E-Mail-Kompromittierung für Unternehmen vs. Phishing

Die Welt der Cybersicherheit ist voll von Begriffen, die sich zu überschneiden scheinen, was zu Verwirrung führen kann, wenn Benutzer versuchen, mehr über dieses Thema zu erfahren.

So gilt beispielsweise jede Ransomware als Malware, aber nicht jede Malware ist Ransomware, und während alle Viren unter den Begriff Malware fallen, ist nicht jede Malware ein Virus. Erschwerend kommt hinzu, dass Unternehmen die beiden Begriffe manchmal synonym verwenden, obwohl sie das eigentlich nicht sollten.

Ein weiteres Beispiel für Begriffe, die verwirrend sein können, wenn sie miteinander verglichen werden, sind die Kompromittierung von business email, auch bekannt als BEC, und phishing. Beides sind Formen von Cyberangriffen, aber sie unterscheiden sich in ihren Methoden, Zielen und Absichten.

Kompromittierung von Geschäfts-E-Mails

BEC zielt in der Regel auf Unternehmen, Führungskräfte oder Mitarbeiter mit Zugang zu finanziellen oder sensiblen Informationen ab. Organisationen aller Art, aus allen Branchen und jeder Größe können Ziel von BEC sein. Einige cyberkriminelle Gruppen haben es auf ganz bestimmte Organisationen abgesehen, andere wiederum greifen so gut wie jedes Unternehmen an, in dem sie Fuß fassen können.

Bei einem BEC-Angriff geben sich die Angreifer in der Regel als eine vertrauenswürdige Person aus, z. B. als CEO, Lieferant oder Partner, indem sie das E-Mail-Konto dieser Person oder Organisation kompromittieren oder fälschen. Die Angreifer verwenden dieses Konto, dem der Empfänger in der Regel vertraut, um sehr gezielte und überzeugende E-Mails zu versenden, um den Empfänger zu bestimmten Handlungen zu verleiten, z. B. zur Überweisung von Geld oder zur Weitergabe vertraulicher Daten.

Das Ziel solcher BEC-Angriffe ist finanzieller Gewinn oder der Diebstahl sensibler Geschäftsinformationen. Angreifer können Erfolg haben, indem sie einen ahnungslosen Mitarbeiter dazu bringen, Geld direkt auf ihr Konto zu überweisen, oder sie können die Informationen, die sie während des Angriffs erhalten haben, im Dark Web verkaufen.

BEC-Angriffe sind oft raffinierter und personalisierter und beruhen eher auf Social Engineering als auf bösartigen Links oder Anhängen.

Es ist wichtig zu wissen, dass bei traditionellen BEC-Angriffen die direkte E-Mail-Methode Führungskräfte täuscht, organisatorische Hierarchien ausnutzt und dringende Forderungen nach finanziellen Zahlungen und Überweisungen verwendet. Manchmal gehen die Cyberkriminellen sogar noch weiter und entwickeln ausgeklügelte Täuschungsmanöver mit langen und komplexen Antwort-Threads, die sie in ihren bösartigen E-Mails mit den korrekten Namen der Führungskräfte und sogar deren Tonfall einfügen, um ihre E-Mails noch überzeugender zu machen.

Phishing

Phishing kann so ziemlich jeden treffen, einschließlich Privatpersonen, Angestellte oder Unternehmen. Phishing ist definitiv eher ein breit angelegter Ansatz, bei dem Tausende von E-Mails an Tausende von E-Mail-Adressen gesendet werden, ohne dass in den meisten Fällen wirklich berücksichtigt wird, wer die Empfänger sind. Phishing ist definitiv eher ein Zahlenspiel - je mehr Phishing-E-Mails verschickt werden, desto größer ist die Wahrscheinlichkeit, dass jemand, der die E-Mail erhält, auf die bösartigen Links oder Anhänge in der E-Mail klickt.

Angreifer versuchen immer noch, diese Massen-E-Mails oder Nachrichten so aussehen zu lassen, als kämen sie von legitimen Quellen wie einer Bank oder einem Online-Dienstleister, um die Empfänger dazu zu verleiten, auf bösartige Links zu klicken, malware herunterzuladen oder vertrauliche Informationen wie Passwörter oder Kreditkartendaten preiszugeben.

Das Ziel von Phishing ist es, Anmeldedaten zu stehlen, malware zu verbreiten oder finanziellen Betrug zu begehen. Angreifer können die Zugangsdaten nutzen, um zu versuchen, Geld von Konten zu transferieren oder Informationen zu stehlen, die verkauft werden können. Manchmal enthalten Phishing-Angriffe Ransomware, die darauf abzielt, kritische Geschäftssysteme oder sogar persönliche Laptops zu sperren, bis das Opfer ein Lösegeld zahlt, um sein Gerät oder seine Server zu entsperren.

