Welche Arten von Phishing gibt es?
Phishing reicht von der klassischen E-Mail-Phishing-Masche bis hin zu kreativeren Methoden wie dem Spear Phishing und Smishing. Sie alle dienen demselben Zweck: Ihre persönlichen Daten zu stehlen.
Welche Arten von Phishing-Angriffen gibt es?
Phishing-Angriffe sind Social-Engineering-Angriffe und können je nach Angreifer sehr unterschiedliche Ziele haben. Es gibt viele Phishing-Beispiele, die von generischen Betrugs-E-Mails zu anspruchsvolleren zielgerichteten reichen können.
Phishing kann auch ein gezielter Angriff auf eine bestimmte Person sein. Der Angreifer formuliert die E-Mail oft so, dass sie direkt an Sie gerichtet ist und Informationen enthält, die nur ein Bekannter kennen würde. Ein Angreifer erhält diese Informationen in der Regel, nachdem er sich Zugang zu Ihren persönlichen Daten verschafft hat. Wenn es sich um eine solche E-Mail handelt, ist es selbst für die aufmerksamsten Empfänger sehr schwierig, nicht zum Opfer zu werden. PhishMe Research hat herausgefunden, dass Ransomware über 97 % aller Phishing-E-Mails ausmacht.
Was ist Spear Phishing?
Beim Angeln mit der Angelrute können Sie eine Reihe von Gegenständen unter der Wasseroberfläche finden – eine Flunder, eine Forelle oder ein Stück Abfall. Beim Fischen mit dem Speer gehen Sie gezielt auf die Jagd nach einem bestimmten Fisch. Daher der Name Spear Fishing (Speerfischen).
Beim Spear Phishing wird eine bestimmte Gruppe oder eine Person mit einer bestimmten Funktion anvisiert, z. B. der Systemadministrator eines Unternehmens. Nachfolgend finden Sie ein Beispiel für eine Spear Phishing-E-Mail. Beachten Sie den Hinweis auf die Branche, in der der Empfänger tätig ist, den Download-Link, den das Opfer anklicken soll, und die unmittelbare Reaktion, die angefordert wird.
Was ist Whaling?
Whaling ist eine noch gezieltere Art von Phishing, da es die Wale im Visier hat bzw. die richtig großen „Fische“. Diese Angriffe zielen in der Regel auf den CEO, CFO oder ein anderes Mitglied der Geschäftsleitung eines bestimmten Unternehmens oder in einer Branche. In einer Whaling-E-Mail kann beispielsweise stehen, dass dem Unternehmen rechtliche Konsequenzen drohen und Sie auf den Link klicken müssen, um weitere Informationen zu erhalten.
Der Link leitet Sie auf eine Seite, auf der Sie gebeten werden, alle wichtigen Daten über das Unternehmen einzugeben, etwa die Steuer-ID und Nummern von Bankkonten.
Was ist Smishing?
Smishing ist ein Angriff, für den Text- oder Kurznachrichten (SMS) genutzt werden. Eine gängige Smishing-Technik besteht darin, per SMS eine Nachricht an ein Mobiltelefon zu senden, die einen anklickbaren Link oder eine Rückrufnummer enthält.
Ein häufiges Phishing-Beispiel für einen Smishing-Angriff ist eine SMS-Nachricht, die so aussieht, als käme sie von Ihrer Bank. In der SMS werden Sie informiert, dass Ihr Konto angegriffen wurde und dass Sie sofort reagieren müssen. Der Angreifer fordert Sie auf, Ihre Kontonummer, Sozialversicherungsnummer, Ausweisnummer usw. zu verifizieren. Sobald der Angreifer die Informationen erhält, hat er die Kontrolle über Ihr Bankkonto.
Was ist Vishing?
Vishing dient demselben Zweck wie andere Arten von Phishing-Angriffen. Den Angreifern geht es auch hier um Ihre vertraulichen persönlichen Daten oder Unternehmensinformationen. Dieser Angriff erfolgt über einen Telefonanruf. Daher das „V“ (vom englischen „Voice“) anstelle des „Ph“ im Namen.
