Cyber-Kriminalität
Überzeugende Tricks, einfache Tools, hoher Erfolg
Der Schaden durch Business Email Compromise wächst rapide.
Originalbeitrag von Trend Micro
Von 2016 bis 2018 erhöhte sich der durchschnittliche Gesamtbetrag, den Cyberkriminelle versuchten via Business Email Compromise (BEC)-Betrug zu ergattern, von 110 Mio. $ pro Monat auf alarmierende 301 Mio. $ monatlich. Dies geht aus einem Bericht des Financial Crimes Enforcement Network (FinCEN) des US-Finanzministeriums hervor. Außerdem stieg die Anzahl der Berichte zu verdächtigen Aktivitäten von etwa 500 pro Monat 2016 auf mehr als 1.000 zwei Jahre später. Der Bericht bestätigt auch die Aussage des Federal Bureau of Investigation (FBI), dass die globalen kumulierten Verluste aufgrund von BEC-Betrug bis 2018 bereits 12 Milliarden $ überschritten hatten, mehr als doppelt so viel wie im Dezember 2016 (insgesamt 5,3 Milliarden $).
Mit steigender Awareness wechseln die Methoden
Da dieser Betrug immer mehr Aufmerksamkeit erhält, haben die Bedrohungsakteure auch ihre Methoden für BEC geändert. Die früher von den Betrügern am häufigsten eingesetzte Technik, nämlich als Präsident oder CEO einer Firma aufzutreten, ging von 33% 2017 auf 12% 2018 zurück. Der Einsatz von gefälschten Kundenrechnungen hingegen stieg von 30% 2017 auf 39% 2018. Auch gingen BEC-Betrüger dazu über, Personen, etwa Makler, außerhalb einer Organisation zu verkörpern – die Technik macht 20% aus. Trend Micro berichtete darüber, wie die Immobilienbranche, in der Finanztransaktionen zwischen mehreren Parteien üblich sind, zu einem Hotspot für BEC-Betrüger geworden ist.
Anvisierte Branchen
Den Erkenntnissen von FinCEN zufolge waren 2017/2018 die Fertigung und die Baubranche am meisten gefährdet. 20% der erkannten BEC-Versuche 2017 und 25% 2018 galten diesen beiden Branchen. Ein möglicher Grund für diese Vorliebe könnte darin liegen, dass 33% der Unternehmen regelmäßige Transaktionen mit externen Lieferanten vornehmen, und zwar häufig als Überweisungen.
Den stärksten Anstieg verzeichneten die kommerziellen Dienstleistungen, zu denen auch der Einzelhandel und die Gastronomie gehören, und zwar erhöhte sich der Anteil von 6% 2017 auf 17% im Jahr 2018. Dagegen sanken die BEC-Angriffe auf Finanzdienstleistungen von 16% auf 9%. Allerdings gaben sich 50% der BEC-Betrüger, die Finanzunternehmen anvisierten, als CEO oder Präsident aus.
Schutz vor BEC-Angriffen
BEC ist auch deswegen bei Cyberkriminellen so beliebt, weil die Angriffe keine raffinierten Tools benötigen — Social Engineering und eine überzeugende List können oft ausreichen, um selbst den vorsichtigsten Geschäftsführer zu täuschen. Um zu verhindern, dass Unternehmen auf BEC-Angriffe hereinfallen, müssen sowohl die Mitarbeiter als auch die Geschäftspartner des Unternehmens gemeinsam Vorsicht walten lassen und das Sicherheitsbewusstsein innerhalb des Unternehmens erhöhen. Dazu gehören auch die folgenden Best Practices:
- Geldüberweisungen und Zahlungsaufforderungen, insbesondere große Beträge betreffend, sollten immer überprüft werden, vorzugsweise durch Rücksprache mit dem Lieferanten per Telefon und Bestätigung der Transaktion. Wenn möglich, sollte eine zweite Freigabe durch einen Vorgesetzten in der Organisation erfolgen.
- Mehr Aufmerksamkeit für Auffälligkeiten bei Geschäftstransaktionen. Dies kann beispielsweise eine Änderung der Bankkontoinformationen ohne vorherige Ankündigung sein
- BEC-Bedrohungsakteure versuchen, als Mitglied oder zumindest als mit der Organisation verbundene Person aufzutreten. Mitarbeiter sollten empfangene E-Mails immer auf verdächtige Elemente überprüfen – zum Beispiel die Verwendung ungewöhnlicher Domänen oder Änderungen an der E-Mail-Signatur.
Darüber hinaus können Unternehmen eine Sicherheitstechnologie in Betracht ziehen, die auf den Schutz vor BEC-Betrug ausgerichtet ist. Dazu gehört Writing Style DNA. Die Technik ist in Trend Micro™ Cloud App Security™ und ScanMail™ Suite for Microsoft® Exchange™ enthalten. Sie unterstützt die Erkennung von Taktiken der Verkörperung von Personen und ähnlichem Betrug. Sie nutzt künstliche Intelligenz (KI), um die DNA eines Schreibstils aufgrund früherer Emails zu erkennen und sie mit dem der möglichen Fälschung zu vergleichen. Die Technologie überprüft die Rechtmäßigkeit des Schreibstils des Email-Inhalts mithilfe eines Machine Learning-Modells, das die Schreibmerkmale des legitimen Email-Absenders enthält.