Inhalt
- Phishing, Spear Phishing und Walfischen
- Beispiele für Walfang
- Keine Bugs, kein Stress - Ihre schrittweise Anleitung zur Erstellung lebensverändernder Software, ohne Ihr Leben zu zerstören
- Wie man einer Harpune ausweicht
- Der nächste große Fang
- Erhalten Sie klug
Wegbringen:
Walfang kann ein Unternehmen versenken, daher ist es Sache der leitenden Angestellten, sich über die Gefahren zu informieren und zu verhindern, dass ihr Unternehmen Opfer wird.
Speer-Phisher greifen nach "Big Phish" mit Zugriff auf äußerst wertvolle Unternehmensinformationen, einer Strategie, die als Walfang bezeichnet wird. Das funktioniert so: Hacker durchsuchen das Internet, soziale Medien oder sogar Unternehmenswebsites, um Informationen über ein hochkarätiges Ziel zu sammeln und dann einen Anreiz zu schaffen, den Empfänger zu verleiten, zu glauben, dass es von einer vertrauenswürdigen Quelle stammt. Sobald das Ziel auf klickt, wird häufig schädliche Software installiert, die es dem Hacker ermöglicht, auf das Innenleben des Unternehmens zuzugreifen oder Informationen vom Ziel für einen weiteren Angriff auf einen noch größeren Phish zu sammeln.
Whaling und Phishing sind nicht neu, aber die Bedrohung geht nicht in die richtige Richtung. Deshalb liegt es an den Unternehmen, die Führung bei der Reduzierung ihres eigenen Risikos zu übernehmen.
Phishing, Spear Phishing und Walfischen
Phishing-Angriffe gehen weit zurück und wenn Sie sie verwenden, sind Sie wahrscheinlich selbst einigen ausgesetzt. Bei Phishing-Angriffen verwenden Hacker oder böswillige Websites, um persönliche Informationen abzurufen, indem sie sich als vertrauenswürdige Organisationen wie Regierungsorganisationen oder Finanzinstitute ausgeben. Auf diese Weise können die Angreifer vertrauliche Informationen anfordern. Wenn der Benutzer mit den angeforderten Informationen antwortet, können Angreifer diese verwenden, um unter anderem Zugriff auf das Bankkonto eines Benutzers zu erhalten oder seine Identität zu stehlen.
Im Gegensatz zu Spear-Phishing und Walfang werden Phishing-E-Mails in großen Mengen verschickt, häufig zu Tausenden. Sie richten sich daher an ein allgemeines Publikum. Cyberkriminelle nutzen diesen Ansatz in der Hoffnung, dass ein paar unglückliche Menschen den Köder ziehen.
Spear Phishing ist ein gezielterer Phishing-Angriff. Es kann einzeln oder als Teil einer Advanced Persistent Threat (APT) -Kampagne verwendet werden. Anstatt tausende von s auszutreiben, in der Hoffnung, ein paar Opfer zu finden, zielen Speerfischer auf ausgewählte Gruppen von Menschen ab, die etwas gemeinsam haben - sie arbeiten bei demselben Unternehmen, haben eine Bank bei demselben Finanzinstitut, besuchen dasselbe College oder bestellen Waren von der gleichen Website. Die s werden angeblich von Organisationen oder Einzelpersonen gesendet, von denen die potenziellen Opfer normalerweise s erhalten, was sie noch mehr täuscht. Dieser gezielte Ansatz kann Speer-Phishing effektiver und damit für die Opfer schädlicher machen. (Lesen Sie mehr über APT und die Risiken, die mit Advanced Persistent Threats verbunden sind: Erste Salve im kommenden Cyberwar?)
Whaling geht noch einen Schritt weiter. Whaling ist eine Spear-Phishing-Attacke, die sich an leitende Angestellte und Geschäftsinhaber richtet. Es kann Monate dauern, bis der Angreifer das Unternehmen untersucht und so viel wie möglich über das potenzielle Opfer herausgefunden hat, um die Informationen in einer Weise zu erstellen, die dem Empfänger als legitim erscheint. Führungskräfte und Geschäftsinhaber sind angesprochen, weil sie in der Regel Zugriff auf die vertraulichsten Informationen im Unternehmen haben. Sobald ihr Computer kompromittiert ist, haben die Angreifer eine virtuelle Carte Blanche. Und für das Unternehmen sind das sehr schlechte Nachrichten.
Beispiele für Walfang
Ein Beispiel für eine besonders erfolgreiche Walfangkampagne war das Jahr 2008, in dem offiziell aussehende Vorladungen an 20.000 leitende Angestellte von Unternehmen gerichtet wurden. Dies bedeutet, dass der Empfänger vor einer Grand Jury des Bundes erscheinen musste und den vollständigen Namen, den Firmennamen, die Telefonnummer und andere relevante Informationen enthielt, um den Empfänger zu täuschen, dass dies legitim ist.
Es funktionierte; Etwa ein Zehntel der Empfänger klickte auf einen Link, um das gesamte Dokument anzuzeigen. Der Link führte den Empfänger zu einer Website, auf der dem Opfer mitgeteilt wurde, dass er ein Browser-Add-On installieren muss, um die Vorladung anzuzeigen. Stattdessen lud die Website Keylogger-Software herunter, mit der die Anmelde- und Kennwortinformationen der Führungskräfte geheim aufgezeichnet werden konnten. In der Folge wurden die Unternehmen gehackt, was teilweise erheblichen Schaden anrichtete. (Weitere Informationen zu Keyloggern finden Sie unter Ist FBIs Magic Lantern der ultimative Keylogger?)
