Künstliche Intelligenz
IT-Sicherheit für Firmen: Effektive Maßnahmen gegen Vishing-Angriffe per Telefon
Lange Zeit waren Social-Engineering-Angriffe über Phishing via E-Mail das Mittel der Wahl von Angreifergruppen, um mit den Mitarbeitern einer Opferorganisation in Kontakt zu treten. Ein neuerer Trend sind Telefonanrufe als Werkzeug für Social-Engineering-Angriffe: das sogenannte Vishing, wobei das „V“ in Vishing für Voice steht. Auch wir nutzen diese Technik inzwischen sehr häufig in Red-Teaming-Projekten, bei denen wir das Verhalten realer Angreifer simulieren.
Dass potenziell Gefahr von E‑Mails ausgeht, weiß inzwischen jeder, und in vielen Organisationen mit einem gewissen Reifegrad gehört die regelmäßige Sensibilisierung für diese Gefahr zum guten Ton. Von manchen Kunden höre ich inzwischen auch, dass die Mitarbeiter zum Teil schon übersensibilisiert sind und hinter vielen validen, wenn auch schlecht gemachten E‑Mails Böses vermuten und diese einer zentralen Stelle melden. Das zeigt, dass Sensibilisierungsmaßnahmen tatsächlich wirken, wenn sie gut und kontinuierlich gemacht werden.
- Vishing, also Betrügen via Telefon (Voice), hat gegenüber dem herkömmlichen Phishing für Angreifer einige Vorteile wie das einfache Spoofen der Nummer des Anrufers. Entsprechend beobachten Sicherheitsexperten einen starken Anstieg dieser Angriffsart.
- Mit relativ einfachen Social-Engineering-Methoden schaffen Angreifer eine Vertrauensbasis und erschleichen sich Zugriff auf sensible Informationen.
- Mit einigen Sicherheitsmaßnahmen lassen sich bereits viele Vishing-Angriffe abwehren. Angriffe, die dennoch erfolgreich sind, müssen dann an anderer Stelle durch ein mehrstufiges Sicherheitskonzept abgefangen werden.
Zudem wird es für Angreifer immer schwieriger, Phishing-E‑Mails am Security-Stack der Opferinfrastruktur vorbeizubringen, sodass die Mails auch tatsächlich im Posteingang landen. Ist dies gelungen, muss der Angreifer darauf hoffen, dass das Opfer nicht misstrauisch wird und die E‑Mail nicht meldet. Denn das würde potenziell die gesamte Kampagne inklusive der genutzten Infrastruktur zunichtemachen und der Angreifer müsste von vorn anfangen.
Das war die Leseprobe unseres heise-Plus-Artikels „IT-Sicherheit für Firmen: Effektive Maßnahmen gegen Vishing-Angriffe per Telefon“.
Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.