Account Takeover: Die Vorgehensweise der Angreifer

Bei Office-365-Account-Takeover-Angriffen geben sich Cyberkriminelle häufig als Microsoft aus und versuchen mit Social-Engineering-Taktiken Nutzer dazu zu bringen, eine Phishing-Website zu besuchen und Anmeldeinformationen preiszugeben. Sobald ein Konto erfolgreich gehackt wurde, starten Kriminelle selten sofort einen weiteren Angriff. Stattdessen überwachen sie E-Mails und verfolgen die typischen Aktivitäten im Unternehmen, um die Erfolgschancen für einen weiteren Angriff zu maximieren.

Anschließend missbrauchen Cyberkriminelle das Konto, um weitere Zielpersonen innerhalb der Organisation, insbesondere Führungskräfte und Mitarbeiter der Finanzabteilung, anzusprechen, um auch deren Zugangsdaten zu erschleichen. Kompromittierte Konten können von Angreifern zudem genutzt werden, um durch Identitätsdiebstahl externe Angriffe auf Geschäftspartner und Kunden zu starten. Bei der Kontaktaufnahme fügen Hacker in ihre E-Mails oft reale, kopierte Threads ein, etwa bei der Bitte um eine Banküberweisung, und erhöhen dadurch die Glaubwürdigkeit der Nachricht. Zudem richten Betrüger Postfachregeln ein. So verbergen oder löschen sie alle E-Mails, die sie über das gehackte Konto versenden.

Eine aktuelle, von Barracuda durchgeführte Analyse von Account-Takeover-Angriffen ergab, dass bei 29 Prozent der untersuchten Unternehmen Office-365-Konten von Hackern kompromittiert worden waren. Dabei wurden mehr als 1,5 Millionen bösartige und Spam-E-Mails von den Accounts versendet. Zudem stellten die Cyberkriminelle bei 34 Prozent der fast 4.000 kompromittierten Konten unbemerkt E-Mail-Regeln auf, um ihre Aktivitäten zu verbergen.

Die Hacker führten die Account-Takeover-Angriffe mit verschiedenen Methoden durch. In einigen Fällen nutzten Angreifer Benutzernamen und Passwörter, die bei früheren Datenlecks erworben wurden. Da die Benutzer oft das gleiche Passwort für verschiedene Konten verwendeten, konnten Hacker die gestohlenen Zugangsdaten erfolgreich wiederverwenden und Zugriff auf zusätzliche Konten erlangen. Angreifer nutzten auch gestohlene Passwörter für private E-Mail-Konten, um darüber Zugang zu geschäftlichen E-Mails zu erhalten. Darüber hinaus Brute-Force-Angriffe können für die erfolgreiche Konto-Übernahme verwendet werden, da manche Benutzer sehr einfache Passwörter verwenden, die leicht zu erraten sind und nicht oft genug geändert werden.

Schutzmaßnahmen gegen Account Takeover

1. Nutzung von künstlicher Intelligenz

Betrüger passen die E-Mail-Angriffstaktiken an, um Gateways und Spam-Filter zu umgehen. Daher ist es wichtig, über eine Lösung zu verfügen, die Spear-Phishing-Angriffe erkennt und vor ihnen schützt, einschließlich Business E-Mail Compromise (BEC) und Markenimitationen. Unternehmen sollten speziell entwickelte Technologien einsetzen, die nicht nur auf der Erkennung von bösartigen Links oder Anhängen basieren. Die Verwendung von maschinellem Lernen zur Analyse der üblichen Kommunikationsmuster innerhalb des Unternehmens ermöglicht es diesen Technologien, Anomalien zu erkennen, die auf einen Angriff hinweisen können. Sie können in Echtzeit Gegenmaßnahmen ergreifen, indem sie Benutzer warnen und bösartige E-Mails entfernen, die von gehackten Konten stammen.

2. Multi-Faktor-Authentifizierung

Die Multi-Faktor-Authentifizierung (MFA), die Zwei-Faktor-Authentifizierung und die zweistufige Verifizierung, bietet eine zusätzliche Sicherheitsebene neben Benutzername und Passwort, wie beispielsweise einen Daumenabdruck, einen Netzhaut-Scan oder ein One-Time Password (OTP). Das One-Time Password (Einmalpasswort) ist – wie der Name verrät – ein nur einmal gültiges Passwort, das für die Authentifizierung oder für Transaktionen verwendbar ist. Es kann entweder dynamisch generiert oder einer zuvor erstellen Liste von statischen Einmalpasswörtern entnommen werden.

3. Überwachung von Posteingangsregeln und verdächtigen Anmeldungen

Unternehmen sollten zudem Technologien nutzen, um verdächtige Aktivitäten zu identifizieren, einschließlich Anmeldungen von ungewöhnlichen Orten und IP-Adressen, die ein potenzielles Zeichen für ein gefährdetes Konto sind. Dabei sollte darauf geachtet werden, dass auch E-Mail-Konten auf bösartige Weiterleitungs- und Löschregeln überwacht werden, die Kriminelle nutzen, um ihre Spuren zu verwischen.

4. Schulung der Mitarbeiter zur Erkennung und Meldung von Angriffen

Unternehmen sollten Benutzer dezidiert über Spear-Phishing-Angriffe aufklären. Darüber hinaus sollten Phishing-Simulationen für E-Mails, VoicE-Mails und SMS eingesetzt werden, um Benutzer darin zu schulen, Cyberangriffe zu identifizieren, die Effektivität des Trainings zu testen und die am stärksten gefährdeten Benutzer zu identifizieren. Zudem sollten Richtlinien erstellt werden, die Verhaltensweisen für Anfragen per E-Mail bezüglich Banküberweisungen festlegen.

Account Takeover wird auch in naher Zukunft eine der größten Gefahren für die Unternehmenssicherheit bleiben. Doch durch einen mehrschichtigen Ansatz, bestehend aus Mitarbeitertraining und Technologien, kann das Risiko dieser Angriffe erheblich eingeschränkt werden.

Dr. Klaus Gheri, Vice President und General Manager Network Security bei Barracuda Networks