Ein häufiger Vishing-Angriff besteht darin, dass sich eine Person bei einem Anruf als Vertreter von Microsoft ausgibt. Diese Person teilt Ihnen mit, dass sie Malware auf Ihrem Computer entdeckt hat. Sie werden dann aufgefordert, Ihre Kreditkartendaten anzugeben, damit der Angreifer eine aktualisierte Version der Antimalware-Software auf Ihrem Computer installieren kann. Der Angreifer hat nun Ihre Kreditkartendaten, und mit hoher Wahrscheinlichkeit haben Sie Malware auf Ihrem Computer installiert.
Diese könnte alles enthalten, von einem Banking-Trojaner bis hin zu einem Bot (kurz für „Robot“). Der Banking-Trojaner beobachtet alle Onlineaktivitäten, um weitere Daten zu stehlen – oft die Daten des Bankkontos einschließlich des Passworts.
Ein Bot ist eine Software, die so konzipiert ist, dass sie die vom Hacker gewünschten Aufgaben erfüllt. Er wird per Command and Control (C&C) gesteuert, um Bitcoins zu schürfen, Spam zu versenden oder einen Angriff im Rahmen eines Distributed Denial of Service (DDoS) zu starten.
Was ist E-Mail-Phishing?
E-Mail-Phishing ist ein weiteres Beispiel für Phishing und das häufigste und kommt seit den 1990er-Jahren zum Einsatz. Hacker senden diese E-Mails an alle möglichen E-Mail-Adressen, die sie in die Hände bekommen. In der Regel wird Ihnen in der E-Mail mitgeteilt, dass Ihr Konto gefährdet ist und Sie sofort reagieren müssen, indem Sie auf den angegebenen Link klicken. Diese Angriffe sind in der Regel leicht zu erkennen, da die Formulierungen in der E-Mail häufig Rechtschreib- und/oder Grammatikfehler enthalten.
Manche E-Mails sind nur schwer als Phishing-Angriffe zu erkennen, vor allem wenn die Sprache und Grammatik sorgfältiger gestaltet sind. Das Überprüfen des Absenders der E-Mail und des Links, den Sie anklicken sollen, auf verdächtige Formulierungen kann Ihnen Aufschluss darüber geben, ob die Quelle verdächtig ist.
Ein weiterer Phishing-Scam, den man als Sextortion (aus den englischen Worten „Sex“ und „Extortion“, also Erpressung) bezeichnet, erfolgt, wenn ein Hacker Ihnen eine E-Mail sendet, die scheinbar von Ihnen selbst gesendet wurde. Der Hacker behauptet, Zugang zu Ihrem E-Mail-Konto und Ihrem Computer zu haben. Er behauptet weiterhin, Ihr Passwort und ein aufgezeichnetes Video von Ihnen zu besitzen.
Der Hacker behauptet, Sie hätten Videos mit nicht jugendfreiem Inhalt von Ihrem Computer aus angesehen, während die Kamera eingeschaltet war und Sie aufgezeichnet hat. Der Hacker verlangt, dass Sie ihn bezahlen, meist in Bitcoin. Andernfalls würde er das Video an Familie und/oder Kollegen weitergeben.
Was ist SEO Phishing?
Beim Suchmaschinen-Phishing, auch bekannt als SEO-Poisoning oder SEO-Trojaner, versuchen Hacker, bei einer Suche über eine Suchmaschine auf die erste Position der Trefferliste zu gelangen. Wenn Sie auf den in der Suchmaschine angezeigten Link klicken, werden Sie auf die Website des Hackers weitergeleitet. Von dort aus können Betrüger Ihre Informationen stehlen, wenn Sie auf der Site aktiv sind und/oder vertrauliche Daten eingeben. Internetseiten von Hackern können sich als jede beliebige andere ausgeben, aber die Hauptkandidaten sind Banken, Geldtransferdienste, Social-Media-Seiten und Onlineshops.
