Meldung

Die erfolgreichsten Phishing-Aufhänger

Mitarbeiter sind nicht wachsam genug, wenn sie Mails erhalten. So zeigt eine aktuelle Kaspersky-Analyse von Phishing-Simulationen in Unternehmen, dass viele Mitarbeiter versteckte Fallstricke zu Unternehmensangelegenheiten und Benachrichtigungen über angebliche Zustellprobleme in E-Mails in der Regel nicht bemerken.
Der "fehlgeschlagene Zustellversuch" ist einer der beliebtesten Phishing-Aufhänger.
Schätzungen zufolge beginnen neun von zehn Cyberangriffen (91 Prozent) mit einer Phishing-E-Mail [1]; Phishing-Techniken sind an zwei Drittel aller erfolgreichen Datenschutzverletzungen beteiligt (32 Prozent). Fast jeder fünfte Mitarbeiter in der Phishing-Simulation klickte auf den Link in den E-Mail-Vorlagen, der diese Art von Phishing-Angriffen imitierte. Andere gängige Phishing-Mails, die verkünden, der eigene Computer sei gehackt worden oder einen Gewinn versprechen, sind dagegen mit einer Klickkonversion von ein bis zwei Prozent kaum erfolgreich.

Um weitere Einblicke in diese Bedrohung zu erhalten, haben Kaspersky-Experten die Daten eines Phishing-Simulators, die Nutzer freiwillig bereitgestellt hatten, gesammelt und analysiert. Dieses in die Kaspersky Security Awareness Platform integrierte Tool hilft Unternehmen zu überprüfen, ob Mitarbeiter eine Phishing-E-Mail erkennen können, ohne Unternehmensdaten zu gefährden.

Ein Administrator wählt aus einer Reihe von Vorlagen, die gängige Phishing-Szenarien nachahmen, aus oder erstellt eine individuelle Vorlage, sendet diese dann ohne Vorwarnung an die ausgewählte Gruppe von Mitarbeitern und verfolgt die Ergebnisse. Eine große Anzahl von Nutzern, die auf den Link klicken, zeigt, dass zusätzliche Cybersicherheitsschulungen erforderlich sind.

Zu den fünf effektivsten Betreffzeilen in Phishing-E-Mails zählen:

  1. "Fehlgeschlagener Zustellversuch - Leider konnte unser Kurier Ihren Artikel nicht zustellen" vermeintlich von einem Postzustelldienst: Klickkonversion von 18,5 Prozent
  2. "E-Mails wurden wegen Überlastung der Mailserver nicht zugestellt" vermeintlich vom Google-Supportteam: Klickkonversion von 18 Prozent
  3. "Online-Mitarbeiterbefragung: Was würden Sie an der Arbeit im Unternehmen verbessern?" vermeintlich von der Personalabteilung: Klickkonversion von 18 Prozent
  4. "Erinnerung: Neue unternehmensweite Kleiderordnung" vermeintlich von der Personalabteilung: Klickkonversion von 17,5 Prozent
  5. "Achtung an alle Mitarbeiter: Evakuierungsplan für das neue Gebäude" vermeintlich von der Sicherheitsabteilung: Klickkonversion von 16 Prozent

Weitere effektive Aufhänger für Phishing-E-Mails sind:

  • Reservierungsbestätigungen eines Buchungsservices (11 Prozent)
  • Benachrichtigungen über eine Auftragserteilung (11 Prozent)
  • Ankündigung eines IKEA-Wettbewerbs (10 Prozent)

Dabei scheinen E-Mails, die den Empfänger bedrohen oder sofortige Vorteile versprechen, weniger "erfolgreich" zu sein. Eine Vorlage mit dem Betreff "Ich habe Ihren Computer gehackt und kenne Ihren Suchverlauf" klickten nur zwei Prozent der Nutzer an, Angebote für eine kostenlose Netflix-Nutzung und 1000 US-Dollar nur ein Prozent.

