Die 13 häufigsten Arten von Social-Engineering-Angriffen + Wie man sich dagegen verteidigt
Die durchschnittliche Organisation wird jedes Jahr von mehr als 700 Social-Engineering-Angriffen ins Visier genommen. Das sind fast drei Angriffe pro Tag. Und da 98% aller erfolgreichen Cyberangriffe irgendeine Form von Social Engineering beinhalten, ist es für Organisationen unerlässlich, die verbreitetsten Angriffsmethoden zu verstehen.
Was genau ist Social Engineering und warum stellt es heute eine so erhebliche Bedrohung für Organisationen dar? In diesem Artikel werden wir 13 häufige Arten von Social-Engineering-Angriffen besprechen, erklären, wie sie funktionieren, reale Beispiele geben und bewährte Praktiken teilen, um sie zu verhindern.
1. Phishing
Phishing ist eine der häufigsten Social-Engineering-Techniken. Bei Phishing-Betrügereien senden Angreifer E-Mails, die von vertrauenswürdigen Quellen zu stammen scheinen, um Personen dazu zu bringen, sensible Informationen wie Passwörter und Kreditkartennummern preiszugeben.
Diese E-Mails rufen oft ein Gefühl von Dringlichkeit hervor und verleiten das Opfer dazu, auf einen bösartigen Link zu klicken. Dieser Link führt sie zu einer gefälschten Website, auf der sie aufgefordert werden, persönliche Daten wie Anmeldeinformationen, Kontoinformationen, Sozialversicherungsnummern oder andere vertrauliche Informationen einzugeben.
Im Jahr 2013 fiel Target Corporation einem Phishing-Angriff zum Opfer, bei dem Angreifer zunächst über eine Phishing-E-Mail, die an eine HVAC-Firma mit Verbindungen zu Target gesendet wurde, Zugriff auf ihr Netzwerk erhielten. Dies führte zu einem Datenleck, bei dem die Kreditkarteninformationen von über 40 Millionen Kunden kompromittiert wurden.
Target ist nicht das einzige Unternehmen, das auf diese Weise einem Cyberangriff ausgesetzt war: Eine von Ponemon Institute im Jahr 2022 durchgeführte Studie ergab, dass 54% der Organisationen in den letzten 12 Monaten eine Datenpanne erlitten haben, die durch einen ihrer Drittanbieter verursacht wurde.
Empfohlene Lektüre
Wie man ein Vendor-Risikomanagement-Programm implementiert, das Drittanbieter-Verletzungen verhindert
2. Clone Phishing
Clone Phishing ist eine spezielle Art von Phishing-Angriffen, bei der eine legitime E-Mail verwendet wird, um eine nahezu identische oder „geklonte“ E-Mail zu erstellen, jedoch mit einigen kritischen Änderungen.
So funktionieren Clone-Phishing-Kampagnen normalerweise:
- E-Mail-Auswahl: Der Angreifer wählt eine legitime E-Mail aus, die an das vorgesehene Opfer gesendet wurde. Diese E-Mail könnte alles sein, von einer routinemäßigen Unternehmensankündigung bis hin zu einer Rechnung oder einer Konto-Benachrichtigung.
- Erstellung des Klons: Der Angreifer erstellt eine Kopie oder einen „Klon“ der E-Mail, die so nahe wie möglich an das Original herankommt.
- Änderung des Inhalts: Der Angreifer ändert einige Elemente der geklonten E-Mail. Dies beinhaltet in der Regel die Änderung der Links oder Anhänge innerhalb der E-Mail zu bösartigen. Zum Beispiel könnte die geklonte E-Mail anstelle eines Links zu einer Online-Rechnung einen Link zu einer bösartigen Website enthalten, die darauf ausgelegt ist, Anmeldeinformationen zu ernten.
- Erneutes Senden der E-Mail: Der Angreifer sendet die geklonte E-Mail an die ursprünglichen Empfänger, lässt es jedoch so erscheinen, als käme sie vom selben Absender wie die ursprüngliche E-Mail. Dies könnte mit einem Vorwand wie einem aktualisierten Link, einer korrigierten Version des Anhangs oder einer plausiblen Entschuldigung einhergehen.
- Reaktion des Opfers: Wenn die Empfänger der geklonten E-Mail glauben, dass es sich um eine legitime Folge-E-Mail handelt, könnten sie ohne Verdacht auf den Link klicken oder den Anhang herunterladen. Dies kann zur Kompromittierung sensibler Daten oder zur Infektion mit Malware führen.
