Walfangangriffe werden bei Cyberkriminellen immer beliebter, auch wenn der Aufwand dafür sehr hoch ist. Diese spezielle Form des Phishings verspricht aber auch große Gewinne.

Wir verraten Ihnen nun, was der Begriff Whaling im Detail bedeutet und wie Sie Ihr Unternehmen vor solchen Angriffen schützen können.

Whaling — eine besondere Form von Phishing

Der Begriff selbst legt es nahe: Beim Walfang geht es um den großen Fisch (obwohl der Wal bekanntermaßen ein Säugetier und kein Fisch ist). Bei dieser speziellen Form von Phishing nehmen Cyberkriminelle und Hacker die sogenannten Big Player ihrer Art ins Visier, was bedeutet, dass CEOs, Führungskräfte im Allgemeinen und sogar Prominente die bevorzugte Opferart sind. Tatsächlich all denen, von denen bekannt ist oder von denen bekannt ist, dass es ihnen gut geht. Das bedeutet automatisch, dass der daraus resultierende (finanzielle) Schaden enorm sein kann.

Walfangangriffe sind aufgrund ihres hohen Individualisierungsgrades sehr komplex und erfordern ein hohes Maß an Kreativität — gepaart mit viel krimineller Energie, versteht sich. Es ist nicht ungewöhnlich, dass allein die Vorbereitungen bis zum letzten Angriff Monate dauern. Wenn er jedoch erfolgreich ist, zahlt sie sich in der Regel mehr als aus. Die jeweiligen Ziele können unterschiedlich sein: Manchmal geht es „nur“ um Geld (aber viel davon), manchmal geht es um den Zugriff auf persönliche und sensible Daten.

Wenn der Hacker zum investigativen Reporter wird

Um die Erfolgschancen eines Walfangangriffs zu erhöhen, sind viele Forschungs- und Vorarbeiten erforderlich. Cyberkriminelle sind daher darauf spezialisiert, das gesamte Netzwerk und die sozialen Medien zu durchsuchen. Ihr Ziel: so viele Informationen wie möglich über das potenzielle Opfer zu sammeln, da nur so ein glaubwürdiges Szenario erstellt werden kann.

Die darauf basierende Phishing-Nachricht ist also hochgradig individualisiert und wirkt daher nicht nur auf den ersten Blick echt. Der mutmaßliche Absender der Nachricht ist dem Opfer also fast immer keine unbekannte Person. Durch Kontakte und „Freundschaften“ in sozialen Netzwerken finden Angreifer in der Regel leicht heraus, mit welchen realen Personen ihre Zielperson in Kontakt steht. Die entsprechenden E-Mail-Adressen werden dann einfach neu erstellt und können vom ahnungslosen Opfer auf den ersten Blick nicht als Fälschung erkannt werden. Hier kommt zum Beispiel E-Mail-Spoofing zum Einsatz oder Kriminelle nutzen unauffällige Buchstabenverdreher.

Unterschiede zwischen Whaling, Phishing und CEO-Betrug

Streng genommen ist Whaling eine Unterart des sogenannten Spear-Phishings. Im Gegensatz zu klassischen Phishing-Kampagnen wie „Ihr PayPal-Konto wurde gehackt, bestätigen Sie jetzt Ihre Anmeldedaten“, die sich an die breite Masse richten und millionenfach versendet werden, handelt es sich bei Spear-Phishing immer um individualisierte Kampagnen. Und insbesondere der Walfang konzentriert sich — wie eingangs erwähnt — auf hochrangige Personen.

CEO-Betrug ist dagegen eine weitere Form der Cyberkriminalität und quasi das Gegenteil von Walfang. Hier ahmen Hacker in der Regel die E-Mail-Adresse eines Chefs nach, um seine Mitarbeiter zu leichtsinnigem und schnellem Handeln zu bewegen (in der Regel Geldtransfers ins Ausland). Der ahnungslose Empfänger der Nachricht wird dahingehend ausgenutzt, dass er es mit hoher Wahrscheinlichkeit nicht wagen wird, die Anweisungen des vermeintlichen Chefs in Frage zu stellen oder sich sogar zu weigern, sie auszuführen.

Sicherheitsmaßnahmen und Tipps

Wie bei fast jeder Form von Phishing gilt auch hier: Halten Sie immer den gesunden Menschenverstand an. Bleiben Sie immer misstrauisch, besonders wenn Nachrichten mit einem dringenden Appell von vermeintlichen Freunden in Ihrem Postfach landen. Fragen Sie den scheinbaren Absender immer persönlich, ob die E-Mail wirklich von ihm stammt.

Die möglichen Schutzmaßnahmen haben wir hier noch einmal übersichtlich für Sie zusammengefasst:

• Rückversicherung per Telefon oder persönlich beim mutmaßlichen Absender
• Durchführung regelmäßiger Schulungen zum Sicherheitsbewusstsein — auch für Führungskräfte!
• Überprüfen Sie die E-Mail-Absender im Detail (verwenden Sie die erweiterte Ansicht innerhalb des E-Mail-Programms)
• Richten Sie E-Mail-Filter, schwarze Listen usw. ein.
• Optimieren Sie die Datenschutzeinstellungen in sozialen Medien und schränken Sie gegebenenfalls die öffentliche Sichtbarkeit ein
• Doppelter Boden bei Überweisungen: Zulassen (hoher) Zahlungen nur auf der Grundlage des Vier-Augen-Prinzips und/oder eines mehrstufigen Überprüfungsverfahrens
• Implementierung gängiger IT-Sicherheitstools (z. B. Firewall)

Weiterer Tipp: Die Einführung einer internen Richtlinie für den Umgang mit Daten zahlt sich auch in Zeiten zunehmender Cyberkriminalität aus.

one4 IT für Ihre IT-Sicherheit

Unsere Experten helfen Ihnen gerne bei der Festlegung aller relevanten Schutzmaßnahmen, um Ihr Unternehmen davor zu schützen, in die Riege der Opfer von Cyberkriminalität aufgenommen zu werden. Mit maßgeschneiderten Sicherheitsdiensten, wie einem professionellen Firewall-Management, stellen wir sicher, dass potenzielle Angriffe in der Regel im Voraus abgewendet werden.

Die Durchführung von speziellen IT-Sicherheitstrainings, sogenannten Security Awareness Trainings, gehört ebenfalls zu unserem Angebot. Denn wenn erst einmal alle Mitarbeiter und Manager von Angriffsformen wie CEO-Betrug oder Whaling erfahren, sinken die Chancen für Cyberkriminelle bereits rasant. Unser Tipp: Lassen Sie sich unverbindlich zu den einzelnen Möglichkeiten beraten. Wir freuen uns auf Ihre Nachricht.

---

Weitere Links:
Security-Insider

Lesen Sie den Originalartikel auf IT-SERVICE.network