Was ist Social Media Phishing?
Social Media Phishing ist eine Form von Phishing-Angriffen, bei denen Cyberkriminelle Social-Media-Plattformen wie Facebook, Instagram, LinkedIn oder Twitter nutzen, um Nutzer dazu zu bringen, vertrauliche Informationen preiszugeben. Hacker können gefälschte Profile erstellen oder legitime Profile kompromittieren, indem sie sich als Personen oder Marken ausgeben, denen das Opfer vertraut. Durch direkte Nachrichten, Posts oder Kommentare versuchen sie, Opfer dazu zu verleiten, auf bösartige Links zu klicken oder persönliche Daten wie Passwörter, Kreditkartennummern oder andere persönliche Daten offenzulegen.
Ein beliebter Ansatz besteht darin, dass Hacker eine Nachricht senden, die behauptet, einen Preis, Rabatt oder andere Anreize anzubieten, was erfordert, dass sich das Opfer auf einer gefälschten Webseite anmeldet, die der tatsächlichen Social-Media-Plattform oder Marke ähnelt. Eine andere Methode besteht darin, sich als Freund oder Kollege auszugeben, Hilfe oder vertrauliche Informationen unter dem Vorwand der Dringlichkeit oder des Vertrauens anzufordern. Durch die Nutzung der Vertrautheit und des Vertrauens, das Nutzer in sozialen Medien haben, erhöhen Angreifer die Erfolgschancen mit ihren Phishing-Schemata.
Social Media Phishing kann zu Identitätsdiebstahl, Kontoübernahmen und sogar weiteren Angriffen auf die Kontakte des Opfers führen, da häufig kompromittierte Konten verwendet werden, um zusätzliche Phishing-Versuche zu verbreiten.
Was ist Pharming?
Angesichts des steigenden Bewusstseins der Nutzer für Phishing-Angriffe entwickelten Hacker neue Angriffsmethoden. Beim Pharming wird der Cache des DNS (Domain Name System) auf dem Computer des Benutzers kompromittiert. Dazu werden Drive-by-Downloads eingesetzt.
Während ein Benutzer im Internet surft und sich von einer Site zur nächsten klickt, nutzt der Angreifer die mangelnde Sicherheit vieler Websites aus. Es ist relativ einfach, den HTML-Text auf einer Website so zu verändern, dass er den Download von Informationen beinhaltet, wenn jemand die Seite aufruft oder sich zu ihr durchklickt.
Klickt man nicht auf die E-Mail, wartet der Angreifer einfach darauf, dass man sich bei der Bank anmeldet. Die geänderten DNS-Cache-Informationen leiten den Benutzer auf die Hackerversion der Website seiner Bank. Gibt man seine Nutzerkennung und sein Passwort ein, erhält der Angreifer über die Anmeldeinformationen Zugriff auf das Bankkonto und kann so Geld stehlen.
Was ist internes Phishing?
Angriffe über internes Phishing werden zunehmend zum Problem. Solche Angriffe erfolgen, wenn ein als vertrauenswürdig eingestufter Benutzer eine Phishing-E-Mail an einen anderen im selben Unternehmen sendet. Da der Absender Vertrauen genießt, ist es wahrscheinlicher, dass der Empfänger auf einen Link klickt, einen Anhang öffnet oder mit den geforderten Informationen antwortet.
Um interne Phishing-E-Mails zu senden, kontrolliert der Angreifer das E-Mail-Konto eines Benutzers über kompromittierte Anmeldeinformationen. Ein Angreifer kann auch das Gerät eines Benutzers kontrollieren, entweder physisch nach Verlust oder Diebstahl des Geräts oder über Malware auf dem Gerät. Interne Phishing-E-Mails sind Teil eines mehrstufigen Angriffs mit dem Ziel, die Adressaten mittels Ransomware zu erpressen oder finanzielle oder geistige Vermögenswerte zu stehlen.
Weiterführende Artikel
Weiterführende Forschung