Bots kosten Unternehmen durchschnittlich 4 Millionen Dollar im Jahr

Neue Forschungsergebnisse zeigen finanzielle Verluste durch Credential Stuffing auf.

https://pixabay.com/de/

Credential Stuffing setzt darauf, dass Nutzer für verschiedene Konten, Anwendungen und Services dieselbe Kombination aus Nutzername und Passwort verwenden. Cyberkriminelle nutzen gestohlene Kontodetails von einer Plattform und setzen Bots ein, um sich mit diesen Daten bei unzähligen anderen Plattformen anzumelden. Haben sie es einmal geschafft, nutzen die Kriminellen das Konto solange aus, bis der Besitzer es bemerkt. So kaufen sie beispielsweise Waren im Namen des echten Nutzers oder stehlen vertrauliche Informationen. Akamai hat einen Forschungsbericht vorgestellt: Unternehmen verlieren durchschnittlich vier Millionen US-Dollar pro Jahr durch Credential-Stuffing-Angriffe.

 

Die Forschungsergebnisse des Ponemon Institute zeigen, dass Umfang und Schwere von Credential Stuffing zunehmen. So erleben Unternehmen heute durchschnittlich elf Credential-Stuffing-Attacken pro Monat. Jeder dieser Angriffe zielt im Durchschnitt auf 1.041 Nutzerkonten ab und kann teure Anwendungsausfälle, Kundenverlust und gesteigerten Aufwand für IT-Sicherheitsteams bedeuten. Dadurch kommt es jährlich zu Schäden in Millionenhöhe: Für die Bereiche Anwendungsausfälle und erhöhte IT-Aufwände entstehen pro Unternehmen jeweils durchschnittlich 1,2 Millionen US-Dollar Verlust. Der Kundenverlust führt im Schnitt pro Unternehmen zu einem Schaden von 1,6 Millionen US-Dollar. Hinzu kommen die direkten Kosten, die durch die Betrugsversuche selbst entstehen.

 

»Wir sind daran gewöhnt, dass Listen gestohlener Nutzer-IDs und Passwörter im Dark Web kursieren«, erklärt Jay Coley, Senior Director for Security Planning and Strategy bei Akamai Technologies. »Doch die ständige Zunahme von Credential-Stuffing-Angriffen zeigt, wie groß die Gefahr wirklich ist. Cyberkriminelle setzen vermehrt auf Botnets, um die Listen mit Anmeldedaten auf den Login-Seiten anderer Unternehmen zu testen, und erweitern so den Umfang ihrer Attacken. Es liegt an den Unternehmen, diese Angriffsmethode zu unterbinden, um nicht nur Kunden und Mitarbeiter, sondern letztlich auch ihre Umsätze zu schützen.«

 

Bewältigung der Komplexität

 

Die meisten Unternehmen bieten eine komplexe Angriffsfläche für den Missbrauch von Anmeldedaten. Wie die Forschungsergebnisse zeigen, setzen Unternehmen durchschnittlich 26,5 kundengerichtete Websites in ihrer Produktionsumgebung ein, die allesamt als Einstiegspunkt für Bots dienen können. Das Problem wird dadurch verstärkt, dass Unternehmen für verschiedene Clienttypen – darunter Kunden an Desktops oder Laptops (87 %), mobile Browser (65 %), Drittanbieter (40 %) und App-Nutzer (36 %) – unterschiedliche Login-Methoden bereitstellen müssen.

 

Die Komplexität der Angriffsfläche ist ein Grund dafür, dass nur ein Drittel der Unternehmen angibt, über ausreichend Transparenz hinsichtlich Credential-Stuffing-Attacken zu verfügen (35 %), und der Meinung ist, Angriffe auf ihre Websites schnell erkennen und beheben zu können (36 %).

