Illustration: Geralt Absmeier
- Kompromittierte Accounts größtenteils für Phishing genutzt.
- Vor allem sensible Abteilungen betroffen.
Wie eine aktuelle Studie von Barracuda zeigt, nehmen Cyberangriffe, die auf die Übernahme von E-Mail-Konten abzielen, zu. Von 50 Unternehmen, die an einer drei Monate dauernden Untersuchung teilnahmen, meldeten 19 von ihnen derartige Vorfälle. Im Rahmen der Studie wurde erhoben, für welche Zwecke die Angreifer die gehackten Konten nutzten. Von den 60 gemeldeten Vorfällen entfielen 78 Prozent auf Phishing-Kampagnen, 17 Prozent wurden für den Versand von Spam-E-Mails missbraucht und in fünf Prozent der Fälle wurde über E-Mailanhänge unternehmensintern Malware verbreitet. Bei den Angriffen zeigte sich ein selektives Vorgehen der Angreifer: So richteten sich mit 22 Prozent überproportional viele Angriffe an besonders sensible Abteilungen wie Personal, IT, Finanzen und Recht.
Um das Ausmaß von Account Takeover-Vorfällen besser zu verstehen, hat Barracuda eine Studie mit 50 zufällig ausgewählten Unternehmen durchgeführt. Diese Organisationen umfassen verschiedene Branchen, darunter Privatunternehmen, öffentliche Einrichtungen und Bildungseinrichtungen. Diese Unternehmen haben Barracuda über einen Zeitraum von drei Monaten, von Anfang April bis Ende Juni 2018, Vorfälle gemeldet, in denen E-Mail-Konten kompromittiert wurden. Es ist davon auszugehen, dass es neben den gemeldeten Vorfällen eine Dunkelziffer gibt, da Unternehmen in der Regel nicht alle Vorfälle entdecken.
Insgesamt berichteten in jedem Monat vier bis acht Unternehmen über mindestens eine Kontoübernahme. Ein »Account Takeover Incident« ist definiert als ein Vorfall, in dem das Mailkonto eines Mitarbeiters von einem Angreifer verwendet wird, um E-Mails an andere Personen zu senden. Im Durchschnitt führte jede Kompromittierung eines Unternehmens zu mindestens drei Vorfällen, bei denen entweder das gleiche Mitarbeiterkonto oder verschiedene Konten für illegitime Zwecke verwendet wurden.
Phishing über gehackte E-Mail-Konten
Was stellen Angreifer damit an, wenn sie Zugang zu einem E-Mail-Konto gewonnen haben? Die meisten Angreifer verwenden gehackte E-Mail-Konten, um Phishing-Kampagnen zu starten. Von den 60 Vorfällen führten über drei Viertel (78 Prozent) zu einer Phishing-E-Mail. Bei diesen Mails war es das Ziel des Angreifers, zusätzliche interne und externe Konten zu infizieren. Die E-Mail erweckt den Anschein, sie sei vom legitimen E-Mail-Nutzer und bittet den Empfänger, auf einen Link zu klicken. Manchmal ließen die Angreifer die E-Mail so aussehen, als würde der Mitarbeiter eine Einladung zu einem Link eines gängigen Webservice wie OneDrive oder Docusign senden.
Weitere 17 Prozent der Vorfälle dienten als Grundlage für den Versand von Spam. Der Grund, warum Angreifer es lieben, kompromittierte Konten für Spam zu verwenden, ist, dass kompromittierte Konten oft einen unbefleckten Ruf haben: Sie kommen aus seriösen Domains, von einer korrekten IP und von echten Personen, die einen legitimen E-Mail-Verlauf haben. Daher ist es sehr unwahrscheinlich, dass sie durch E-Mail-Sicherheitssysteme blockiert werden, die vor allem auf Domain-, Absender- oder IP-Reputation achten.
