18Aug
Die Nachrichten sind voll von Berichten über "Spear-Phishing-Angriffe", die gegen Regierungen, große Unternehmen und politische Aktivisten eingesetzt werden. Spear-Phishing-Attacken sind heute die häufigste Form der Kompromittierung von Unternehmensnetzwerken.
Spear-Phishing ist eine neuere und gefährlichere Form des Phishing. Anstatt ein weites Netz zu werfen, in der Hoffnung, überhaupt etwas zu fangen, führt der Speer-Phisher einen sorgfältigen Angriff durch und richtet ihn auf einzelne Leute oder eine bestimmte Abteilung.
Phishing erklärt
Phishing ist die Praxis, jemanden als vertrauenswürdig darzustellen, der versucht, Ihre Informationen zu erfassen. Zum Beispiel könnte ein Phisher Spam-E-Mails versenden, die vorgeben, von der Bank of America zu sein, mit der Aufforderung, auf einen Link zu klicken, eine gefälschte Website der Bank of America( eine Phishing-Site) zu besuchen und Ihre Bankdaten einzugeben.
Phishing ist jedoch nicht nur auf E-Mails beschränkt. Ein Phisher könnte einen Chat-Namen wie "Skype Support" bei Skype registrieren und Sie über Skype-Nachrichten kontaktieren. Er sagt, dass Ihr Konto kompromittiert wurde und Sie Ihr Passwort oder Ihre Kreditkartennummer benötigen, um Ihre Identität zu bestätigen. Dies wurde auch in Online-Spielen gemacht, wo Betrüger sich als Spieladministratoren ausgeben und Nachrichten senden, die nach Ihrem Passwort fragen, mit dem sie Ihr Konto stehlen würden. Phishing könnte auch über das Telefon passieren. In der Vergangenheit haben Sie möglicherweise Anrufe von Microsoft erhalten, die behaupten, Sie hätten einen Virus, den Sie zum Entfernen bezahlen müssen.
Phisher werfen im Allgemeinen ein sehr breites Netz. Eine Phishing-E-Mail der Bank of America kann an Millionen von Personen gesendet werden, auch an Personen, die keine Bank of America-Konten haben. Aus diesem Grund ist Phishing oft relativ einfach zu erkennen. Wenn Sie keine Beziehung mit der Bank of America haben und eine E-Mail erhalten, die behauptet, von ihnen zu sein, sollte es sehr klar sein, dass die E-Mail ein Betrug ist. Phisher sind davon abhängig, dass jemand, der genug Leute kontaktiert, irgendwann auf ihren Betrug hereinfällt. Das ist der gleiche Grund, warum wir immer noch Spam-E-Mails haben - jemand da draußen muss für sie fallen oder sie wären nicht profitabel.
Werfen Sie einen Blick auf die Anatomie einer Phishing-E-Mail, um weitere Informationen zu erhalten.
Wie sich Spear-Phishing unterscheidet
Wenn das traditionelle Phishing ein weites Netz in der Hoffnung ist, etwas zu fangen, ist das Spear-Phishing der gezielte Angriff auf eine bestimmte Person oder Organisation und darauf, den Angriff auf sie persönlich zuzuschneiden.
Während die meisten Phishing-E-Mails nicht sehr spezifisch sind, verwendet ein Spear-Phishing-Angriff persönliche Informationen, um den Betrug real erscheinen zu lassen. Zum Beispiel, anstatt "Sehr geehrter Herr, bitte klicken Sie auf diesen Link für fabelhafte Reichtum und Reichtum" die E-Mail kann sagen: "Hallo Bob, lesen Sie bitte diesen Business-Plan, den wir am Dienstag Treffen und lassen Sie uns wissen, was Sie denken." Die E-Mailscheint von jemandem zu stammen, den Sie kennen( möglicherweise mit einer gefälschten E-Mail-Adresse, aber möglicherweise mit einer echten E-Mail-Adresse, nachdem die Person bei einem Phishing-Angriff kompromittiert wurde), anstatt von jemandem, den Sie nicht kennen. Die Anfrage wird sorgfältiger erstellt und sieht so aus, als könnte sie legitim sein. Die E-Mail könnte sich auf jemanden beziehen, den Sie kennen, einen von Ihnen getätigten Kauf oder eine andere persönliche Information.
