Sind Ihre Kunden vor lateralen Phishing-Angriffen geschützt?

Übersetzung eines auf Englisch verfassten Artikels für die Recovery Zone. Den Originalartikel finden Sie hier.Einige der Angreifer melden ein Problem mit Ihrem Kreditkartenkonto. Andere kommen mit harmlosen Angebote, dahinter versteckt sich aber ein Übergriff auf Ihre Daten. Wir alle haben solche Phishing-E-Mails bereits erhalten. Laut einem Symantec-Bericht von 2018 laufen 71,4 Prozent der Cyberangriffe auf Unternehmen über Phishing-E-Mails. Verizon gibt an, dass 2016 30 Prozent der Phishing-Meldungen geöffnet wurden. Phishing-E-Mails kommen nicht nur häufig vor, sondern sie sind auch effektiv. Aber wenn Sie gerade denken, dass es nicht schlimmer kommen kann, sollten Sie weiterlesen.

Interne laterale Phishing-Angriffe

Das FBI schätzt, dass laterale Phishing-Angriffe die Unternehmen bereits Verluste in der Höhe von 12 Milliarden US-Dollar gekostet haben. Wie die meisten Phishing-Angriffe basieren Sie auf E-Mails, können aber noch größere Probleme verursachen als Malware. Diese E-Mails stammen von einem gefährdeten Konto innerhalb Ihres Unternehmens. Benutzer erhalten also keine gefälschte E-Mail von einem Kreditkartenunternehmen, bei dem sie nicht einmal eine Karte haben, sondern diese E-Mails sehen wie Anfragen von einem Chef oder Kollegen aus. Diese Angriffe nutzen das Vertrauen und die Beziehungen der Benutzer zu den Menschen in ihrem Unternehmen aus. Einige dieser E-Mails fordern die Empfänger auf, einen Vertrag zu öffnen (was eigentlich Malware ist) oder ihren Benutzernamen und ihr Passwort einzugeben, um auf etwas zuzugreifen (Gefährdung eines anderen Kontos).

Wie stoppt man laterale Phishing-Angriffe

Da sie von innerhalb des Unternehmens stammen, können die meisten E-Mail-Sicherheitsplattformen laterale Phishing-E-Mails nicht erkennen. Systeme, die das können, sind teuer und weisen eine hohe Fehlerquote auf, was bedeutet, dass viele legitime E-Mails nicht zu den gewünschten Empfängern gelangen. Wenn es also um laterales Phishing geht, müssen Sie aktiv werden, bevor Konten gefährdet sind. Sie können folgende Maßnahmen ergreifen:

1. Verwenden Sie mindestens eine Zwei-Faktor-Authentifizierung: Viele Unternehmen verlangen eine Zwei-Faktor-Authentifizierung, damit Benutzer auf ihre Konten zugreifen können. Auf diese Weise wird sichergestellt, dass Konten gar nicht erst gefährdet werden. Einige Unternehmen verwenden sogar ein Zero Trust-Modell,was die Sicherheit noch weiter erhöhen kann.
2. Arbeiten Sie Protokolle aus: Einige laterale Phishing-E-Mails scheinen vom Chef eines Mitarbeiters zu kommen und könnten ihn dazu auffordern, Geld zu überweisen, Zugangsdaten einzugeben usw. Wir empfehlen den Unternehmen, entsprechende Richtlinien zu entwickeln, wenn es darum geht, Geld zu überweisen, Verträge abzuschließen oder für alles, was sensible Daten betrifft. Diejenigen, die E-Mails mit solchen Anfragen versenden, sollten sich dann per Telefon oder persönlichem Chat melden.
3. Mitarbeiter schulen: Mitarbeiter sollten wissen, dass Phishing-Angriffe vorkommen können und wie diese aussehen, wie man sie erkennt und was zu tun ist, wenn man sich nicht sicher ist. Wenn sie denken, dass etwas wie Phishing aussieht, ist es ratsam, sich bei ihrem IT-Profi oder beim Absender der E-Mail erkundigen, nur um sicher zu sein. Beachten Sie, dass die Nachverfolgung telefonisch oder persönlich erfolgen sollte. Viele Cyber-Betrüger werden antworten, um die Gültigkeit einer E-Mail zu bestätigen, wenn der Empfänger per E-Mail nachhakt.
4. Phishing-Tests durchführen: Es gibt viele Tools, mit denen Sie Phishing-Angriffe simulieren können, aber nicht unbedingt laterale Phishing-Angriffe. Um diese zu simulieren, müssen möglicherweise IT-Profis mit Führungskräften im Unternehmen zusammenarbeiten. Simulieren Sie mit den E-Mails von Vorgesetzten die Art von E-Mails, die Sie von einem Cyberkriminellen erwarten würden (z. B. „Öffnen Sie diesen Vertrag“ oder „Bitte sehen Sie sich das Dokument auf dieser Website an“). Geben Sie in der E-Mail einen Link zu einer Webseite über Phishing-Sicherheit an. Wenn sie darauf klicken, wird ihnen bewusst, dass sie ausgetrickst wurden. Wenn sie mit dem Absender Kontakt aufnehmen, wissen Sie, dass sie wachsam sind.

Fazit

Phishing-Angriffe werden immer ausgefeilter. IT-Profis müssen darauf vorbereitet sein, die neuesten Taktiken und Technologien anzuwenden, um sie zu vereiteln. Aber vergessen Sie nicht, dass dabei auch Fehler auftreten können. Egal wie sehr Sie sie auch bemühen, Sie können nicht alle Angriffe verhindern. Aber das bedeutet nicht, dass man ihnen hilflos ausgesetzt ist. Durch regelmäßige Backups haben Sie einen zuverlässigen Weg zur Wiederherstellung, auch wenn jemand Opfer einer Phishing-E-Mail wird.