Melani
21.08.2014, 11:29 Uhr
Schweizer Firmen unter Beschuss
Die Melde- und Analysestelle Informationssicherung des Bundes (Melani) stellt vermehrt gezielte Angriffe gegen Schweizer Firmen fest. Dabei werden meist Methoden des Social Engineering verwendet.
Die Angreifer verwenden oft Social Engineering um zum Ziel zu kommen
Melani erhalte zur Zeit vermehrt Meldungen über Betrugsvarianten, welche Social-Engineering-Methoden verwenden, teilt die Behörde heute mit. Mittels dieser Methoden versuchen die Angreifer bei ihren Opfern Vertrauen zu schaffen, bevor der eigentliche Betrug stattfindet. Schweizer Firmen verschiedenster Grösse und aus unterschiedlichsten Sektoren sind laut Melani davon betroffen. Bei den gemeldeten Fällen werden durch die Angreifer im Vorfeld Informationen über die Firma eingeholt, um sich so ein genaues Bild über das Umfeld des Zieles zu machen. Gesammelt werden beispielsweise Informationen zu Betätigungsfeldern, Schlüsselposten oder etwa das verwendete Format bei E-Mail-Adressen. Dabei nutzen die Betrüger typischerweise Informationen aus offenen Quellen, wie sie beispielsweise auf der Firmenwebseite zu finden sind. Diese Informationen werden jedoch zum Teil auch durch aktive Recherche ergänzt, indem die Betrüger mit der Firma via E-Mail oder Telefon Kontakt aufnehmen und so versuchen an Informationen der Firma zu gelangen. Anschliessend beginnt der eigentliche Angriff. In der Regel wird dabei eine E-Mail an einen Mitarbeitenden der Finanzabteilung versendet, welche vorgibt von einem Mitglied des Kaders zu stammen. Während Absender Adressen mehrheitlich gefälscht werden, stammen E-Mails in vereinzelten Fällen tatsächlich von den Absender-Konten, welche durch die Angreifer zuvor gehackt wurden. Die versendete E-Mail handelt dann von laufenden, vertraulichen Finanzgeschäften und das Opfer wird mit der «juristischen Abteilung der Firma» in Kontakt gebracht, welche mit den Angaben der Überweisung betraut sein soll. In einem weiteren Schritt geben sich die Betrüger dann als diese Abteilung aus. Sie betonen den einmaligen Charakter und die Vertraulichkeit des Auftrages, jedoch auch die Dringlichkeit, welche die Situation erfordere. In manchen Fällen versuchen die Betrüger mit parallelen Telefonanrufen dem Szenario noch mehr Glaubwürdigkeit zu verleihen.
Die in diesen Fällen angewandte Social-Engineering-Methode zielt vor allem darauf ab, das Opfer zu einer Zahlung an ein von den Betrügern angegebenes Konto zu bewegen. Es sind aber auch andere Szenarien denkbar. So können die Angreifer, nachdem sie beim Opfer das Vertrauen geweckt haben, auch eine gezielte E-Mail mit einer Schadsoftware oder mit einem Link zu einer Seite mit Schadsoftware senden. Nächste Seite: Empfehlungen von Melani
Melani empfiehlt hier folgende Massnahmen:
Die in diesen Fällen angewandte Social-Engineering-Methode zielt vor allem darauf ab, das Opfer zu einer Zahlung an ein von den Betrügern angegebenes Konto zu bewegen. Es sind aber auch andere Szenarien denkbar. So können die Angreifer, nachdem sie beim Opfer das Vertrauen geweckt haben, auch eine gezielte E-Mail mit einer Schadsoftware oder mit einem Link zu einer Seite mit Schadsoftware senden. Nächste Seite: Empfehlungen von Melani
Melani empfiehlt hier folgende Massnahmen:
- Die Grundregel, bei zweifelhaften oder ungewöhnlichen Kontaktaufnahmen keine internen Informationen preiszugeben und keinen Aufforderungen nachzukommen, ist angesichts der derzeitigen Fälle aktueller denn je.
- Bei ungewöhnlichen Kontaktaufnahmen und Aufforderungen ist es empfehlenswert innerhalb der Firma telefonisch Rücksprache zu nehmen um die Richtigkeit des Auftrages zu verifizieren.
- Sämtliche Prozesse, welche den Zahlungsverkehr betreffen, sollten firmenintern klar geregelt sein und von den Mitarbeitenden in allen Fällen eingehalten werden.
- Insbesondere empfiehlt Melani eine Sensibilisierung der Mitarbeitenden bezüglich dieser Vorfälle, insbesondere der Mitarbeitenden in Schlüsselpositionen.
- Opfer haben die Möglichkeit, speziell im Falle eines erfolgreichen Betruges, eine Strafanzeige bei der örtlich zuständigen Kantonspolizei zu erstatten.