Angreifer können intern Malware versenden
Darüber hinaus gab es bei 5 Prozent der Vorfälle eine Aufforderung an den Empfänger einen Anhang zu öffnen. Diese Vorfälle betrafen allesamt internen E-Mail-Verkehr. Der Grund für diesen Angriff ist, dass die meisten E-Mail-Sicherheitssysteme den internen Datenverkehr standardmäßig nicht auf Bedrohungen untersuchen. Daher können Angreifer intern einfach Malware versenden, und die Empfänger öffnen sehr oft die Anhänge, wodurch ihre Endpunkte infiziert werden.
Suche nach der einfachsten Möglichkeit, in das Netzwerk zu gelangen
Ebenfalls interessant: Nur 6 Prozent der betroffenen Mitarbeiter waren Führungskräfte. Die überwiegende Zahl war entweder in der Einstiegs- oder in der mittleren Führungsebene tätig. Dies zeigt, dass die Kontoübernahme ein weit verbreitetes Phänomen ist und sich nicht nur an hochrangige Mitarbeiter richtet. Im Gegenteil: Oft sind Mitarbeiter auf niedrigerer Ebene die besseren Ziele, da sie weniger Bewusstsein für Cybersicherheit haben. Und weil viele Angriffe dazu dienen, Phishing-Attacken auf andere Mitarbeiter oder externe Parteien vorzubereiten, suchen die Angreifer im ersten Schritt nach den einfachsten Möglichkeiten, in das Netzwerk zu gelangen. Sobald sie dies erreicht haben, können sie den Ruf des Unternehmens und seiner Marke zu ihrem Vorteil nutzen.
Dennoch sind die Vorfälle nicht zufällig über alle Mitarbeiter verteilt: 22 Prozent der Vorfälle ereigneten sich bei Mitarbeitern in sensiblen Abteilungen wie Personal, IT, Finanzen und Recht. Die Gesamtzahl der Mitarbeiter in diesen Abteilungen innerhalb der von Barracuda untersuchten Unternehmen liegt deutlich unter 22 Prozent. Dies zeigt, dass es zwar weit verbreitete Vorfälle gibt, aber immer noch spezifische Abteilungen, für welche die Angreifer eine starke Vorliebe haben, weil sie die lukrativsten Ziele für Informations- und Finanzdiebstahl sind.
Cyberangriffe auf private E-Mail-Postfächer von Funktionsträgern
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beobachtet derzeit professionelle Cyberangriffe auf private E-Mail-Postfächer von Funktionsträgern aus Wirtschaft und Verwaltung. Bei dieser Angriffskampagne werden täuschend echt erscheinende Spearphishing-Mails an ausgewähltes Spitzenpersonal gesandt. Die Angreifer geben beispielsweise vor, Auffälligkeiten bei der Nutzung des Postfachs beobachtet zu haben oder neue Sicherheitsfunktionalitäten anbieten zu wollen. Der Nutzer wird aufgefordert, einen Link anzuklicken und auf der sich öffnenden Webseite sein Passwort anzugeben. Durch die Preisgabe des Passworts erhalten die Täter Zugriff auf das persönliche E-Mail-Postfach und dessen Inhalte. Die aktuell beobachtete Kampagne richtet sich gegen Yahoo- und Gmail-Konten. Die verwendete Angriffsinfrastruktur hat Ähnlichkeiten mit derjenigen, die bei den Angriffen und anschließenden Leaks gegen die Demokratische Partei in den USA und gegen die französische En-Marche-Bewegung eingesetzt wurde.
Bereits 2016 konnte das BSI beobachten, dass Webseiten registriert wurden, die sich für Spearphishing-Angriffe gegen Kunden der deutschen Webmail-Dienstleister gmx.de und web.de eignen und die Ähnlichkeiten mit der aktuellen Angriffsinfrastruktur haben. Zwar sind diese Domains in der aktuellen Angriffskampagne noch nicht beobachtet worden, es zeigt aber, dass die Täter diese Mailprovider auch als möglichen Angriffsweg identifiziert haben.