Clone-Phishing ist besonders effektiv, da es das Vertrauen in die ursprüngliche, legitime E-Mail nutzt, um die Verteidigungsmaßnahmen des Opfers zu umgehen. Es ist immer wichtig, die Authentizität von E-Mail-Kommunikationen zu überprüfen, insbesondere von E-Mails mit Links oder Anhängen, auch wenn sie von einer bekannten Quelle zu stammen scheinen. Es ist ratsam, die Person oder das Unternehmen direkt zu kontaktieren, um die Legitimität der E-Mail zu bestätigen, besonders wenn die E-Mail unerwartet ist oder leicht von der üblichen Kommunikationsweise abweicht.
Wenn Sie eine Phishing-E-Mail erfolgreich erkennen, kann es verlockend sein, auf den Betrugsversuch zu antworten und den Absender zu beschimpfen – aber das ist keine gute Idee. Zum einen verifiziert die Antwort auf eine Phishing-E-Mail, dass Ihre E-Mail-Adresse aktiv ist, was Sie zu einem hochpriorisierten Ziel für Folgeangriffe machen oder dazu führen kann, dass Ihre E-Mail-Adresse an andere Angreifer verkauft wird. Ihre Antwort kann Cyberkriminellen auch Zugang zu zusätzlichen Informationen wie Standortdaten oder der E-Mail-Signatur Ihres Unternehmens verschaffen, die Telefonnummern, Adressen und andere Informationen enthalten kann, die sie verwenden können, um überzeugendere Phishing-Kampagnen zu erstellen – oder um potenziell Ihre Kollegen oder LinkedIn-Kontakte zu schnappen.
3. Pretexting
Pretexting beinhaltet, dass ein Angreifer ein erfundenes Szenario erstellt, um Informationen von einem Ziel zu erhalten. Sie ahmen oft jemanden nach, der sich in einer Autoritätsposition befindet oder einen legitimen Grund hat, die Informationen zu benötigen.
Der Angreifer baut eine Geschichte auf, die das Opfer davon überzeugt, sensible Informationen preiszugeben oder eine Handlung auszuführen, die die Sicherheit gefährdet.
Pretexting wird als Taktik in einer Vielzahl von Social-Engineering-Angriffen eingesetzt, insbesondere beim Phishing, Whaling und Business Email Compromise. Aber Cyberkriminelle können Pretexting auch eigenständig verwenden, um wertvolle Informationen von ihren Opfern zu stehlen.
Im Jahr 2016 verschaffte sich ein Hacker Zugriff auf Daten für Tausende von Mitarbeitern im Justizministerium und im Heimatschutzministerium, einschließlich E-Mail-Adressen und Telefonnummern, indem er sich als Regierungsmitarbeiter ausgab. Später veröffentlichte er die Informationen online.
Im Jahr 2017 überwies die MacEwan Universität fast 9 Millionen Dollar an jemanden, der sich als Auftragnehmer einer Baufirma ausgab, die an einem neuen Bauprojekt arbeitete. Ein Begleitschreiben, das der E-Mail angehängt war, schien vom tatsächlichen Finanzchef der Baufirma unterschrieben zu sein, und die Universität überwies das Geld auf das im Schreiben angegebene Bankkonto. Der Betrug wurde erst entdeckt, als die echte Baufirma nach dem ausstehenden Betrag fragte.
Die Schule hat schließlich mehr als 90% der verlorenen Mittel zurückerhalten, aber erst nach langen rechtlichen Verfahren und viel Medienaufmerksamkeit. Seitdem haben sie neue Prozesse und Schulungen zur Sicherheitsbewusstsein für alle Mitarbeiter eingeführt.
Letztes Jahr warnte das FBI Gesundheitsorganisationen vor Programmen zur Geld-Erpressung oder zum Diebstahl persönlich identifizierbarer Informationen (PII) unter Verwendung von Pretexting. Betrüger fälschen authentische Telefonnummern oder verwenden gefälschte Anmeldeinformationen, um sich als Behördenvertreter auszugeben. Sie benachrichtigen die Zielpersonen, dass sie vorgeladen wurden, um als sachverständiger Zeuge in einem Straf- oder Zivilprozess auszusagen, nicht erschienen sind und wegen Missachtung des Gerichts eine Geldstrafe erhielten. Die Nichtzahlung der Geldstrafe würde zur Ausstellung eines Haftbefehls führen, wobei die Betrüger aggressive Taktiken verwenden, um die Zielpersonen unter Druck zu setzen, sofort per Überweisung, Bargeld per Post oder Kryptowährung zu zahlen.
