RSA-Report: Verdoppelung der Phishing-Angriffe

Der Security-Spezialist RSA stellte unlängst seinen Betrugsreport für das letzte Quartal 2019 vor. Darin verzeichnen die Experten einen enormen Anstieg der Onlineangriffe. Die Hitliste der Angriffsvarianten führt das Phishing an. Dabei geben Nutzer aufgrund einer betrügerischen Mail oder eines Anrufs freiwillig Daten (Passwörter, PINs und TANs) an.

Details zum RSA-Report

• Vom 01.10. bis zum 31.12.2019 gab es weltweit über 250.000 bekanntgewordene Betrugsangriffe.
• Alle zwei Minuten wird so ein Angriff durchgeführt – allerdings nicht immer erfolgreich.
• Phishing-Angriffe sind die häufigste Variante, da die Rechner und Server technisch sicherer geworden sind. Der Mensch ist heute die größte Schwachstelle für die Sicherheit. Das nutzen die Kriminellen aus, so die Autoren des Reports.
• Die Zahl der Phishing-Angriffe hat sich im Vergleich zum Vorjahreszeitraum fast verdoppelt.

Das Unternehmen RSA schlüsselt die Bedrohungen nach ihrer Art, dem Umfang und der regionalen Verteilung auf. Damit will es Firmen, Organisationen und Verbraucher sensibilisieren sowie die Betrugsbekämpfung fördern. Deutschland liegt übrigens nach den USA auf dem 2. Platz der Länder, von deren Hostern Phishing-Angriffe ausgehen (gefolgt von Malaysia, Indien und Russland). Dabei greifen die Kriminellen aus Deutschland offenkundig auch am häufigsten deutsche Nutzer an, denn gerade bei den Phishing-Angriffen ist in Deutschland ebenfalls ein enormer Anstieg zu verzeichnen. Sie haben sich gegenüber dem Vorjahr verdoppelt. Insgesamt verzeichnet der RSA-Report eine Zunahme sämtlicher Betrugsarten. Demnach wuchsen die Finanzmalware gegenüber dem Vergleichszeitraum um 41 %, die Angriffe auf oder durch Apps um 175 % und die Betrugsversuche in sozialen Medien um 62 %.

Bekannte Kriminelle mit neuen Geräten bei Phishing-Angriffen

Die Auswertung von RSA unterscheidet Angriffe von Konten und Geräten. Letztere wechseln häufiger, die Konten allerdings bleiben vielfach gleich. 60 % der Angriffe kamen von neuen Geräten, jedoch von bereits bekannten Konten. Kontoübernahmen sind demnach erfolgreiche und damit auch beliebte Angriffsvektoren der Kriminellen. Von diesem Muster weichen allerdings Angriffsversuche auf das Online-Banking ab. Dort wechseln die Nutzer höchst selten (in weniger als einem von 100 Fällen) den Account (also die Bank bzw. das Bankkonto), häufig bleiben sie für das Log-in auch immer beim gleichen Gerät. Das Betrugsvolumen besteht aber zu 41 % aus einer Kombination von neuem Konto und neuem Gerät. Das dürfte laut RSA-Studie bedeuten, dass die Kriminellen mit gestohlenen Zugangsdaten sogenannte Mule-Konten einrichten, also zwischengeschaltete Kurierdienst-Konten. Mit diesen greifen sie dann die Zahlungen von den Opferkonten ab.

Phishing in Zeiten von Corona

Die Corona-Pandemie ruft selbstverständlich auch Betrüger auf den Plan. Offline gehen sie von Haus zu Haus und gaukeln älteren Personen Corona-Tests vor, die sofort in bar zu bezahlen sind, online versenden sie Phishing-Mails, die auf die Verunsicherung und Angst der Menschen setzen. Solche Gefühle sind für Phishing-Angriffe besonders gut geeignet, weil Menschen in Panik schnell ihr Urteilsvermögen einbüßen. Die Mails stammen angeblich entweder von der Sparkasse (oder einem anderen Bankinstitut) oder gleich von der WHO. Sie betten sich freilich in das Mailaufkommen der Empfänger im Rahmen vieler seriöser Warnungen und Hinweise ein. Viele Firmen informieren aktuell ihre Kunden über die Umstellung von Services. Händler, die in ihrem geschlossenen Ladengeschäft nicht mehr besucht werden können, verweisen auf Online-Angebote. Paketdienstleister verweisen darauf, dass die Pakete ohne Unterschrift des Kunden abgegeben und gern auch vor der Haustür abgestellt werden. Viele Shops gewähren Rabatte, um das Geschäft am Laufen zu halten. Die Kriminellen verschicken Phishing-Mails, bei denen aktuell (23.03.2020) zwei Varianten besonders auffallen:

• Angeblich von der WHO (Weltgesundheitsorganisation) stammt eine englischsprachige Mail mit Gesundheitshinweisen. Diese sollen sich in einem Anhang befinden. Wer ihn anklickt, holt sich Malware auf den Rechner.
• Angeblich von der Sparkasse oder einer anderen Bank stammt eine deutschsprachige Mail, die in seriösen Tonfall und einwandfreiem Deutsch darauf verweist, dass man wegen des nötigen Gesundheitsschutzes Filialen schließen müsse und daher nur noch Online-Banking möglich sei. Der Kunde solle doch nun zwecks genauen Abgleichs seine Zugangsdaten eingeben.

