Wie Unternehmen sich gegen Whaling-Attacken wappnen können, beschreibt Christoph M. Kumpa, Director DACH & EE bei Digital Guardian.
Bei Whaling-Attacken wählen Cyberkriminelle ihre Opfer sorgfältig aufgrund deren Autorität und Befugnisse innerhalb eines Unternehmens aus. Im Visier stehen speziell hochrangige Führungskräfte wie der CEO, CFO oder andere leitende Angestellte, die vollständigen Zugriff auf sensible Daten haben. Ziel ist es, Führungskräfte dazu zu bringen, Unternehmensinformationen preiszugeben, die für Kriminelle besonders lukrativ sind: Hierzu zählen wertvolles geistiges Eigentum, hochvertrauliche Daten zu Geschäftsprozessen, Finanzdaten, Schlüsselkunden und -kontakte oder E-Mails mit kompromittierenden Inhalten – also alles, was sich gut an die Konkurrenz verkaufen lässt oder sich für Erpressungsversuche eignet.
Whaling: Die Vorgehensweise der Angreifer
Beim klassischen Phishing versenden Cyberkriminelle massenhaft betrügerische E-Mails an beliebige Opfer, in der Hoffnung, dass ein kleiner Prozentsatz erfolgreich sein wird. Als eine Form des Spear-Phishings sind Whaling-Angriffe wesentlich schwieriger zu erkennen, da sie nur an sehr ausgewählte, hochrangige Ziele innerhalb eines Unternehmens gesendet und sehr stark personalisiert werden. Aufgrund der hohen Renditen, die Cyberkriminelle mit Whaling erzielen können, investieren sie wesentlich mehr Zeit und Mühe in die Vorabrecherche, um Informationen über ihre Zielpersonen zu sammeln und die anschließende Kommunikation so legitim wie möglich erscheinen zu lassen. Unternehmensinformationen, Jobdetails, Namen von wichtigen Mitarbeitern und Geschäftspartnern sowie persönliche Vorlieben und Hobbys der Zielpersonen werden häufig aus sozialen Netzwerken wie LinkedIn, Xing, Twitter und Facebook abgegriffen.
Anschließend nutzen Angreifer beispielsweise gefälschte E-Mail-Adressen realer Unternehmen, Geschäftspartner, Banken oder Regierungsbehörden, inklusive Abbinder mit Firmenlogo und Kontaktdetails, um Angriffe so aussehen zu lassen, als würden sie von einem vertrauenswürdigen Absender stammen. Dadurch versuchen sie, ihre Opfer dazu zu bringen, sensible Daten preiszugeben oder eine gefälschte Website zu besuchen. Diese ähnelt der eines legitimen Unternehmens und fragt nach vertraulichen Informationen, etwa Zahlungs- oder Account-Daten. Viele Whaling-Angriffe kommen auch ohne schädliche Links oder Anhänge aus und verlassen sich ganz auf Social Engineering. Dadurch entgehen sie häufig der Entdeckung durch traditionelle Sicherheitslösungen.
Maßnahmen zur Abwehr von Whaling-Angriffen
Es gibt eine Reihe von Maßnahmen, die Unternehmen ergreifen können, um die Wahrscheinlichkeit zu verringern, dass Whaling-Angriffe für Kriminelle zum Erfolg führen. Hierzu zählen:
• Schulung und Sicherheitstrainings für Führungskräfte: Bei allen Social Engineering-Angriffen ist und bleibt eine der wichtigsten Verteidigungslinien der Mensch. Deshalb sollten Führungskräfte, Finanzteams und anderes Personal mit Zugriff auf besonders sensible Daten umfassend geschult werden. Unternehmen sollten diese Mitarbeiter über die möglichen Folgen eines Angriffs aufklären sowie über Erkennungsmerkmale wie gefälschte Absendernamen, angeblich dringende Anfragen, bösartige Anhänge und gefälschte Hyperlinks. Zudem ist es empfehlenswert, in regelmäßigen Abständen Sicherheitstrainings mit simulierten Whaling-Angriffen durchzuführen, um Mitarbeiter immer wieder aufs Neue für diese Art Angriffe zu sensibilisieren.
• Informationssparsamkeit in Social Media-Profilen: Führungskräfte sollten so wenig persönliche Informationen wie möglich in öffentlichen Profilen von Berufs- und sozialen Netzwerken preisgeben. Geburtstage, Freunde, Adressen sowie persönliche Interessen und Hobbys können alle für einen Angriff genutzt werden.
• Markierung externer E-Mails: Viele Whaling-E-Mails sollen so aussehen, als kämen sie von einem hochrangigen Mitarbeiter innerhalb des Unternehmens. Eine gute Möglichkeit, diese Art Angriffe zu erkennen, besteht darin, E-Mails, die von außerhalb des Unternehmensnetzwerks gesendet werden, automatisch markieren zu lassen.
• Etablierung eines Verifizierungsprozesses: Erhält ein Mitarbeiter per E-Mail die Anforderung von sensiblen Informationen oder die Bitte um eine Überweisung, und wird dieser Vorgang normalerweise nicht per E-Mail übermittelt, ist der sicherste Weg, die Anfrage mit dem angegebenen Absender über einen anderen Kanal zu überprüfen, beispielsweise telefonisch. Die Etablierung von klaren Richtlinien und Verifizierungsverfahren, wie Mitarbeiter mit diesen Anfragen umgehen sollen, ist eine wirksame Maßnahme, um Whaling-Attacken abzuwehren.
• Datensicherheit implementieren: Datenzentrierte Sicherheitslösungen wie Data Loss Prevention bieten eine kritische letzte Verteidigungslinie gegen Whaling und andere Formen von Social Engineering-Angriffen. Selbst wenn ein Mitarbeiter dazu verleitet wird, sensible Daten an einen Angreifer zu senden, blockieren diese Technologien eine Daten-Exfiltration.
Es ist kaum zu verhindern, dass Führungskräfte durch Angreifer ins Visier genommen werden. Doch mit einem mehrschichtigen Ansatz aus Schulungen, Sicherheitstrainings, Verhaltensrichtlinien sowie Technologien können die Risiken einer Whaling-Attacke deutlich reduziert werden.