4. Köderung
Köderung ähnelt dem Phishing, beinhaltet jedoch das Versprechen eines spezifischen Gegenstands, den der Angreifer als Köder verwendet. Dies könnten kostenlose Software, Geschenkkarten, Film- oder Musikdownloads oder alles andere sein, was für das Ziel attraktiv erscheint. Der Angreifer nutzt diesen Köder, um das Opfer dazu zu bringen, bösartige Software herunterzuladen oder Anmeldeinformationen preiszugeben.
USB-Drops sind ein klassisches Beispiel für Köderung. Das US-Heimatschutzministerium führte einmal einen Test mit Regierungsangestellten durch, um zu sehen, wie einfach es für Hacker ist, Malware zu installieren oder Zugang zu Computersystemen zu erhalten. USB-Laufwerke wurden auf Parkplätzen von Regierungsbehörden und privaten Auftragnehmern abgelegt - und 60 % der Menschen, die sie aufhoben, steckten sie in ihre Geräte. Wenn das Laufwerk ein offizielles Logo hatte, wurden 90 % eingesteckt.
5. Quid pro quo
Bei Quid pro quo-Angriffen nutzen Bedrohungsakteure das Gesetz der psychologischen Reziprozität aus - wenn uns jemand hilft, möchten wir uns revanchieren.
Oftmals treten Quid pro quo-Angriffe auf, wenn Cyberkriminelle sich als IT- oder technische Unterstützung ausgeben. Sie bieten möglicherweise an, Antivirensoftware zu installieren oder ein Problem mit einem Computersystem zu lösen, im Austausch für sensible Informationen wie Anmeldeinformationen. Sobald sie Zugang haben, installieren sie Malware oder stehlen andere sensible Daten.
In einem Fall hat ein Bedrohungsakteur Apple-Technischen Support nachgeahmt, um Prominente, Musiker und Profisportler dazu zu bringen, sensible Informationen preiszugeben. Der Cyberkriminelle, der sich als Apple-Technischer Support ausgab, fragte die Opfer nach Benutzernamen und Passwörtern oder den Antworten auf Sicherheitsfragen. Mit diesen Informationen konnten sie auf das gesamte Apple-Profil des Opfers zugreifen, einschließlich Zahlungs- und Rechnungsdetails. Sie konnten dann Passwörter, Kontakt-E-Mails und Sicherheitsfragen ändern. Der Betrüger gab Tausende von Dollar für persönliche Ausgaben aus, die auf die Konten seiner Opfer belastet wurden.
6. Geschäfts-E-Mail-Komprimittierung & CEO-Betrug
Geschäfts-E-Mail-Komprimittierung (BEC) bedeutet, dass ein Angreifer Zugriff auf ein Unternehmens-E-Mail-Konto erhält und den Eigentümer imitiert, um das Unternehmen oder dessen Mitarbeiter, Kunden oder Partner zu betrügen. Sie konzentrieren sich normalerweise auf Mitarbeiter, die Zugriff auf Finanzdaten des Unternehmens haben, und täuschen sie, damit sie Überweisungen auf vermeintlich vertrauenswürdige Bankkonten durchführen.
CEO-Betrug ist eine spezifische Art von BEC-Betrug, bei der Angreifer sich als CEO oder eine andere hochrangige Führungskraft ausgeben. Der Angreifer nutzt die Autorität des CEOs, um Druck auf einen Mitarbeiter auszuüben, damit dieser nicht autorisierte Transaktionen durchführt oder sensible Daten sendet.
Snapchat wurde 2016 Opfer eines BEC-Programms, als Betrüger den CEO Evan Spiegel imitierten. Die Gehaltsabrechnungsabteilung des Unternehmens reagierte auf eine E-Mail, die scheinbar von Spiegel stammte, mit sensiblen Gehaltsabrechnungsdaten - das Unternehmen hat nicht öffentlich gemacht, welche Informationen genau weitergegeben wurden, aber sie könnten Gehaltsdetails, Sozialversicherungsnummern, Bankkonten, Adressen, E-Mails und andere persönlich identifizierbare Informationen über aktuelle und ehemalige Mitarbeiter enthalten haben.
