Startseite » IT-Sicherheit »

Drei Methoden, wie Cyberkriminelle menschliche Psychologie ausnutzen

Social Engineering
Drei Methoden, wie Cyberkriminelle menschliche Psychologie ausnutzen

Ralf Geithe Cyberkiminalität Laptop Hacker Adobe Stock
Bild: Ralf Geithe / Adobe Stock
Anzeige

Social Engineering wird bei Cyberkriminelle immer beliebter. Beim Social Engineering werden menschliche Psychologie und Neugierde dazu genutzt, um Zugriff auf Netzwerke, Systeme oder Daten zu erhalten. Die Angreifer greifen dabei auf Methoden wie Telefonanrufe oder Nachrichten in sozialen Medien zurück. Die Opfer werden dadurch dazu gebracht, den Cyberkriminellen Zugriff auf wertvolle, persönliche Informationen oder Daten des Unternehmens zu gewähren.

Das Unternehmen NordVPN hat die häufigsten Vorgehensweisen der Hacker zusammengestellt und gibt Tipps, wie sich die Nutzer vor Angriffen aus dem Netz schützen können.

Die beliebteste Methode: Phishing

Beim Phishing versenden Cyberkriminelle gefälschte E-Mails, die so aussehen, als kämen sie bspw. von einer Bank oder einer Behörde. So soll der Empfänger dazu gebracht werden, wertvolle Informationen – etwa Kreditkartennummern – preiszugeben oder auf einen Link zu klicken. Besonders im deutschsprachigen Raum ist Phishing beliebt. Die Angreifer sind gebildet, nutzen gestohlenes Branding, sorgfältig kreierte Websites, Domains und Social Engineering. Hauptthemen betrügerischer Mails in Deutschland sind Zahlungen, Forderungen zur Erneuerung von verschiedenen Konten, Bankbriefe oder auch Grußkarten.

„Manche Phishing-E-Mails sind sehr schlecht zusammengestellt und man kann sie leicht erkennen“, sagt Daniel Markuson, Experte für digitalen Datenschutz bei NordVPN. „Allerdings gibt es dann wiederum andere, die echt aussehen, sodass sie selbst erfahrene Internetnutzer reinlegen können.“

In letzter Zeit versenden Hacker auch immer mehr Mails, in denen steht, dass der Empfänger verklagt würde. Der Empfänger soll mit solchen Mails dazu gebracht werden, betrügerische Anhänge zu öffnen, auszufüllen und zurückzusenden. In den Mails wird behauptet, dass das Opfer verklagt würde, wenn keine schnelle Antwort erfolge.

Methode mit geringster menschlicher Interaktion: Baiting

Baiting bezeichnet eine Art des Social Engineering, bei der die geringste menschliche Interaktion stattfindet. Die so genannten „Baiters“ bieten Nutzern kostenlose Downloads für Filme, Musik oder Software an; in anderen Fällen nutzen sie physische Medien, wie etwa USB-Sticks, um die menschliche Neugierde für sich zu nutzen. „Sie lassen einen infizierten USB-Stick in einem Café, einem Flur in einem Bürogebäude oder einem ähnlichen Ort liegen, wo eine hohe Möglichkeit besteht, dass ihn jemand finden wird“, so Markuson. „Dann nimmt ihn jemand mit, steckt ihn in den Computer und schon wird die Malware installiert. Wenn es sich hierbei um ein Büro handelt, dann besteht die Möglichkeit, dass Malware in wichtige Systeme und Dateien eindringt.“

Ein interessanter Baiting-Angriff, der in Wahrheit nur ein Test war, wurde von dem Sicherheitsexperten Steve Stasiukonis durchgeführt. Stasiukonis  führte seinen Angriff bei einem Finanzunternehmen durch, das sein Kunde war. Sein Team ließ mit Trojanern infizierte USB-Sticks auf dem Parkplatz in der Nähe des Bürogebäudes liegen. Viele neugierige Mitarbeiter nahmen die USB-Sticks mit und steckten sie in ihre Firmencomputer. Dadurch wurde ein Keylogger aktiviert, der Stasiukonis die Anmeldedaten der Mitarbeiter übermittelte.

