Melani-Warnung
03.10.2018, 09:48 Uhr
Phishing mit falschen Online-Speichern
Online-Plattformen für den Datenaustausch wie Dropbox, OneDrive und Google Drive sind populär. Das haben auch Phisher entdeckt und gestalten ihre Angriffe entsprechend, warnt Melani.
Beispiel einer Phishing-Seite, die Microsofts OneDrive imitiert
(Quelle: Melani)
In vielen Schweizer Firmen sind Plattformen für den Dokumentenaustausch à la Dropbox oder zur Zusammenarbeit wie Google Docs beliebt. Anwendern wird dabei erlaubt, Dokumente online zu teilen und sogar auf ganze Bürosysteme online zuzugreifen. Manchmal reicht nur ein Passwort, um Zugriff auf ein E-Mail-Konto, aber auch auf diverse andere Dokumente zu erhalten.
Es ist deshalb nicht verwunderlich, dass diese Zugangsdaten von grossem Interesse für Phisher sind. Entsprechend häuften sich die entsprechenden Angriffe, wie die Melde- und Analysestelle Informationssicherheit des Bundes (Melani) warnt. Zudem werde das Kompromittieren eines ersten Kontos oft als weiterführender Angriffsvektor gegen die anderen Mitarbeitenden und die Firmeninfrastruktur verwendet.
So hat Melani in den letzten Monaten Meldungen zu zahlreichen Phishing-Attacken erhalten, welche solche Plattformen imitieren und versuchen, an Zugangsdaten zu gelangen. Zum Beispiel werden die Webseiten von Microsoft Office 365 oder OneDrive nachgebaut. Die Qualität und die Art der E-Mails unterscheide sich stark, berichten Cyberexperten des Bundes. Bei gewissen E-Mails werde der Empfänger gebeten sich zu identifizieren, um ein Problem mit seinem Konto zu lösen, oder aber aufgefordert, ein mit ihm geteiltes Dokument anzuschauen. In allen Fällen werde der Empfänger auf eine Phishing-Seite weitergeleitet, welche die Seite des Anbieters imitiert, heisst es. Dort soll dann der Benutzername und das Passwort angegeben werden.
Weitreichende Folgen
Haben die Cyberkriminellen einmal Zugang zu einem Konto, können sie prinzipiell dieselben Einstellungen vornehmen wie der Konto-Inhaber. Konkret nennt Melani folgende Optionen:
- Die Angreifer können eine E-Mail-Weiterleitung einrichten, sodass sie Zugang zur gesamten Korrespondenz der geschädigten Person haben. Die Weiterleitung erfolgt oft mittels Kopie, so dass dies für den Konto-Inhaber nicht erkennbar ist.
- Wenn das E-Mail-Konto der Plattform als Rücksetz-E-Mail-Adresse für weitere Dienste verwendet wird, könnte ein Angreifer entsprechende Passwörter zurücksetzen lassen und so Zugang zu weiteren Diensten gewinnen.
- Angreifer können sich Zugang zu weiteren Dokumenten verschaffen, soweit die Rechte des Benutzers dies zulassen. Sie können aber auch andere Benutzer im Namen ihres Opfers für die Freigabe von Dokumenten anfragen. Da diese annehmen, dass dies von einem Firmenkollegen geschieht, werden sie diesem Wunsch oft nachkommen.
Goldmine für Phisher
Für die Kriminellen seien solche Zugangsdaten somit eine Goldmine, welche ihnen erlauben, relevante Informationen, wie beispielsweise Geschäftsbeziehungen, zu bearbeitende Fälle, Struktur und Organigramme des Unternehmens, für einen massgeschneiderten Betrugsversuch zu sammeln, berichtet Melani weiter. Ebenfalls könne nicht ausgeschlossen werden, dass solche Informationen zur Wirtschaftsspionage benutzt oder weiterverkauft werden.
Sobald ein Konto kompromittiert ist, können gemäss Melani alle Kontakte der geschädigten Person betroffen sein. So würden dann oft E-Mails mit Malware oder Phishing-Schreiben verschickt. Da diese vom Konto des Kollegen oder Geschäftspartners zu kommen scheinen, sind die entsprechenden Mails sehr glaubhaft und ein Erfolg des Phishing-Versuch wird noch wahrscheinlicher. Die Folge: Mit dieser Methode können die Angreifer weitere Zugänge im Firmennetzwerk gewinnen.
Empfehlungen
Melani empfiehlt Firmen und Privatanwendern, folgende Massnahmen zu ergreifen, die sowohl technischer als auch organisatorischer Art sind:
- Nutzen Sie eine Zwei-Faktor-Authentifizierung wo immer diese verfügbar ist.
- Es wird empfohlen, einen Dienst zu wählen, der genügend Logging-Funktionalität bietet und die Logs in geeigneter Form für Kunden zur Verfügung stellt.
- Den Unternehmen wird empfohlen, nach anormalen Aktionen bei den Konten der Mitarbeitenden zu suchen: Zugang von ungewöhnlichen Orten oder zu unüblichen Zeiten, Hinzufügen von E-Mail-Weiterleitungen, etc.
- Mails sollten (zumindest intern) immer digital signiert sein und Benutzer darauf trainiert werden, Mails ohne eine entsprechende Signatur besonders vorsichtig zu behandeln.
- Beim Versand von legitimen E-Mails mit hohem Missbrauchspotential für Phishing, wie z.B. der elektronische Versand von Rechnungen, sollte darauf geachtet werden, dass die Links nicht hinter HTML-Text versteckt sind und dass die Mails und/oder Dokumente digital signiert sind.
- Damit die eigene Domain weniger einfach für Phishing-Versuche missbraucht werden kann, sollten SPF-, DKIM- und DMARC-Protokolle eingerichtet werden. Dies ist auch bei einigen der grossen Collaboration-Providern möglich, wie z.B. bei Office 365.
- Zudem sollten die Mitarbeitenden bezüglich des Phishing-Phänomens sensibilisiert werden: Es ist unerlässlich, dass die Mitarbeitenden in der Erkennung und dem Umgang mit suspekten und betrügerischen E-Mails geschult werden. Sensibilisierte Mitarbeitende wissen, dass sie bei suspekten oder betrügerischen E-Mails auf keine Links klicken oder Anhänge öffnen sollen, sondern umgehend die Vorgesetzten oder die IT-Verantwortlichen informieren sollten.
- Ebenfalls sind die vom Unternehmen definierten Prozesse und risikominimierenden Massnahmen zu jeder Zeit einzuhalten. Insbesondere sollten sämtliche Prozesse, welche den Zahlungsverkehr betreffen, firmenintern klar geregelt sein und von den Mitarbeitenden in allen Fällen eingehalten werden (z.B. Vier-Augen-Prinzip, Unterschrift kollektiv zu zweien, Prozesse gemäss internem Kontrollsystem).
Daneben ist es sicher auch ratsam, nicht die populärsten Dienste zu verwenden. Gerade bei den Online-Speichern gibt es eine Reihe Schweizer Alternativen zu Dropbox und Co.