"Die Phishing-Simulation ist eine der einfachsten Möglichkeiten, die Cyber-Resilienz von Mitarbeitern zu überprüfen und die Effizienz ihrer Cybersicherheitsschulungen zu bewerten. Es gibt jedoch wichtige Aspekte, die bei der Durchführung berücksichtigt werden müssen, damit sie wirklich wirkungsvoll ist", erläutert Christian Milde, Geschäftsführer Central Europe bei Kaspersky. "Da Cyberkriminelle permanent ihre Methoden anpassen, muss die Simulation neben gängigen Cybercrime-Szenarien auch aktuelle Social-Engineering-Trends widerspiegeln. Es ist entscheidend, dass regelmäßig simulierte Angriffe durchgeführt und durch entsprechende Schulungen ergänzt werden. So entwickeln Nutzer ein starkes Bewusstsein, das es ihnen ermöglicht, nicht auf zielgerichtete Angriffe oder Spear-Phishing hereinzufallen."

Empfehlungen zum Schutz vor Phishing-Angriffen

  • Mitarbeiter regelmäßig über die grundlegenden Kennzeichen von Phishing-E-Mails informieren, wie eine alarmierende Betreffzeile, Fehler und Tippfehler, widersprüchliche Absenderadressen und verdächtige Links.
  • Wenn Zweifel bezüglich der empfangenen E-Mail bestehen, sollte das Format der Anhänge und die Genauigkeit des Links vor dem Anklicken überprüft werden. Indem der Mauszeiger über diese Elemente bewegt wird, kann sichergestellt werden, dass die Adresse authentisch aussieht und die angehängten Dateien nicht in einem ausführbaren Format vorliegen.
  • Phishing-Angriffe sollten immer der IT-Sicherheitsabteilung gemeldet werden. Auf diese Weise kann das Cybersicherheitsteam die Anti-Spam-Richtlinien neu konfigurieren und einen Vorfall verhindern.
  • Mitarbeiter sollten regelmäßig in Sachen Cybersicherheit geschult werden. Derartige Schulungen zielen darauf ab, das Verhalten der Lernenden zu ändern und ihnen den Umgang mit Bedrohungen beizubringen.
  • Da Phishing-Versuche verwirrend sein können und es keine Garantie gibt, alle unbeabsichtigten Klicks zu vermeiden, sollten alle Geräte mit einem zuverlässigen Endpoint-Schutz geschützt werden. Entsprechende Lösungen bieten Anti-Spam-Funktionen, verfolgen verdächtiges Verhalten und erstellen Backups im Falle von Ransomware-Angriffen.

4.07.2022/dr

Tipps & Tools

Schwachstellen in GPS-Trackern [2.08.2022]

Sicherheitsforscher von BitSight fanden sechs Schwachstellen in GPS-Trackern des Herstellers MiCODUS. Sie ermöglichen es Hackern unter anderem, den Standort von Personen ohne deren Wissen nachzuverfolgen, Flotten von Liefer- und Einsatzfahrzeugen aus der Ferne zu deaktivieren, und zivile Fahrzeuge auf Autobahnen abrupt anzuhalten. [mehr]

Download der Woche: Metasploit Framework [27.07.2022]

Kenne deinen Gegner. Die alte Weisheit, dass Sie als Admin wie ein Hacker denken müssen, hat mehr denn je Gültigkeit. Erkennen Sie die eigenen Schwachpunkte frühzeitig, sind Sie den Bösewichten einen Schritt voraus. Hier kann Ihnen das Open-Source-Projekt "Metasploit Framework" Hilfe leisten. Mit dem Werkzeug machen Sie Sicherheitslücken in Ihren Netzwerken ausfindig. [mehr]

Fachartikel

Advertorial: E-Book OPNsense – Mehr als eine Firewall [31.07.2022]

Als leicht bedienbare Security-Plattform findet die Open Source Firewall OPNsense in immer mehr Unternehmen Anwendung. Aber OPNsense punktet nicht nur durch hohe Zugänglichkeit und den Wegfall von Lizenzkosten: Dank seines modularen Aufbaus integriert es die besten Open-Source-Sicherheitslösungen unter einer einheitlichen Oberfläche und überzeugt so mit einem Funktionsumfang, der viele kostenpflichtige Lösungen übertrifft. Im neuen E-Book "OPNsense – Mehr als eine Firewall" der Thomas-Krenn.AG und ihrem Partner m.a.x. it finden Sie alle Informationen zum Einstieg in OPNsense und für die Grundabsicherung eines Unternehmensnetzes. [mehr]

Buchbesprechung

Kerberos

von Mark Pröhl und Daniel Kobras

Anzeigen