Phishing-Angriffe sind oft weniger zielgerichtet und weniger ausgeklügelt. Sie setzen auf das Volumen und hoffen, so viele Menschen wie möglich zu täuschen.

Wichtige Unterschiede

Vor allem ist der Umfang dieser beiden Angriffe sehr unterschiedlich. BEC ist sehr gezielt und spezifisch, während Phishing breiter und allgemeiner angelegt ist. Was die Taktik betrifft, so setzt BEC auf Impersonation und Social Engineering, während Phishing häufig bösartige Links oder Anhänge verwendet. BEC zielt im Allgemeinen auf Unternehmen und hochrangige Privatpersonen ab, während Phishing jeden treffen kann. Kurz gesagt, BEC ist eine gezieltere und strategischere Form des Angriffs, während Phishing ein größeres Netz auswirft, um so viele Opfer wie möglich auszunutzen.

Den Unterschied kennen

Es ist wichtig, dass Unternehmen den Unterschied zwischen diesen beiden Arten von Angriffen kennen, denn auch wenn es einige Überschneidungen bei den Lösungen gibt, die zur Bekämpfung von BEC und Phishing eingesetzt werden können, können Sie Ihre Sicherheitsressourcen entsprechend einsetzen, wenn Sie wissen, ob Ihr Unternehmen derzeit von einer cyberkriminellen Gruppe für BEC missbraucht wird oder ob es sich einfach nur um Phishing handelt. Phishing-E-Mails können einfach im Posteingang auftauchen, aber auch BEC-Angriffe verwenden meist mehr als eine Angriffsmethode. BEC-Angriffe können natürlich mit bösartigen E-Mails beginnen, aber sie können auch zu betrügerischen Anrufen, Sprachnachrichten, Sofortnachrichten und anderen Formen des Social Engineering übergehen.

Bekämpfung von Phishing-Angriffen

Die wirksame Bekämpfung von Phishing-Angriffen erfordert eine Kombination aus Bewusstseinsbildung, Technologie und bewährten Praktiken bei jedem Benutzer, unabhängig davon, ob er in einem Büro mit sicheren internen Systemen arbeitet, zu Hause mit seinem persönlichen Laptop oder irgendwo dazwischen, z. B. bei der Arbeit aus der Ferne. Hier finden Sie einige der besten Möglichkeiten, wie Sie sich und Ihr Unternehmen vor Phishing-Angriffen schützen können:

• Informieren und schulen Sie die Benutzer: Führen Sie regelmäßig Schulungen durch, damit Mitarbeiter und Benutzer Phishing-Versuche erkennen können. Bringen Sie ihnen bei, verdächtige E-Mails, Links und Anhänge zu erkennen. Ermutigen Sie zur Skepsis gegenüber unaufgeforderten Anfragen nach sensiblen Informationen.
• Überprüfen Sie, bevor Sie klicken: Überprüfen Sie immer die E-Mail-Adresse und die Domäne des Absenders. Bewegen Sie den Mauszeiger über Links, um deren Ziel zu überprüfen, bevor Sie klicken. Vermeiden Sie das Anklicken von Links oder das Herunterladen von Anhängen aus unbekannten oder nicht vertrauenswürdigen Quellen.
• Verwenden Sie die Multi-Faktor-Authentifizierung (MFA): Aktivieren Sie MFA für alle Konten, um eine zusätzliche Sicherheitsebene zu schaffen. Selbst wenn die Anmeldedaten kompromittiert werden, kann MFA den unbefugten Zugriff verhindern.
• Implementieren Sie E-Mail-Sicherheitstools: Verwenden Sie Spam-Filter und E-Mail-Sicherheitslösungen, um Phishing-E-Mails zu blockieren. Aktivieren Sie Domain-based Message Authentication, Reporting, and Conformance (DMARC), um E-Mail-Spoofing zu verhindern.
• Halten Sie Ihre Software auf dem neuesten Stand: Aktualisieren Sie regelmäßig Betriebssysteme, Browser und Antiviren-Software, um Sicherheitslücken zu schließen. Verwenden Sie seriöse Antiviren- und Malware-Tools, um Bedrohungen zu erkennen und zu blockieren.
• Ermutigen Sie zur Meldung: Schaffen Sie ein einfaches Verfahren für Mitarbeiter oder Benutzer, um Phishing-Versuche zu melden. Handeln Sie schnell, um gemeldete Bedrohungen zu untersuchen und zu entschärfen.
• Überwachen und Testen: Führen Sie simulierte Phishing-Kampagnen durch, um das Bewusstsein der Benutzer zu testen und zu verbessern. Überwachen Sie die Netzwerkaktivitäten auf ungewöhnliches Verhalten, das auf einen Phishing-Angriff hindeuten könnte.
• Schützen Sie sensible Informationen: Beschränken Sie den Zugriff auf sensible Daten auf diejenigen, die sie benötigen. Verwenden Sie Verschlüsselung, um Daten bei der Übertragung und im Ruhezustand zu schützen.
• Seien Sie vorsichtig mit öffentlichem Wi-Fi: Vermeiden Sie den Zugriff auf sensible Konten oder die Eingabe von Anmeldedaten in öffentlichen Wi-Fi-Netzwerken. Verwenden Sie ein Virtual Private Network (VPN) für sichere Verbindungen.
• Bleiben Sie auf dem Laufenden: Bleiben Sie auf dem Laufenden über die neuesten Phishing-Taktiken und Trends. Teilen Sie Updates und Warnungen über neue Phishing-Betrügereien mit Ihrem Team oder Ihrer Community.