 

Coley: »Moderne Websites sind weit verzweigt, können Hunderte oder sogar Tausende Seiten umfassen und unterstützen verschiedenste Client- und Traffic-Arten. Um sich erfolgreich vor Credential Stuffing zu schützen, müssen Unternehmen ihre Website-Architektur kennen und wissen, wie Clients zwischen den verschiedenen Seiten und Login-Endpoints navigieren.«

 

Identifizierung der Betrüger

 

Unternehmen bereitet es Probleme, die Betrüger zu erkennen. So stimmen 88 Prozent der Befragten zu, dass es schwierig sei, echte Mitarbeiter und Kunden von kriminellen Eindringlingen zu unterscheiden. Diese Herausforderung wird durch den Mangel an klarer Verantwortlichkeit im Unternehmen noch erschwert: Über ein Drittel (37 %) der Teilnehmer gibt an, dass bei ihnen keine zentrale Stelle für die Erkennung und Verhinderung von Credential-Stuffing-Angriffen verantwortlich sei.

 

Coley führt fort: »Bots lassen sich am besten besiegen, indem wir sie als das behandeln, was sie sind: nicht menschlich. Die meisten Bots verhalten sich nicht annähernd wie echte Menschen, doch ihre Methoden werden immer raffinierter. Deshalb brauchen Unternehmen Bot-Management-Tools, mit denen sie das Verhalten der Bots überwachen und Bots von echten Anmeldeversuchen unterscheiden können. Statt standardmäßiger Login-Systeme, die nur überprüfen, ob Nutzername und Passwort übereinstimmen, benötigen sie Lösungen, die Muster bei der Tastatureingabe, Mausbewegungen und sogar die Ausrichtung mobiler Geräte berücksichtigen. Angesichts der möglichen Kosten in Millionenhöhe war es nie wichtiger, Bots zu erkennen und sie aufzuhalten.«

 

Hintergrundinformationen: Das Ponemon Institute hat 544 IT-Sicherheitsexperten in Europa, dem Nahen Osten und Afrika befragt, die Erfahrungen mit Credential-Stuffing-Angriffen haben und für die Sicherheit ihrer Unternehmenswebsites verantwortlich sind. Den vollständigen Bericht finden Sie nach Registrierung hier: https://content.akamai.com/PG12003-emea-ponemon-credential-stuffing-report.html?lang=de-de

 

13 search results for „Credential Stuffing“

Drei unterschätzte Sicherheitsrisiken

Sicherheitsteams werden immer mehr zu einem integralen Bestandteil von Unternehmen und sind für den Erfolg wichtiger als je zuvor. Sie haben sich weiterentwickelt und werden zunehmend als legitimer Geschäftspartner und treibende Kraft für das Wachstum angesehen. In ihrer Rolle als Geschäftspartner gehört das Ermitteln von Unternehmensrisiken zu einer der wichtigsten Kompetenzen, die Sicherheitsteams bieten. Hierbei…

Die Trends zur Cybersicherheit im Jahr 2019: Bots legen das Internet lahm

Wer seine Unternehmens- und Kundendaten umfassend schützen will, muss Cyberkriminellen immer einen Schritt voraus sein. Das ist jedoch nur möglich, wenn Unternehmen die kurz- und langfristigen Entwicklungen im Bereich Cybersicherheit kennen. Worauf sollte man 2019 also vorbereitet sein? Intelligentere Bots, komplexe Clouds, IoT-Risiken und Datenregulierungen werden im kommenden Jahr die vorherrschenden Themen sein. Akamai zeigt…

Lukratives Weihnachtsgeschäft für Cyberkriminelle

Mit Beginn der Black-Friday-Woche fällt auch der Startschuss für Kreditkartenbetrug, Denial-of-Service-Angriffe & Co. Süßer die Kassen nie klingeln – das Weihnachtsgeschäft soll 2018 erstmals die 100-Milliarden-Euro-Marke durchbrechen. Stärkster Umsatztreiber ist laut Handelsverband Deutschland (HDE) auch in diesem Jahr der E-Commerce, der allein in November und Dezember gut ein Viertel seines Jahresumsatzes erzielt. Davon wollen auch…

Angriff auf Uber wirft sicherheitstechnische und rechtliche Fragen auf

Bei einem Daten-Hack auf den amerikanischen Fahrdienst Uber wurden über 600.000 persönliche Daten von über 57 Millionen Kunden und Fahrern kompromittiert. Der Angriff auf die User-Daten fand bereits 2016 statt. Anstatt den Vorfall den zuständigen Behörden zu melden und Kunden zu informieren, zahlte Uber ein Lösegeld von über 100.000 US-Dollar und versuchte den Datendiebstahl zu…