7. Deepfake
Deepfaking beinhaltet die Verwendung von KI-Technologien, um realistische Bilder, Videos oder Audios zu erstellen, um zu manipulieren oder zu täuschen. Angreifer können Audio- und Videodateien erstellen, die authentisch aussehen und Personen zeigen, die Dinge sagen oder tun, die sie tatsächlich nicht gesagt oder getan haben.
Anfang 2020 wurde die vom KI erzeugte Stimme eines Bankdirektors verwendet, um einen Bankmanager dazu zu bringen, Millionen von Dollar an Bedrohungsakteure zu überweisen. Der Manager erhielt einen Anruf von jemandem, der genau wie der Direktor seines Mutterunternehmens klang und informierte ihn, dass das Unternehmen vor einer Akquisition stehe. Der Manager wurde angewiesen, eine Überweisung von 35 Millionen Dollar zu genehmigen — es waren sogar E-Mails im Posteingang des Managers von dem Direktor und einem Anwalt, die bestätigten, wohin das Geld überwiesen werden musste. Da er die Anweisungen für legitim hielt, leitete der Manager die Überweisung ein.
Ermittler in den VAE glauben, dass das ausgeklügelte Schema mindestens 17 Personen umfasste, wobei das gestohlene Geld auf mehrere Bankkonten weltweit verteilt wurde.
Da die Kosten für die Produktion überzeugender Deepfakes sinken,sagen das FBI und das Ministerium für Heimatschutz voraus, dass Deepfake-Bedrohungen zunehmend schwieriger zu identifizieren und zu schützen sein werden. Da die Gesetzgebung beginnt, die Bedrohungen durch Deepfake-Videos anzugehen, werden Cybersicherheitsmaßnahmen wie Erkennungsalgorithmen entwickelt, um die Bedrohung zu bekämpfen.
8. Schleusen
Schleusen, auch bekannt als Piggybacking, beinhaltet, dass eine unbefugte Person einer autorisierten Person physisch in einen gesperrten Bereich folgt.
Der Angreifer kann ein Gespräch beginnen oder etwas tragen, um die autorisierte Person zu manipulieren, die Tür für ihn offen zu halten.
Während Schleusen- und Piggybacking-Angriffe typischerweise unbefugten physischen Zugang beinhalten, gab es in einem interessanten Fall einen Technikmitarbeiter, der zugab,sich auf den Erpressungsversuch eines Hackers zu stützen.
Ein britisches Unternehmen wurde im Februar 2018 von einem Ransomware-Angriff getroffen, bei dem der Angreifer eine Zahlung von 370.000 Dollar in Bitcoin forderte. Ein Mitglied des Incident-Response-Teams des Unternehmens sah eine Gelegenheit, einen sekundären Angriff zu starten — indem er die ursprüngliche Ransomware-E-Mail änderte, um die Kryptowährungs-Wallet-Adresse des ursprünglichen Angreifers durch seine eigene zu ersetzen. Der Mitarbeiter fälschte auch die E-Mail-Adresse des Angreifers und begann, das Unternehmen per E-Mail unter Druck zu setzen, das Lösegeld zu zahlen. Er wurde später gefasst, als die Behörden seine IP-Adresse erfolgreich verfolgten.
9. Spear Phishing & Whaling
Spear Phishing ist eine gezieltere Form des Phishings. Der Angreifer passt seine täuschenden Nachrichten an eine bestimmte Person oder Organisation an.
Die E-Mails sehen legitimer aus und sind oft akribisch gestaltet, um das Opfer anzusprechen.
Im Jahr 2014 starteten Programmierer, die von Nordkorea unterstützt wurden, einen Spear-Phishing-Angriff gegen Sony Pictures, um die Veröffentlichung des Films The Interview zu stoppen. Der Angriff führte zur Veröffentlichung sensibler Daten, einschließlich unveröffentlichter Filme.
Im Jahr 2016 war die US-Demokratische Partei berüchtigtes Opfer eines Spear-Phishing-Angriffs, der sensible Informationen über die Wahlkampagne von Clinton enthüllte. Hacker erstellten eine gefälschte E-Mail, die die Empfänger aufforderte, ihre Passwörter aufgrund ungewöhnlicher Aktivitäten zu ändern, und verwendeten dann neue Anmeldeinformationen, um auf sensible Informationen zuzugreifen.