Durch die Kombination dieser Strategien können Sie das Risiko, Opfer von Phishing-Angriffen zu werden, erheblich verringern.

Kampf gegen E-Mail-Kompromittierung im Unternehmen

Um BEC wirksam zu bekämpfen, müssen Unternehmen einen vielschichtigen Ansatz verfolgen, der technische Maßnahmen, Mitarbeiterschulungen und robuste Prozesse kombiniert. Hier sind einige wichtige Strategien:

• Mitarbeiterschulung: Informieren Sie Ihre Mitarbeiter regelmäßig über Phishing- und BEC-Taktiken. Bringen Sie ihnen bei, Absenderinformationen zu überprüfen und rote Flaggen wie dringende finanzielle Anfragen zu erkennen.
• E-Mail-Authentifizierungsprotokolle: Implementieren Sie Protokolle wie DMARC, SPF und DKIM, um E-Mail-Spoofing zu verhindern und die Authentizität von E-Mails sicherzustellen.
• Multi-Faktor-Authentifizierung (MFA): Erzwingen Sie MFA für alle E-Mail-Konten, um eine zusätzliche Sicherheitsebene zu schaffen, selbst wenn Passwörter kompromittiert werden.
• Überprüfungsprozesse: Führen Sie strenge Verfahren zur Überprüfung von Finanztransaktionen ein, wie z.B. Rückrufe zur Bestätigung von Zahlungsanforderungen anhand bekannter Kontaktdaten.
• Software-Updates: Halten Sie alle Systeme, einschließlich E-Mail-Server und Antiviren-Software, auf dem neuesten Stand, um sich vor Sicherheitslücken zu schützen.
• Plan zur Reaktion auf Vorfälle: Entwickeln und aktualisieren Sie regelmäßig einen Plan für den Umgang mit BEC-Vorfällen, einschließlich der Isolierung von Systemen und der Benachrichtigung von Behörden.
• E-Mail-Verschlüsselung: Verwenden Sie die Verschlüsselung, um E-Mail-Inhalte zu schützen und sie für Unbefugte unlesbar zu machen.
• Finanzielle Kontrollen: Implementieren Sie eine zweistufige Überprüfung für sensible Transaktionen, um Risiken zu minimieren.
• Überwachung und Audits: Führen Sie regelmäßige Sicherheitsaudits durch und überwachen Sie E-Mail-Systeme auf ungewöhnliche Aktivitäten.
• Domain-Schutz: Verwenden Sie Tools zur Überwachung und zum Schutz Ihrer Domain vor Spoofing und Lookalike-Angriffen.

Durch die Förderung einer Kultur des Cybersecurity-Bewusstseins und die Umsetzung dieser Maßnahmen können Unternehmen das Risiko, Opfer von BEC zu werden, erheblich reduzieren.

Die Quintessenz

Es gibt zwar einige Lösungen, die Unternehmen bei beiden Arten von Angriffen helfen können, und einige der Schritte, die zur Bekämpfung erforderlich sind, sind sehr ähnlich, aber es ist wichtig, sich daran zu erinnern, dass die Kompromittierung von business email und phishing zwei verschiedene Arten von Angriffen sind. Unternehmen müssen sich auf beides vorbereiten. Mimecast ist bereit, seinen Kunden mit maßgeschneiderten Lösungen zu helfen, die sowohl vor business email compromise als auch vor phishing schützen.