Angriffe zwecks Identitätsmissbrauch nehmen zu – auch mit ausgeklügeltem Betrug per Telefon

Die US Cybersecurity & Infrastructure Security Agency (CISA) hat im Juni eine Warnung herausgegeben, in der vor einer zunehmenden Zahl von Fällen von Identitätsmissbrauch gewarnt wird. Dabei wird vorgetäuscht, dass es sich um eine Kontaktaufnahme durch Regierungsangestellte, einschließlich CISA-Mitarbeitende, handle.

Das ist eine hervorragende Erinnerung daran, dass das Security-Bewusstsein über die Erkennung von Identitätsmissbrauch via E-Mail hinausgehen und auf die Gefahren von Betrug per Anruf ausgedehnt werden muss. 

Identitätsmissbrauch, bei dem vorgegeben wird, dass es sich um einen CISA-Mitarbeiter handelt, kann besonders effektiv sein. Dennoch sind diese Fälle von Betrug nur ein kleiner Teil einer Art der Bedrohung, die Jahr für Jahr mehr unrechtmäßige Gewinne einbringt.

FTC-Daten: ein ermutigender Aufruf zum Handeln

Laut Daten, die von der US Federal Trade Commission (FTC) im April dieses Jahres vorgelegt wurden, sind die gemeldeten Gesamtverluste aufgrund von Betrug, bei dem ein Unternehmen oder eine Regierungsbehörde nachgeahmt wird, stetig gestiegen, von 310 Mio. $ im Jahr 2020 auf 1,1 Mrd. $ im Jahr 2023. Etwa 1 von 5 Personen wurde in diesem Zeitraum durch Identitätsmissbrauch um ihr Geld gebracht.

Die Zahl der Fälle von Identitätsmissbrauch per Anruf ist zwischen 2020 und 2023 von 202.000 auf 148.000 gesunken, aber diese Form von Betrug stellt mit 32 % immer noch die größte Kategorie dar, verglichen mit 26 % bei E-Mails.

Die fünf am häufigsten gemeldeten Formen von Identitätsmissbrauch sind:

1. Gefälschte Security-Warnungen, bei denen eine Nachricht scheinbar von Ihrer Bank, Amazon oder einem anderen Unternehmen stammt, bei dem Sie ein potenziell kostspieliges Konto haben.

2. Gefälschte Abonnementverlängerungen, die wie routinemäßige E-Mail-Benachrichtigungen aussehen, die Sie darüber informieren, dass ein Konto, an das Sie sich nicht erinnern, automatisch verlängert wird und dass Ihnen eine Menge Geld in Rechnung gestellt werden wird.

3. Gefälschte Angebote für Werbegeschenke, Rabatte oder Geldbeträge. Hierbei werden sowohl bekannte Unternehmen als auch Regierungsbehörden nachgeahmt.

4. Erfundene rechtliche Probleme, oft mit der Behauptung, dass Ihre Identität gestohlen und für ein Verbrechen verwendet wurde.

5. Gefälschte Paketzustellungsprobleme, bei denen ein bekannter Zustelldienst nachgeahmt und vorgegeben wird, dass es ein Problem mit einem an Sie adressierten Paket gibt. 

Die Bedeutung der Dringlichkeit

Eines haben sie alle gemeinsam: ein starkes Gefühl der Dringlichkeit. Wenn Sie nicht sofort antworten, verlieren Sie Ihre Identität, Ihr Paket oder Ihr Geld. Oder Sie könnten sogar verhaftet werden. 

Trotz zunehmender Raffinesse und verbesserter KI ist es gar nicht so schwer, diese Arten von Betrug zu erkennen, wenn Sie einigermaßen wachsam sind und nicht zu Panik oder Eile neigen. Aber was wäre, wenn Ihre Kreditkarte am Vortag in betrügerischer Absicht verwendet worden wäre? Oder Sie hatten etwas Teures bei einem vielleicht etwas zwielichtigen Unternehmen in Übersee bestellt? Oder wurden Ihre Steuern letztes Jahr geprüft?

Tatsächlich ist es so, dass fast jede Art intensiver Ablenkung oder eines bereits vorhandenen Gefühls der Beunruhigung dazu führen kann, dass wir viel eher auf einen Betrug hereinfallen, der uns erfolgreich ein Gefühl der Dringlichkeit vermittelt. Deshalb wird es so häufig versucht.

