Thought Leadership
Cyberkriminelle setzen bei ihren Angriffen nach wie vor vor allem auf E-Mails. Dabei handelt es sich meist nicht um einzelne Vorfälle, sondern um aufeinander aufbauende Angriffsketten, die mit Phishing beginnen, über kompromittierte E-Mail-Konten fortgesetzt werden und schließlich in kostspieligem Finanzbetrug enden.
Darauf weist das Cyberversicherungs- und Sicherheitsunternehmen Stoïk hin. Laut dem Stoïk-Schadensbericht aus dem Frühjahr stehen 98 Prozent aller Betrugsfälle im Zusammenhang mit E-Mails. Rund 60 Prozent der gemeldeten Schäden gehen auf E-Mail-Vorfälle zurück. Besonders teuer wird es bei Überweisungsbetrug, bei dem die Schadenssummen im Durchschnitt im fünfstelligen Bereich liegen.
Angriffskette statt Einzelangriff
Nach Angaben von Stoïk kombinieren Angreifer heute verschiedene Methoden, um ihre Erfolgschancen zu erhöhen. Häufig bildet Phishing den Einstieg, bei dem Zugangsdaten gestohlen werden. Anschließend nutzen die Täter die kompromittierten Konten für sogenannte Business-E-Mail-Compromise-Angriffe (BEC), bevor sie durch manipulierte Zahlungsanweisungen oder geänderte Kontoverbindungen finanziellen Schaden verursachen.
Diese mehrstufige Vorgehensweise erschwert die Erkennung erheblich, da die einzelnen Angriffe oft auf bereits kompromittierten, vertrauenswürdigen Konten aufbauen.
Phishing über vertrauenswürdige Absender
Besonders problematisch sind Phishing-Mails, die scheinbar von bekannten Geschäftspartnern oder Lieferanten stammen. Gelangen Kriminelle zuvor an deren E-Mail-Konten, versenden sie Nachrichten mit täuschend echten Links zu gefälschten Anmeldeseiten, etwa für Microsoft 365. Gibt ein Mitarbeiter dort seine Zugangsdaten ein, erhalten die Angreifer Zugriff auf das Konto, ohne sofort entdeckt zu werden.
Da die Nachrichten von legitimen Absendern stammen, stoßen klassische Spam- und Sicherheitsfilter hier häufig an ihre Grenzen.
Kompromittierte Konten erhöhen die Glaubwürdigkeit
Mit den gestohlenen Zugangsdaten führen Angreifer anschließend häufig Business-E-Mail-Compromise-Angriffe durch. Dabei versenden sie E-Mails direkt aus kompromittierten Unternehmenskonten und greifen auf vorhandene Kommunikationsverläufe zurück. Zahlungsaufforderungen oder andere geschäftliche Nachrichten wirken dadurch besonders glaubwürdig, weil sie im gewohnten Stil und mit korrekten Informationen verschickt werden.
Solche Angriffe lassen weniger über den Absender als vielmehr über ungewöhnliche Kontobewegungen erkennen. Dazu zählen beispielsweise auffällige Anmeldungen, neu eingerichtete Weiterleitungsregeln oder Änderungen an der Zwei-Faktor-Authentifizierung.
Finanzbetrug durch manipulierte Zahlungsdaten
Am Ende der Angriffskette steht häufig der eigentliche finanzielle Schaden. Kriminelle verändern dabei beispielsweise Bankverbindungen in laufenden E-Mail-Konversationen oder versenden gefälschte Zahlungsanweisungen mit hoher Dringlichkeit. Da sie bestehende Kommunikationsverläufe nutzen und oft über kompromittierte Konten agieren, erscheinen die Nachrichten authentisch und verleiten Unternehmen dazu, Geld auf Konten der Täter zu überweisen.
Mehrstufige Erkennung soll Risiken senken
Nach Angaben von Stoïk reicht klassischer Phishing-Schutz allein nicht mehr aus, um moderne E-Mail-Angriffe zuverlässig abzuwehren. Das Unternehmen setzt deshalb bei seiner Managed-Email-Security-Lösung auf die Kombination aus regelbasierten Prüfungen, Machine-Learning-Verfahren und der Überwachung durch ein eigenes Security Operations Center (SOC). Verdächtige E-Mails werden dabei automatisiert analysiert und anschließend von Sicherheitsexperten bewertet, bevor Gegenmaßnahmen eingeleitet werden.
Mit diesem mehrstufigen Ansatz sollen Phishing, Business-E-Mail-Compromise und Finanzbetrug als zusammenhängende Angriffskette erkannt und Unternehmen besser vor finanziellen Schäden geschützt werden.
(red/Stoïk)