Vertrauen der Opfer ausnutzen: Pretexting

Pretexting-Angriffe sind auf das Vertrauen der Zielperson ausgerichtet. Sie erfordern in der Regel eine Recherche zum Hintergrund der Person und eine vertrauenswürdige Geschichte. Für gewöhnlich geben Betrüger vor, dass sie gewisse Informationen benötigen, um die Identität zu bestätigen, um eine Transaktion durchzuführen oder um ein Problem zu lösen. Laut Untersuchungsbericht zu digitalen Verstößen von Verizon für das Jahr 2018 hat sich die Anzahl der erfolgreichen Pretexting-Angriffe seit 2017 verdreifacht.

Nach dem Hack der Website von Ethereum Classic 2017 haben viele Leute Geld mit Kryptowährung verloren. Hacker gaben sich durch die Erstellung eines falschen Kontos und durch die Pretexting-Methode als Eigentümer von Classic Ether Wallet aus. Sie erhielten Zugriff auf das Domain-Register und leiteten es an ihren eigenen Server weiter. Die Hacker extrahierten die Kryptowährung Ethereum von den Leuten, nachdem diese einen Code auf der Website eingegeben hatten, der es ihnen ermöglichte, private Passwörter für Transaktionen einzusehen.

Ein weiterer berühmter Fall von Pretexting war der „News of the World“-Skandal, bei dem Mitglieder der britischen Presse Mobilfunkbetreiber hereinlegten. Die Angreifer kamen so an PIN-Codes, dies es ihnen ermöglichten, Sprachnachrichten der königlichen Familie abzuhören.

„Anders als bei Phising-E-Mails, die Angst und Dringlichkeit auslösen, ist Pretexting auf den Aufbau von Vertrauen mit den Zielpersonen ausgerichtet. Hacker kreieren eine glaubwürdige Geschichte, wodurch die Opfer ihnen vertrauen und in ihre Falle geraten“, erklärt Markuson.

Laptop sperren, Anmeldedaten sicher aufbewahren

Absolute Sicherheit gibt es nicht und Social Engineering entwickelt sich immer weiter. Im Alltag empfiehlt Markuson, auf grundlegende Dinge zu achten. So sollten Laptop und Smartphone immer gesperrt sein, sobald der Schreibtisch verlassen wird. Wichtig ist es ebenfalls, sein Passwort und sonstige Anmeldedaten niemals sichtbar an einem Ort aufzubewahren. Für jedes Konto sollte ein anderes Passwort verwendet werden, außerdem sollten niemals Mails aus nicht-vertrauenswürdigen Quellen geöffnet werden. Verdächtige Links sollten niemals angeklickt werden. Für ein Maximum an Sicherheit empfiehlt Markuson ein Antivirenprogramm sowie ein verlässliches VPN. (wag)


Kontakt zu NordVPN

NordVPN
15th Floor Tower A
Torre de Las Americas
Punta Pacificana
Panama City
Website: www.nordvpn.com

Ebenfalls interessant:

Vertrauen in Datensicherheit auf Fünf-Jahres-Hoch


Industrie.de Infoservice
Vielen Dank für Ihre Bestellung!
Sie erhalten in Kürze eine Bestätigung per E-Mail.
Von Ihnen ausgesucht:
Weitere Informationen gewünscht?
Einfach neue Dokumente auswählen
und zuletzt Adresse eingeben.
Wie funktioniert der Industrie.de Infoservice?
Zur Hilfeseite »
Ihre Adresse:














Die Konradin Verlag Robert Kohlhammer GmbH erhebt, verarbeitet und nutzt die Daten, die der Nutzer bei der Registrierung zum Industrie.de Infoservice freiwillig zur Verfügung stellt, zum Zwecke der Erfüllung dieses Nutzungsverhältnisses. Der Nutzer erhält damit Zugang zu den Dokumenten des Industrie.de Infoservice.
AGB
datenschutz-online@konradin.de