Whaling zielt auf hochkarätige Personen ab, wie Führungskräfte, Prominente oder Politiker. Die Taktiken ähneln Spear-Phishing, jedoch in größerem Umfang.
2008 schnappte ein weitverbreitetes Walfang-Schema bis zu 2.000 Führungskräfte mit einer Reihe von E-Mails, die als offizielle Vorladungen getarnt waren. Die E-Mail adressierte CEOs und andere Top-Führungskräfte korrekt mit ihren vollständigen Namen und enthielt Details wie Telefonnummern, Firmennamen und Titel. Die Empfänger wurden angewiesen, auf einen Link zu einer detaillierten Kopie der Vorladung zu klicken und anschließend ein Browser-Add-On zu installieren, um das Dokument zu lesen. Das Akzeptieren des Add-Ons installierte tatsächlich eine Hintertür- und Keylogger-Software, die es den Betrügern ermöglichte, Anmeldeinformationen und andere sensible Informationen zu stehlen.
10. Smishing & Vishing
Smishing (SMS-Phishing) verwendet Textnachrichten, während Vishing (Voice-Phishing) Telefonanrufe verwendet, um das Opfer zu betrügen. Diese Angriffe sind darauf ausgelegt, sensible Daten oder Geld zu stehlen, indem sie sich als legitime Entität ausgeben.
Im Juli 2020 erlitt Twitter berühmterweise einen Hack von 130 blau verifizierten Konten einiger der berühmtesten Personen der Welt — von Politikern wie Barack Obama und Joe Biden, Prominenten und Unternehmern wie Bill Gates und Elon Musk sowie globalen Marken wie Apple.
Hacker luden die Twitter-Daten der Benutzer herunter, griffen auf DMs zu und veröffentlichten Tweets, die versprachen, Spenden an eine Bitcoin-Wallet zu verdoppeln. Innerhalb von Minuten hatten die Betrüger über 100.000 $ in Bitcoin durch Hunderte von Transaktionen erhalten.
Twitter erklärte, dass der Vorfall das Ergebnis eines Vishing-Angriffs war, bei dem Twitter-Mitarbeiter dazu gebracht wurden, Kontozugangsdaten zu teilen, die den Betrügern Zugang zu den verifizierten Konten ermöglichten. Der Aktienkurs von Twitter fiel am nächsten Tag im vorbörslichen Handel um 7 %.
11. Watering-Hole-Angriffe
Bei einem Watering-Hole-Angriff identifiziert der Angreifer eine Website oder Ressource, die seine Zielgruppe häufig nutzt, und infiziert sie mit Malware, um Mitglieder der Gruppe zu kompromittieren. Zum Beispiel, wenn die Zielgruppe im Finanzsektor ist, könnte der Angreifer eine beliebte Finanznachrichten-Website infizieren.
Im Februar 2021 nutzten Hacker einen Watering-Hole-Angriff, um Zugang zu einer Wasseraufbereitungsanlage in Florida zu erhalten. Sie änderten ferngesteuert eine Einstellung, die die Menge an Natriumhydroxid (Lauge) im Wasser auf giftige Werte drastisch erhöhte. Zum Glück konnte ein aufmerksamer Betreiber die Manipulation während ihres Ablaufs erkennen und die Werte auf ihren normalen Bereich zurücksetzen, ohne Schaden zu verursachen.
Eine Untersuchung des Angriffs ergab, dass Hacker bösartigen Code auf der Website eines Infrastrukturauftragnehmers platziert hatten. Dieser Code fungierte als Fingerabdruckskript und sammelte Details über die Besucher der Website, darunter Betriebssystem, CPU, Browser-Plugins, Eingabemethoden, Kamerapräsenz, Beschleunigungsmesser, Mikrofon, Zeitzone, Standort und mehr. Als ein Computer im Netzwerk der Wasseraufbereitungsanlage die Website des Auftragnehmers besuchte, ermöglichte der bösartige Code den Hackern, Remote-Desktop-Software auf einem der Computer der Anlage zu installieren, der mit dem Steuerungssystem verbunden war.
12. Scareware
Scareware täuscht Personen vor, dass ihr Computer mit Malware infiziert ist, und drängt sie dazu, Software zu installieren, die tatsächlich selbst Malware ist. Dies tritt häufig als Pop-up-Anzeigen oder Warnungen beim Surfen im Internet auf.