Cyberresilienz: Erhebliche Defizite bei der Notfallplanung

Mehr als die Hälfte der deutschen Unternehmen testen ihre Notfallpläne nicht. Automatisierung verbessert die Erkennung und Eindämmung von Cyberangriffen in Deutschland um 46 Prozent.   Die Ergebnisse der vierten, jährlichen Benchmark-Studie zur Cyberresilienz, vom Ponemon Institute durchgeführt und von IBM Resilient gesponsert, sind veröffentlicht worden. In »The 2019 Cyber Resilient Organization« wird untersucht, inwieweit Unternehmen…

Studie »The Future of Multi-Cloud« – Die Multi-Cloud zukunftssicher schützen

Technologien verändern sich immer schneller. So wird es für IT-Verantwortliche immer schwieriger, die richtigen zukunftsfähigen Sicherheitslösungen zu implementieren. Welche Trends in den kommenden Jahren dabei zu berücksichtigen sind, zeigt die aktuelle Studie »The Future of Multi-Cloud« (FOMC) der Foresight Factory.

Cyber Resilience im Energiesektor: In fünf Schritten zur widerstandsfähigen IT-Infrastruktur

Energieversorger werden immer häufiger zum Ziel von Hackerangriffen. Sind diese erfolgreich, können große Bereiche des gesellschaftlichen Lebens zusammenbrechen. Als kritische Infrastruktur (KRITIS) ist der Energiesektor daher gesetzlich dazu verpflichtet, sich besonders gut zu schützen. Diese Herausforderung lässt sich sukzessive mit Sustainable Cyber Resilience meistern.   Dirk Schrader, CISSP, CISM, ISO/IEC 27001 Practitioner bei Greenbone Networks…

IT-Trends des Jahres 2019: DSGVO-Compliance, Privacy by Design, Multi-Faktor-Authentifizierung, BYOx-Security und Security-Automation

Studie: Digitalisierung ausbaufähig, intelligente Technologien im Kommen. Ihren Erfolg bei der Digitalisierung stufen Unternehmen in Deutschland, Österreich und der Schweiz wie im Vorjahr durchschnittlich als mittelmäßig ein [1]. Angesichts der großen Anstrengungen in diesem Bereich und der hohen Ausgaben für die Digitalisierung ist diese Bilanz ernüchternd. Als technologischer Trend zeigt sich, dass mehr als zwei…

54 Prozent erwarten, dass Bargeld in wenigen Jahren nicht mehr gebräuchlich sein wird

63 % der Befragten gaben an, dass sie weder Betrug noch Diebstahl fürchten, wenn sie mit Karte oder kontaktlos bezahlen. Die First Data GmbH, ein Anbieter im Bereich Payment-Lösungen und Zahlungsverkehr in Deutschland, hat seine erste, deutschlandweite Verbraucherstudie veröffentlicht. Die Analyse basiert auf einer bundesweiten, repräsentativen Befragung unter mehr als 2.000 Konsumenten. Die Studie untersucht…

Trägheit bei IT-Security macht Microsoft-Office-Schwachstelle zum Einfallstor für Cyberangriffe

Jörg von der Heydt, Channel Director DACH bei Skybox Security, kommentiert die Microsoft-Office-Schwachstelle CVE-2017-8570 und mögliche Lösungsansätze. Spätestens mit der Einführung der DSGVO hat in Europa eine gewisse Sensibilisierung gegenüber Datenschutz und Sicherheitsrisiken eingesetzt – ob privat oder im beruflichen Umfeld. Dennoch zeigen europäische Arbeitnehmer weltweit die geringste Disziplin, wenn es um die Cybersicherheit in…

Checkliste: So sollten Unternehmen im Fall einer Cyberattacke kommunizieren

Ein Fragenkatalog hilft dabei, schnelle und zielgerichtete Reaktionen auf erfolgreiche Cyberangriffe vorzubereiten. Die Wahrscheinlichkeit für Unternehmen, Opfer einer Cyberattacke zu werden, ist so hoch wie nie, denn mit ihren modernen Angriffsmethoden sind Hacker immer häufiger erfolgreich. Deshalb genügt es nicht länger, nur Cyber-Security-Maßnahmen zu implementieren. Es gilt, sich auch für das oft Unvermeidbare zu rüsten:…

Weitere Artikel zu