Social Engineering wird zu einer immer beliebteren Methode, die Cyberkriminelle dazu nutzen, um sowohl kleinere als auch größere Verbrechen zu verüben. Im Wesentlichen ist Social Engineering eine Methode, um Zugriff auf Netzwerke, Systeme oder Daten zu erhalten, indem anstelle von technischen Hacking-Techniken die menschliche Psychologie und Neugierde ausgenutzt werden.
Hierbei kommt eine Vielzahl an Methoden zum Einsatz, einschließlich Telefonanrufen und Nachrichten in den sozialen Medien, wodurch die Angreifer Personen dazu überlisten, ihnen Zugriff auf wertvolle, persönliche Informationen oder Daten des Unternehmens zu geben. NordVPN nennt ein paar Beispiele, wie jeder von uns darauf reinfallen kann, und gibt ein paar Tipps, um dies zu verhindern.
Phishing
Dies ist die wohl beliebteste Art von Social Engineering. Beim Phishing werden gefälschte E-Mails versendet, die sich als legitime Nachrichten ausgeben und für gewöhnlich von einer Bank oder sonstigen Behörde zu sein scheinen. Auf diese Art und Weise zielen Hacker darauf ab, dass die Personen ihre wertvollen Informationen, wie Kreditkarteninformationen, mit ihnen teilen, oder aber auf einen schädlichen Link klicken.
Phishing ist in deutschsprachigen Regionen besonders aktiv. Die Angreifer sind sehr gebildet, nutzen gestohlenes Branding und sorgfältig kreierte Websites, Domains und Social Engineering, um ihre Opfer dazu zu verleiten, eine Reihe von Informationen preiszugeben. Die Hauptthemen für betrügerische E-Mails in Deutschland betreffen Zahlungen, Forderungen zur Erneuerung von verschiedenen Konten, Bankbriefe und sogar Grußkarten.
Daniel Markuson, Experte für digitalen Datenschutz bei NordVPN betont:
Manche Phishing-E-Mails sind sehr schlecht zusammengestellt und man kann sie leicht erkennen. Allerdings gibt es dann wiederum andere, die echt aussehen, sodass sie selbst erfahrene Internetnutzer reinlegen können
Seit Kurzem stehen auch Klage-E-Mails bei Hackern hoch im Kurs. Diese Art von E-Mail gibt vor, dass der Empfänger verklagt werden würde. Die Person wird dazu angehalten, die angehängten, betrügerischen Dokumente zu öffnen und durchzulesen und die E-Mail innerhalb von sieben Tagen zu beantworten. Gemäß diesen gefälschten Klage-E-Mails wird der Empfänger verklagt, sofern er nicht die Anweisungen befolgt.
Baiting
Baiting bezeichnet eine Art des Social Engineering mit der geringsten menschlichen Interaktion. Die sogenannten Baiters bieten Nutzern kostenlose Downloads für Filme, Musik oder Software an, in anderen Fällen nutzen sie physische Medien, wie USB-Sticks, um die menschliche Neugierde für sich zu nutzen.
Weiter merkt Daniel Markuson an:
Sie lassen einen infizierten USB-Stick in einem Café, einem Flur in einem Bürogebäude oder einem ähnlichen Ort liegen, wo eine hohe Möglichkeit besteht, dass ihn jemand finden wird. Dann nimmt ihn jemand mit, steckt ihn in den Computer und schon wird die Malware installiert. Wenn es sich hierbei um ein Büro handelt, dann besteht die Möglichkeit, dass Malware in wichtige Systeme und Dateien eindringt.
Ein interessanter Baiting-Angriff, der tatsächlich lediglich ein Test war, wurde von dem Sicherheitsexperten Steve Stasiukonis durchgeführt, der diesen Angriff bei einem Finanzunternehmen durchführte, das sein Kunde war. Sein Team ließ mit Trojanern infizierte USB-Sticks auf dem Parkplatz in der Nähe des Bürogebäudes liegen. Viele neugierige Mitarbeiter nahmen die USB-Sticks mit und steckten sie in ihre Computer. Dadurch wurde ein Keylogger aktiviert, der Steve die Anmeldedaten der Mitarbeiter übermittelte.