Während die vermeintliche Mail der WHO viele Menschen hierzulande ignorieren dürften, ist die Sparkassen-Mail besonders perfide. Seit dem 23.03.2020 melden nämlich tatsächlich deutsche Geldinstitute, dass sie viele Filialen schließen. Es dürften daher möglicherweise einige Menschen auf diesen Phishing-Angriff hereinfallen. Dabei gilt wie immer: Keine Bank verlangt von ihren Kunden jemals die Preisgabe von Zugangsdaten. Auch ein Abgleich der Adresse oder Telefonnummer ist vollkommen überflüssig. Speziell die Sparkassenkunden können sich über wirkliche Maßnahmen auf dem Sparkassen-Blog informieren. Wer also solche Mail erhält, sollte sie sofort löschen und bei seiner Bank per telefonischer Nachfrage die Echtheit überprüfen. Vorsicht: Vor dem Löschen der Mail sollte keinesfalls das Online-Banking geöffnet werden. Es gibt Mails, die ohne Anhang ein Spionageprogramm platzieren. Die beste Maßnahme ist ein Löschen der Mail (ohne jeden Klick auf einen Anhang), das Schließen aller Programme, der Neustart des Rechners und ein sofortiger Antivirencheck.

Produktangebote als Aufhänger für Phishing

Auch mit einer zwar als lästig, aber harmlos erscheinenden Werbemail ist ein Phishing-Angriff möglich. Es werden derzeit Atemschutzmasken, Desinfektionsmittel und weitere Schutzprodukte gegen Corona angeboten. Wer darauf klickt, landet in einem vermeintlichen Online-Shop, der allein zu Betrugszwecken eingerichtet wurde. Er erfüllt zwei kriminelle Zwecke:

• #1: Die Kunden bestellen und bezahlen dort Produkte, die niemals geliefert werden. Einen Motivationskick liefern sensationell günstige Preise auch für Produkte (wie Atemschutzmasken), die es derzeit kaum irgendwo gibt. Diese Betrugsmasche gibt es schon länger mit dem Aufhänger von sensationell günstiger Heimelektronik.
• #2: Beim Bestell- und Bezahlvorgang hinterlassen die Kunden wertvolle Daten, die für weitere Betrügereien – bevorzugt andere Phishing-Angriffe – genutzt werden.

Umso wichtiger ist es, in Zeiten einer globalen Krise auf vertrauenswürdige Kontakte zu setzen. Auch der gesunde Menschenverstand sollte intakt bleiben. Er müsste uns eigentlich sagen, dass ein neuer Online-Shop uns kaum jemals per Directmailing bewirbt. Er kennt uns ja gar nicht (es sei denn, er hätte unsere E-Mail-Adresse durch illegalen Adresshandel erworben). Wirkliche neue Shops machen vielmehr durch Online-Werbung und Suchmaschinenoptimierung auf sich aufmerksam. Allerdings könnte auch das ein Betrugsansatz sein.

Wie sind Phishing-Mails zu erkennen?

Es gibt mehrere Indizien für eine Phishing-Mail. Hier die wichtigsten:

• #1: Der Inhalt ist aus verschiedenen Gründen fragwürdig – wie im Fall der vermeintlichen Mail vom Geldinstitut. Es sollte sich herumgesprochen haben, dass unsere Banken nicht unsere Passwörter abfragen.
• #2: Die Rechtschreibung ist mangelhaft. Dieses Indiz ist recht eindeutig. Kriminelle – vor allem solche aus anderssprachigen Regionen – sind eher selten hochgebildet. Doch Vorsicht: Inzwischen werden die Phishing-Mail professioneller aufgesetzt (siehe oben).
• #3: Die Mail drängt zu einer Handlung, die wir von uns aus niemals durchführen würden (Passwort preisgeben). Sie erzeugt dabei Zeitdruck: Wenn man nicht sofort reagiere, solle Schaden entstehen (zum Beispiel eine Kontosperrung).
• #4: Der Absender stimmt nicht. So könnte aus der Mail-Adresse der Sparkasse Hamburg (haspa@haspa.de) plötzlich haspa@haspa1.de werden, aus noreply@amazon.com wird noreply@amzon.com. Das sollte den Empfänger misstrauisch machen, ist aber manchmal gar nicht so schnell zu entdecken.

Es gibt allerdings eine noch vergleichsweise junge Methode des Phishing-Angriffs, bei dem das Mail-Konto einer Person gekapert wurde. Diese versendet dann augenscheinlich Mails an ihre eigenen Kontakte. Wenn so etwas passiert – vermeintlich die eigene Schwester verweist auf ein schönes neues Angebot im Netz oder fragt gar ein Passwort ab –, gelten die Punkte #1 bis #3: Alles, was uns misstrauisch macht, ist wahrscheinlich in der Tat ein Betrugsversuch. Wir sollten dann die Schwester umgehend anrufen und uns erkundigen, ob die Mail von ihr stammt. Damit weisen wir sie gleichzeitig auf ihr gekapertes Mailkonto hin. Auch unklare Empfangswege sind ein Indiz für einen Phishing-Angriff. Davon sind Personen mit mehreren Mailadressen betroffen. Wer beispielsweise gmai.com und web.de verwendet, sich mit gmail.com bei PayPal angemeldet hat und plötzlich auf seine web.de-Adresse eine angebliche PayPal-Zahlung erhält, wird von einer Phishing-Mail angegriffen. PayPal kennt ja die web.de-Adresse gar nicht.