Hybride Angriffe für Identitätsmissbrauch – Maximierung der Dringlichkeit

Meine Kollegin Christine Barry hat kürzlich über die Cybercrime-Gruppe bzw. das Cybercrime-Netzwerk Black Basta geschrieben. Sie beschrieb eine der fiesen neuen Taktiken, bei der ein Phishing-Sturm die Mitarbeitenden in Alarmstimmung versetzt, sodass sie viel anfälliger für die anschließenden Angriffe per Anruf werden. 

„Seit April 2024 wird beobachtet, wie eine Bedrohung namens Storm-1811 ein neues Verfahren einsetzt, um sich Zugang zu wichtigen Netzwerken zu verschaffen. Diese Angriffe beginnen mit einem massiven Phishing-Angriff auf die Mitarbeitenden des Zielunternehmens. Der Angriff überflutet die Posteingänge und lässt die Mitarbeitenden frustriert und überfordert zurück. Während dieser Phishing-/Spam-Angriff läuft, startet Storm-1811 einen Voice-Phishing-Angriff (Vishing), bei dem sich der Anrufer als technischer Support ausgibt. Im Erfolgsfall bringt der Anrufer den Mitarbeiter dazu, über Microsoft Quick Assist Fernzugriff auf das System zu gewähren.“

Die richtige Reaktion ist, wie bei so ziemlich jeder Art von einem vermuteten Angriff zwecks Identitätsmissbrauch, zu fragen: „Wie war noch mal Ihr Name? Ich rufe Sie gleich zurück.“ Dann suchen Sie im Firmenverzeichnis nach der Person. 

Aber wie viele von uns würden inmitten eines scheinbar überwältigenden Spam-Angriffs nicht auf einen dringenden Anruf einer Person hereinfallen, die behauptet, von der IT-Abteilung zu sein?

Trainieren, üben, belohnen

Eine E-Mail-Sicherheitslösung, die Identitätsmissbrauch so weit wie möglich erkennen und filtern kann, ist sehr wichtig, um das Risiko solcher Angriffe zu verringern. 

Doch da sich Angreifer immer neue Wege einfallen lassen, um Dringlichkeit zu erzeugen, besteht die beste Möglichkeit, dem entgegenzuwirken, darin, die Fähigkeit der Benutzer zu verbessern, einen kühlen Kopf zu bewahren und auf potenziell irreführende Kommunikation vorsichtig und umsichtig zu reagieren. Dies erfordert regelmäßige und gut konzipierte Schulung zur Stärkung des Risikobewusstseins. Eine moderne automatisierte Schulungslösung sollte Folgendes umfassen:

• Ständig aktualisierte, realitätsnahe Simulationsvorlagen für verschiedene Phishing-Typen, einschließlich Voice-Phishing oder „Vishing“

• Von Experten entwickeltes Schulungsmaterial, das es einfach macht, die Schulung auf die am stärksten gefährdeten Benutzer zu konzentrieren 

• Gamification-Tools zur einfachen Förderung von Engagement und Effektivität

• Anpassbare Simulations- und Kampagnenvorlagen, um sicherzustellen, dass Sie das Training an die spezifischen Bedürfnisse Ihres Unternehmens anpassen können

Barracuda Email Protection ist eine fortschrittliche Security-Plattform, die beides bietet. Es kann mithilfe seiner leistungsstarken KI-basierten Phishing und Impersonation Protection einen großen Prozentsatz der Angriffe zwecks Identitätsmissbrauch erkennen und blockieren. 

Es beinhaltet außerdem eine Schulung zur Stärkung des Risikobewusstseins, die alle oben aufgeführten Funktionen und mehr beinhaltet. 

Da technische Sicherheitslösungen es den Angreifern erschweren, Malware einzuschleusen, wird die Zunahme von Phishing- und Vishing-Angriffen sowie anderem betrügerischem Identitätsmissbrauch weiter anhalten. Um das Risiko für Ihr Unternehmen zu minimieren, ist es notwendig, den bestmöglichen Schutz aufbauen – sowohl mit technischen Lösungen als auch mit einer befähigten, bewussten Benutzerbasis. 

Finden Sie heraus, was Barracuda bietet. (Und seien Sie vorsichtig, wenn Sie das nächste Mal den Hörer abnehmen.)