Pretexting
Pretexting-Angriffe sind auf das Vertrauen der Zielperson ausgerichtet und sie erfordern normalerweise eine Recherche zum Hintergrund der Person und eine vertrauenswürdige Geschichte. Für gewöhnlich geben Betrüger vor, dass sie gewisse Informationen benötigen, um die Identität zu bestätigen, um eine Transaktion durchzuführen oder um ein Problem zu lösen. Laut dem Untersuchungsbericht zu digitalen Verstößen von Verizon für das Jahr 2018 hat sich die Anzahl der erfolgreichen Pretexting-Angriffe seit 2017 verdreifacht.
2017 haben viele Leute Geld mit Kryptowährung verloren, nachdem die Ethereum Classic-Website gehackt wurde. Hacker gaben sich durch die Erstellung eines falschen Kontos und durch die Pretexting-Methode als Eigentümer von Classic Ether Wallet aus. Sie erhielten Zugriff auf das Domain-Register und leiteten es an ihren eigenen Server weiter. Cyberkriminelle extrahierten die Kryptowährung Ethereum von den Leuten, nachdem sie einen Code auf der Website eingegeben hatten, der ihnen ermöglichte, private Passwörter für Transaktionen einzusehen.
Ein weiterer berühmter Fall von Pretexting war der "News of the World"-Skandal, bei dem Mitglieder der britischen Presse Mobilfunkbetreiber hereinlegten, damit sie ihnen ihre PIN-Codes aushändigten, wodurch diese Journalisten schließlich die Sprachnachrichten der königlichen Familie belauschen konnten.
Daniel Markuson sagt:
Anders als bei Phising-E-Mails, die Angst und Dringlichkeit auslösen, ist Pretexting auf den Aufbau von Vertrauen mit den Zielpersonen ausgerichtet. Hacker kreieren eine glaubwürdige Geschichte, wodurch die Opfer ihnen vertrauen und in ihre Falle geraten.
Wie man sich vor solchen Social-Engineering-Methoden schützen kann
Obwohl sich Social Engineering immer weiterentwickelt, ist es dennoch möglich, sich vor diesen Angriffen zu schützen.
Daniel Markuson, Experte für digitalen Datenschutz bei NordVPN, gibt hier ein paar Tipps, um auf der sicheren Seite zu bleiben:
Der grundlegendste Schritt, den jeder unternehmen kann, ist, den Laptop und das Smartphone zu sperren, wenn man den Schreibtisch verlässt. Es ist auch wichtig, das Passwort und sonstige Anmeldedaten niemals sichtbar an einem Ort aufzubewahren und nicht dasselbe Passwort für verschiedene Konten zu verwenden. Außerdem sollte man E-Mails von einer nicht-vertrauenswürdigen Quelle nicht öffnen und keine verdächtigen Links anklicken. Und für ein Maximum an Sicherheit sollte eine Anti-Virensoftware und ein verlässliches VPN wie NordVPN verwendet werden – das sind die wohl besten Lösungen.
ÜBER NORDVPN
NordVPN ist der weltweit fortschrittlichste VPN-Anbieter, der mehr als die meisten anderen VPN-Dienste Wert auf Sicherheit legt. Er bietet eine Verschlüsselung über Double VPN, Malware-Schutz und Onion Over VPN. Das Produkt zeichnet sich durch seine Benutzerfreundlichkeit aus, bietet eines der besten Preis-Leistungs-Verhältnisse auf dem Markt, verfügt über mehr als 5.000 Server weltweit und unterstützt noch dazu P2P. Eine der Schlüsselkomponenten von NordVPN ist seine strikte Kein-Protokoll-Richtlinie. Weitere Informationen unter nordvpn.com.