Dazu erklärt BSI-Präsident Schönbohm: »Auch in den Regierungsnetzen hat das BSI bereits einen Angriff der aktuellen Kampagne abgewehrt. Grundsätzlich können wir solche Phishing-Mails mit einer sehr hohen Wahrscheinlichkeit detektieren. Private E-Mail-Postfächer allerdings sind außerhalb der Zuständigkeit des BSI. Auch die Parteien und Organisationen haben nur begrenzten Einfluss darauf.
Dies macht private Postfächer für die Angreifer zu einem attraktiven Angriffsziel. Funktionsträger in Verwaltung und Wirtschaft sollten daher dafür sorgen, dass auch ihre privaten Mail-Accounts abgesichert sind. Dies ist wichtiger Teil des digitalen Persönlichkeitsschutzes.«
Das BSI hat im Rahmen seiner Beratungstätigkeiten zu Fragen der IT-Sicherheit vor dem Hintergrund der diesjährigen Bundestagswahl auch Parteien und parteinahe Stiftungen über diese Möglichkeit von Angriffen informiert und Maßnahmen zum digitalen Persönlichkeitsschutz empfohlen. Digitaler Persönlichkeitsschutz ist die Absicherung der Aktivitäten relevanter parlamentarischer und staatlicher Funktionsträger im digitalen Raum. Dazu gehören neben dem Schutz privater E-Mail-Postfächer auch Maßnahmen wie die Verifizierung von Twitter- und Facebook-Accounts. Das BSI berät zudem zur sicheren und ggf. anonymen Nutzung des Internets und der sozialen Netzwerke, beispielsweise über Einstellungen bzgl. Privatsphäre und Sicherheit.
Die folgenden weiteren Maßnahmenempfehlungen schützen nicht nur gegen gezielte Spearphishing-Angriffe auf Spitzenpersonal, sondern sind auch sinnvoll gegen großflächige, weniger professionelle kriminelle Phishing-Angriffe:
- Geschäftliche Inhalte sollten nicht über private Postfächer kommuniziert und bearbeitet werden.
- Es ist sinnvoll, E-Mail-Kommunikation zu verschlüsseln.
- Verwendung einer Zwei-Faktor-Authentifizierung, bei der das Einloggen nicht allein durch die Eingabe von Benutzername und Passwort erfolgt, sondern auch den Besitz eines Hardware-Tokens oder Smartphones erfordert. Manche Webmail-Dienstleister bieten diese Funktionalität bereits an.
- Passwörter sollten grundsätzlich nicht auf Webseiten eingegeben werden, die aus Mails heraus verlinkt wurden. Sicherer ist die Eingabe eines Passwortes, wenn die Adresse der Webseite selbst im Browser eingegeben oder der Aufruf aus einem eigenen Lesezeichen heraus erfolgte.
- Bei der Eingabe eines Passwortes sollte die Navigationszeile/Adresszeile des Browsers geprüft werden: Garantiert der Browser eine verschlüsselte Sitzung? Ist die Domain bekannt, also der Teil der Adresse zwischen »https://« und erstem Schrägstrich?
- Mails, die auf einen gezielten Angriff gegen die geschäftliche Funktion hindeuten, sollten nicht gelöscht, sondern dem IT-Personal der Organisation gezeigt werden.
- Wenn das Passwort auf einer nicht-vertrauenswürdigen Seite eingegeben wurde, sollte es im Zweifelsfall auf der Original-Seite geändert werden.
- Es ist sinnvoll, nach dem Einloggen in das Mail-Account zu prüfen, wann die letzte Aktivität erfolgte, falls der Anbieter dies anzeigt.
Hier folgt eine Auswahl an Fachbeiträgen, Studien, Stories und Statistiken die zu diesem Thema passen. Geben Sie in der »Artikelsuche…« rechts oben Ihre Suchbegriffe ein und lassen sich überraschen, welche weiteren Treffer Sie auf unserer Webseite finden.