In einem berühmten Beispiel hat das „Antivirus XP“-Scareware Benutzer dazu gebracht, für gefälschte Antivirensoftware zu bezahlen, indem es aggressiv Sicherheitswarnungen auf den Computern der Benutzer beworben hat.
Im Jahr 2019 stimmten Office Depot und Support.com einer Vergleichszahlung von 35 Millionen US-Dollar zu, nachdem sie beschuldigt wurden, Scareware-Taktiken verwendet zu haben, um Kunden in den Kauf unnötiger Support- und Reparaturdienste zu täuschen. Von 2008 bis 2016 boten Office Depot und OfficeMax Kunden einen kostenlosen „PC Health Check“ an, um Geräte auf Malware und Leistungsprobleme zu überprüfen. Laut der FTC bestand der wahre Zweck des Gesundheitschecks darin, Diagnose- und Reparaturdienste zu verkaufen, die die Kunden tatsächlich nicht benötigten.
Das PC-Checkup-Programm war so programmiert, dass Reparaturen als notwendig gemeldet wurden, wenn der Kunde eine der vier gestellten Fragen mit „ja“ beantwortete, einschließlich der Frage, ob der Kunde häufig Pop-up-Anzeigen auf seinem Gerät sah. Vorgeschlagene Reparaturdienste konnten bis zu 300 US-Dollar kosten. Obwohl Office Depot keinerlei Fehlverhalten zugab, stimmten sie dem Vergleich zu, der laut FTC verwendet wurde, um Kunden Rückerstattungen zu gewähren.
13. Ransomware
Ransomware ist eine Art bösartige Software oder Malware, die die Dateien eines Opfers verschlüsselt. Der Angreifer fordert dann ein Lösegeld vom Opfer, um den Zugriff auf die Daten nach Zahlung wiederherzustellen. Den Benutzern werden in der Regel Anweisungen angezeigt, wie sie eine Gebühr bezahlen können, um den Entschlüsselungsschlüssel zu erhalten. Die Kosten können von ein paar hundert Dollar bis zu Tausenden reichen, die in der Regel in Bitcoin an Cyberkriminelle gezahlt werden.
Im April 2021 erhielten die Mitarbeiter von Merseyrail, einem britischen Bahnbetreiber, eine E-Mail vom E-Mail-Konto ihres Chefs mit dem Betreff „Lockbit Ransomware-Angriff und Datendiebstahl“. Journalisten von nationalen Zeitungen und Technologiemedien wurden ebenfalls in die E-Mails kopiert.
Die E-Mail erklärte, dass das Unternehmen gehackt worden sei, und bot als Beweis ein Bild der persönlichen Daten eines Mitarbeiters an. Die Lockbit-Betrüger forderten ein Lösegeld, um die kompromittierten Daten freizugeben. Die Betrüger stahlen nicht nur sensible Daten, sondern setzten das Unternehmen auch öffentlich unter Druck, das Lösegeld schnell zu zahlen. Diese Taktik wird oft verwendet, um Organisationen zu zwingen, eine Zahlung zu überstürzen, wodurch Sicherheitsprotokolle wie die Benachrichtigung relevanter Behörden und die Befolgung etablierter Verfahren umgangen werden.
Empfohlene Lektüre
Wie man ein internes Audit durchführt + Sicherheitsaudit-Checkliste
Rüsten Sie Ihr Team gegen Social-Engineering-Angriffe mit Secureframe Training
Cybersicherheit ist nicht einfach nur ein technisches Problem; es ist in erster Linie ein menschliches Problem. Selbst das fortschrittlichste Sicherheitssystem kann durch einen einfachen menschlichen Fehler kompromittiert werden.
Es ist entscheidend, dass Mitarbeiter über die neuesten Betrügereien, Bedrohungen und Angriffstechniken auf dem Laufenden bleiben. Regelmäßige Schulungen stattet Teams mit dem Wissen aus, das sie benötigen, um die verschiedenen Cyber-Bedrohungen zu erkennen und angemessen darauf zu reagieren. Mitarbeiter, die die potenziellen Folgen schlechter Cyber-Hygiene verstehen, sind weitaus weniger anfällig für Angriffe und nehmen präventive Maßnahmen ernster.