Spear-Phishing-Angriffe auf hochwertige Ziele können mit einem Zero-Day-Exploit für maximalen Schaden kombiniert werden. Zum Beispiel könnte ein Betrüger eine Einzelperson bei einem bestimmten Unternehmen per E-Mail informieren: "Hallo Bob, würdest du bitte einen Blick auf diesen Geschäftsbericht werfen? Jane sagte, du würdest uns ein Feedback geben. "Mit einer seriös aussehenden E-Mail-Adresse. Der Link könnte auf eine Webseite mit eingebettetem Java oder Flash-Inhalt gehen, die den Zero-Day nutzt, um den Computer zu kompromittieren.(Java ist besonders gefährlich, da die meisten Leute veraltete und verwundbare Java-Plugins installiert haben.) Sobald der Computer kompromittiert ist, kann der Angreifer auf sein Firmennetzwerk zugreifen oder seine E-Mail-Adresse verwenden, um gezielte Spear-Phishing-Angriffe gegen andere Personen zu startenOrganisation.
Ein Betrüger könnte auch eine gefährliche Datei anhängen, die so getarnt ist, dass sie wie eine harmlose Datei aussieht. Beispielsweise kann eine Spear-Phishing-E-Mail eine PDF-Datei enthalten, die an eine EXE-Datei angehängt ist.
Wer sich wirklich um
kümmern muss Spear-Phishing-Angriffe werden gegen große Unternehmen und Regierungen eingesetzt, um auf ihre internen Netzwerke zuzugreifen. Wir wissen nicht über jede Firma oder Regierung Bescheid, die durch erfolgreiche Spear-Phishing-Attacken kompromittiert wurde. Organisationen geben oft nicht die genaue Art des Angriffs bekannt, der sie gefährdet hat. Sie geben nicht einmal zu, dass sie überhaupt gehackt wurden.
Eine schnelle Suche zeigt, dass Organisationen wie das Weiße Haus, Facebook, Apple, das US-Verteidigungsministerium, die New York Times, das Wall Street Journal und Twitter wahrscheinlich durch Spear-Phishing-Attacken kompromittiert wurden. Das sind nur einige der Organisationen, von denen wir wissen, dass sie kompromittiert wurden - das Ausmaß des Problems ist wahrscheinlich viel größer.
Wenn ein Angreifer wirklich ein hochwertiges Ziel angreifen will, ist ein Spear-Phishing-Angriff - vielleicht kombiniert mit einem neuen Zero-Day-Exploit, der auf dem Schwarzmarkt gekauft wurde - oft ein sehr effektiver Weg. Spear-Phishing-Angriffe werden oft als Ursache für die Verletzung eines hochwertigen Ziels genannt.
Sich vor Spear-Phishing schützen
Als Individuum ist es weniger wahrscheinlich, dass Sie das Ziel eines solch anspruchsvollen Angriffs sind als Regierungen und massive Unternehmen. Angreifer können jedoch versuchen, Spear-Phishing-Taktiken gegen Sie anzuwenden, indem sie persönliche Informationen in Phishing-E-Mails integrieren. Es ist wichtig zu erkennen, dass Phishing-Angriffe immer raffinierter werden.
Wenn es um Phishing geht, sollten Sie wachsam sein. Halten Sie Ihre Software auf dem neuesten Stand, damit Sie besser vor Kompromittierungen geschützt sind, wenn Sie auf Links in E-Mails klicken. Seien Sie besonders vorsichtig beim Öffnen von Dateien, die an E-Mails angehängt sind. Hüten Sie sich vor ungewöhnlichen Anfragen nach persönlichen Informationen, selbst wenn diese scheinen, als könnten sie legitim sein. Verwenden Sie keine Passwörter auf anderen Websites, nur für den Fall, dass Ihr Passwort nicht mehr angezeigt wird.
Phishing-Angriffe versuchen oft Dinge zu tun, die seriöse Unternehmen niemals tun würden. Ihre Bank wird Sie niemals per E-Mail benachrichtigen und nach Ihrem Passwort fragen. Ein Unternehmen, bei dem Sie Waren gekauft haben, wird Sie niemals per E-Mail benachrichtigen und Ihre Kreditkartennummer anfordern. Sie erhalten keine Sofortnachricht von einer legitimen Organisation, die Sie nach Ihrem Passwort fragtoder andere sensible Informationen. Klicken Sie nicht auf Links in E-Mails und geben Sie keine vertraulichen persönlichen Daten preis, egal wie überzeugend Phishing-E-Mails und Phishing-Websites sind.
Wie alle Arten von Phishing ist auch Spear-Phishing eine Form von Social-Engineering-Angriffen, gegen die man sich nur schwer verteidigen kann. Alles was es braucht, ist eine Person, die einen Fehler macht und die Angreifer haben in Ihrem Netzwerk einen Vorsprung aufgebaut.
Bildkredit: Florida-Fische und wild lebende Tiere auf Flickr