Keine Bugs, kein Stress - Ihre schrittweise Anleitung zur Erstellung lebensverändernder Software, ohne Ihr Leben zu zerstören
Sie können Ihre Programmierkenntnisse nicht verbessern, wenn sich niemand um die Softwarequalität kümmert.
Eine weitere gängige Strategie für einen Walfangangriff ist die Ausnutzung des bekannten Namens Better Business Bureau (BBB). In diesem Betrug geben Angreifer gegenüber Eigentümern kleiner und mittlerer Unternehmen an, von einem BBB-Beamten wegen einer gegen das Unternehmen eingereichten Beschwerde zu stammen. In einer Version wird der Empfänger aufgefordert, auf einen Link zu klicken, um die Beschwerde anzuzeigen. Erneut lädt der Link jedoch Keylogger-Software oder andere Malware herunter, die zum Diebstahl vertraulicher Informationen entwickelt wurde. Die BBB warnt Unternehmen regelmäßig vor diesen Betrügereien. Das Problem ist, dass es für die Opfer oft schwierig ist zu sagen, dass sie überhaupt betrogen werden, bis es zu spät ist.
Wie man einer Harpune ausweicht
Was können Unternehmen tun, um sich zu schützen? Der Walfang stellt ein erhebliches Risiko für Unternehmen dar, doch die Schritte, um dies zu verhindern, sind recht einfach. Der Schlüssel ist, dass Unternehmen proaktiv sein und sicherstellen müssen, dass ihre Mitarbeiter ein paar vernünftige Regeln befolgen. Nachfolgend finden Sie einige Richtlinien für Mitarbeiter und Führungskräfte.
- Seien Sie misstrauisch gegenüber unerwünschten s
Einzelpersonen sollten unerwünschten Telefonanrufen oder Fragen zu Mitarbeitern oder anderen internen Informationen gegenüber misstrauisch sein. Wenn eine unbekannte Person behauptet, von einer legitimen Organisation zu stammen, sollte ihre Identität überprüft werden. - Geben Sie keine persönlichen oder Unternehmensinformationen an
Einzelpersonen sollten keine persönlichen oder Unternehmensinformationen, einschließlich der Struktur oder der Netzwerke des Unternehmens, bereitstellen, es sei denn, sie sind sich der Berechtigung einer Person sicher, über diese Informationen zu verfügen.
Darüber hinaus sollten Einzelpersonen keine persönlichen oder finanziellen Informationen in einem offen legen und nicht auf Anfragen nach diesen Informationen reagieren. Dies schließt die folgenden Links ein, die in s gesendet wurden. - Vermeiden Sie vertrauliche Informationen über das Internet
Im Allgemeinen sollten besonders sensible Informationen nicht über das Internet oder über das Internet gesendet werden. - Achten Sie auf URLs
Schädliche Websites ähneln möglicherweise einer legitimen Website, die URL verwendet jedoch möglicherweise eine andere Schreibweise oder eine andere Domain, was auf einen Phishing-Versuch hinweisen könnte. - Anfragen überprüfen
Wenn ein Mitarbeiter einen Verdacht erhält, sollte er versuchen, ihn zu überprüfen, indem er sich direkt an das Unternehmen wendet, von dem aus der Verdacht versandt wurde. - Informiert werden
Informationen zu Phishing- und Walfangangriffen finden Sie auch online bei Gruppen wie der Anti-Phishing-Arbeitsgruppe, einem gemeinnützigen Industrie- und Strafverfolgungsverband, der sich mit der Bekämpfung von Betrug, Kriminalität und Identitätsdiebstahl befasst, der durch Phishing, Walfang und Spoofing aller Art verursacht wird.
Der nächste große Fang
Das organisierte Verbrechen zeigt weiterhin ein Interesse an Spear Phishing und Walfang. Solange Kriminelle mit diesen Angriffen Geld verdienen können, werden sie weitermachen. Zum Beispiel, obwohl die BBB-Betrügereien schon lange andauern, treten sie weiterhin regelmäßig auf, gemessen an der Häufigkeit der BBB-Warnungen zu diesem Thema.
Darüber hinaus sind Speer-Phishing und Walfang eine beliebte Methode für fortschrittliche Kampagnen gegen Bedrohungen, die häufig von Gruppen mit Verbindungen zu ausländischen Regierungen gestartet werden. Sie sollen ein Unternehmen oder eine Agentur infiltrieren, um vertrauliche Informationen oder wertvolles geistiges Eigentum zu stehlen. Diese Akteure verbringen eine lange Zeit damit, den effektivsten Weg zu finden, um eine Organisation zu infiltrieren. Die Ansprache von Führungskräften und Geschäftsinhabern ist oft die Lösung.
Erhalten Sie klug
Solange Einzelpersonen dazu verleitet werden können, böswillige s zu öffnen, wird die Praxis des Walfangs fortgesetzt. Es liegt an den Führungskräften, sich über die Gefahren des Walfangs zu informieren und zu verhindern, dass ihre Unternehmen Opfer werden.