Darüber hinaus verlangen Sicherheitsvorschriften und -standards wie SOC 2,® ISO 27001, HIPAA, GDPR und PCI DSS regelmäßige Sicherheitsbewusstseinsschulungen. Diese Standards erkennen an, dass der Schutz sensibler Daten eine informierte und wachsame Belegschaft erfordert. Wenn die Mitarbeiter mit dem richtigen Wissen und einem sicherheitsbewussten Denken ausgestattet sind, können sie nicht nur Vorfälle verhindern, sondern auch im Falle einer Sicherheitsverletzung effektiv reagieren.
Die Secureframe-Plattform umfasst proprietäre Sicherheitsbewusstseinsschulungen, die es einfach machen, die erforderlichen Mitarbeiterschulungen zuzuweisen, zu verfolgen und zu berichten. Unsere ansprechenden Schulungsprogramme sind stets aktuell, sodass die neuesten Best Practices in Ihrer gesamten Organisation gelernt und angewendet werden. Sie können auch Ihre Belegschaft segmentieren und nur die erforderlichen Schulungen für jede Gruppe oder Rolle zuweisen.
Erfahren Sie mehr über Secureframe-Schulungen oder vereinbaren Sie eine Demo mit einem Produktexperten.
FAQs
Was ist die beliebteste Form von Social Engineering-Angriffen?
Phishing ist die beliebteste Form des Social Engineering, laut mehreren Quellen. Im Jahr 2022 waren Phishing-Betrügereien die häufigste Kriminalitätsart, die dem Internet Crime Complaint Center des FBI gemeldet wurde. Im Jahr 2023 war Phishing der Hauptgrund für bestätigte Verstöße und machte 44 % der Social Engineering-Vorfälle im 2023 Data Breach Investigations Report von Verizon aus.
Was ist ein Beispiel aus dem wirklichen Leben für einen Social Engineering-Angriff?
Der jüngste Cyberangriff auf die prominente Casinokette MGM Resorts, der am 11. September 2023 gemeldet wurde, ist ein echtes Beispiel für einen Social Engineering-Angriff. Es scheint, dass Hacker während eines Anrufs bei der IT-Hotline von MGM einen Mitarbeiter imitierten, dessen Informationen sie auf LinkedIn gefunden hatten, um Zugangsdaten zu erhalten und die Systeme zu infizieren. Dies wurde von einem Cybersicherheitsexperten, der mit der Untersuchung vertraut ist, in einem Bloomberg-Bericht bestätigt.
Was sind Warnzeichen von Social Engineering-Angriffen?
Warnzeichen von Social Engineering-Angriffen sind:
- Die E-Mail, der Anruf, die Sprachnachricht oder die Textnachricht ist unerwartet. Zum Beispiel erhalten Sie eine Textnachricht vom CEO Ihres Unternehmens. Dies mag unerwartet sein, weil dieser Sie noch nie zuvor kontaktiert hat oder weil er diesen Kommunikationskanal noch nie verwendet hat. Dies ist ein starkes Indiz für einen Social-Engineering-Angriff.
- Die Anfrage ist ungewöhnlich. Sie haben möglicherweise zuvor eine Nachricht vom gleichen Absender erhalten, aber nie derartige Anfragen. Zum Beispiel erhalten Sie eine Bitte von Ihrem Manager, ihm Geld zu senden, was er noch nie zuvor getan hat. Dies ist ein weiteres starkes Indiz für einen Social-Engineering-Angriff.
- Es gibt einen ungewöhnlichen Dateianhang oder eine URL. Bei vielen Social-Engineering-Schemata handelt es sich um potenziell gefährliche Dateien oder URLs. Potenziell bösartige Dateiformate sind solche, die mit EXE, DLL, URL, SCR, HTA, HTM, HTML, MSI, SYS und ZIP enden. Potenziell bösartige URLs können viele Prozentzeichen, zufällige Zeichen oder den Namen einer anderen bekannten Marke enthalten.
- Es gibt ein Gefühl der Dringlichkeit. Die Anfrage mag normal erscheinen, wird jedoch mit einem erhöhten Gefühl der Dringlichkeit übermittelt. Zum Beispiel die Aufforderung, Ihre Zugangsdaten so schnell wie möglich einzugeben, ansonsten wird Ihr Konto gesperrt. Dies ist ein weiteres hochriskantes Merkmal eines Social-Engineering-Angriffs. Der böswillige Akteur möchte das potenzielle Opfer mit einer Drohung motivieren.