen ist, oder ein Link zu einer infizierten Website enthält.
Folgendes Beispiel zeigt ein beliebtes Angriff Szenario:

So könnte der Inhalt einer Phishing Mail aussehen. Hier gibt sich der Absender als Microsoft aus, im Mailinhalt ist nicht sichtbar das es sich dabei um einen Phishing Versuch handelt.
Eventuell sind Sie nach erhalt dieser Mail nicht 100% sicher ob es sich wirklich um ein E-Mail von Microsoft handelt und sie klicken noch nicht auf den «Aktualisieren Sie Ihr Konto» Button. Zuerst wollen Sie das mit Ihrem IT-Verantwortlichen abklären. Was aber wenn 10 Minuten nach dem Sie die E-Mail gelesen haben ein vermeintlicher Microsoft Mitarbeiter anruft und Sie bittet das Konto zu aktualisieren?
Spätestens hier werden die meisten Personen auf den Link klicken und geben somit dem Hacker Zugriff auf ihr System. Ab diesem Zeitpunkt wird es schwer Daten zu retten oder den Kriminellen zu verfolgen.
Nun, wie können wir uns überhaupt gegen solche Angriffe schützten? Es gibt einige Produkte die auf die Erkennung von Phishing Attacken spezialisiert sind, jedoch ist die Sensibilisierung der Mitarbeiter der wichtigste Punkt.
Hier die Signoroni IT Solutions Quick-Tipps um Social Engineering vorzubeugen:
- Schauen Sie sich die E-Mail des Absenders an.
Bei einem verdächtigen Absender wie zum Beispiel «@microsoft003.com» oder @microsoft.xyz.com» handelt es sich mit grosser Wahrscheinlichkeit um eine Phishing Attacke
- Stimmen Rechtschreibung und Satzstellung?
- Social Media – Hacker kennen Sie!
Wir geben heutzutage viel über uns Preis im Internet. Hacker wissen eventuell wann Sie Geburtstag haben oder seit wann Sie bei der Firma arbeiten. Diese Informationen können sich Hacker zu Nutze machen um Vertrauen aufzubauen.
- Geben Sie keine vertraulichen Informationen weiter. Kein seriöser Dienstleister wird Sie jemals nach Passwörtern fragen.
- Öffnen Sie keine Links in E-Mails wenn Sie den Absender nicht zu 100% kenne und auf eine E-Mail gewartet haben!
- Sicherheitssoftware – Wie bereits erwähnt gibt es auch Software zum Schutz von Phishing und auch gegen noch unbekannte Malware. Lassen Sie sich von Ihrem IT Partner beraten.
Weitere Infos erhalten Sie auf der Website der Melde- und Analysestelle Informationssicherung MELANI des Bundes -> https://www.melani.admin.ch/
Meine persönliche Empfehlung:
Kombinieren Sie Mitarbeiter Schulung und Software. Sensibilisieren Sie Ihre Mitarbeiter mit Phishing-Threats Tests. So bekommen Sie den maximal möglichen Schutz!
Stay Secure,
Luca Signoroni
Geschäftsführer Signoroni IT Solutions
Comments