Wie viele Menschen können wirklich identifizieren von phishing-und spear-phishing-E-Mails, viel weniger verstehen, die nuancierten Unterschiede zwischen Ihnen? Die beiden Bedrohungen sind ähnlich, aber unterschiedlich genug, um zwei verschiedene Angriffsmodi darzustellen. Wie wir gerne sagen, ist Hyperbewusstsein der Schlüssel zur Cyber-Wachsamkeit.
Was Ist Phishing?
Beginnen wir mit der funky Rechtschreibung. „Phishing „wurde von Bewunderern der“ Phone Phreaks “ geprägt, der berüchtigten ersten Generation von Hackern, die in den 1960er-1970er Jahren regierten., Das Telefon Phreaks eröffnete eine lange Tradition der Cyber-Kriegsführung mit einer urkomisch einfachen Technik: Blasen einer Spielzeugpfeife in Cap ‚ n Crunch Müslischachteln in einen Telefonempfänger, um einen Hertz-Ton nachzuahmen, Die Schaltschaltung der Telefongesellschaft dazu verleiten, dem Telefon Phreaks einen kostenlosen Anruf zu geben. Dies mag für uns heute lächerlich klingen, aber es war zu dieser Zeit eine Hacking-Innovation, die eine Schwachstelle in Call-Routing-Switches ausnutzte, die sich auf In-Band-Signalisierung stützte und eine Generation von Telefon-Phreaks inspirierte.,
Phishing beinhaltet eine hacking-Technik, die das digitale äquivalent von „casting a net.“Phishing bedeutet insbesondere das Senden von E-Mails, die einen Benutzer dazu verleiten sollen, auf eine URL zu klicken, die zu einem Webformular auf einer Zielseite führt, das eine bekannte Marke wie Microsoft fälscht. Das Webformular dient zum Sammeln persönlicher Informationen wie Anmeldeinformationen. Gemeinsame Phishing-E-Mails könnten etwas in der Art sagen, „Ihr Konto gesperrt ist“, „Bitte aktualisieren Sie Ihr Passwort „oder“ Bitte aktualisieren Sie Ihre Bankkontoinformationen.,“
In einigen Fällen sind die gefälschten Webformulare fast unmöglich von ihren realen Gegenstücken zu unterscheiden. Die URLs selbst können jedoch einen Hinweis darauf geben, was unter der Oberfläche lauert. Zum Beispiel könnte eine Phishing-URL, die angeblich von der Bank of America stammt, Sie zu einer Site mit dem Domainnamen leiten. „www.bankofamericaincu.co“ (Die tatsächliche Domäne der Bank ist www.bofa.com). Sobald Sie dort sind, können Sie Ihre Anmeldeinformationen, Sozialversicherungsnummer oder andere persönliche Informationen mit den Kriminellen teilen, die sie eingerichtet haben.,
Phishing wird auch häufig verwendet, um Anmeldeinformationen für Cloud-Anwendungen wie Office 365 zu stehlen. Ein Phisher sendet eine E-Mail, in der er einen Benutzer auffordert, sich bei seinem Office 365-Konto anzumelden, um wieder Zugriff auf die Plattform zu erhalten, eine freigegebene Datei abzurufen oder seine Kontoinformationen zu aktualisieren. Der Benutzer klickt auf eine URL, die zu einer gefälschten Microsoft-Webseite weitergeleitet wird, auf der seine Anmeldeinformationen gesammelt werden, ähnlich wie im obigen Beispiel der Bank of America.
Phishing Awareness Training: 8 Dinge, die Ihre Mitarbeiter Sollten Verstehen,
Was Ist Spear-Phishing?,
Phishing in seiner generischen Form ist eine Massenverteilungsübung und beinhaltet das Werfen eines breiten Netzes. Phishing-Kampagnen richten sich nicht individuell an Opfer—sie werden an Hunderte, manchmal Tausende von Empfängern gesendet. Spear Phishing hingegen ist sehr zielgerichtet und zielt auf eine einzelne Person ab. Hacker tun dies, indem sie vorgeben, Sie zu kennen. Es ist persönlich.
Ein Speer Phishing-Angreifer ist nach etwas Bestimmtes., Ein gängiges Schema ist der geschäftliche E-Mail-Kompromiss, bei dem sich ein Cyberkrimineller als leitender Angestellter ausgibt, der Überweisungen (an betrügerische Unternehmen), direkte Einzahlungsänderungen oder W2-Informationen anfordern kann. Um eine überzeugende Verbindung zu Ihnen herzustellen, kann der Angreifer Social Engineering betreiben, um sich als bekannte Personen wie Kollegen oder Geschäftsleute auszugeben. Der Angreifer kann dies erreichen, indem er Sie im Internet und in sozialen Medien recherchiert oder Informationen über Datenverletzungen mithilfe von Peer-to-Peer-Protokollen (P2P) wie BitTorrent über Sie erhält.,
Betrachten Sie das folgende Spear-Phishing-Szenario: Ihr Name ist Bob und Sie arbeiten für Joe Smith, CEO Ihres Unternehmens. Ein Speer-Phisher sieht dich auf LinkedIn und merkt, dass du mit Joe befreundet bist. Er folgt Ihnen auf Facebook und lernt Ihre Lieblingssportteams kennen und liest über ein Projekt, an dem Sie im Büro arbeiten.
Der Angreifer erstellt dann unter dem Namen ein E-Mail-Konto [email protected]., Während Real Joe im Urlaub ist-Informationen, die der Phisher von Facebook erhalten hat-sendet Fake Joe Ihnen eine E-Mail mit der Aufschrift: „Ugh, Bob… ich bin im Urlaub, aber ich brauche eine Überweisung von $100,000 an einen Auftragnehmer in China für unser Projekt. Bitte kümmere dich sofort darum. Hier sind die Verdrahtungsanweisungen.“
Wenn Sie nicht genau darauf achten, können Sie die Überweisung abschließen. Dies ist eine Form von Business-E-Mail-Kompromiss, der häufiger passiert, als Sie vielleicht vermuten., Selbst Menschen, die speziell darauf trainiert wurden, dies nicht zu tun, werden nervös, wenn der „CEO“ sie unter Druck setzt, etwas zu tun. Schließlich ist es Joe, kein Fremder… oder so denkst du.
Anatomie einer Speer-Phishing-E-Mail
Warum sind Phishing und Speer-Phishing-Bewusstsein wichtig?
Spear-phishing-Angriffe sind das Herzstück vieler der schwersten und teuersten, Datenschutzverletzungen. Im Jahr 2018 kostete der geschäftliche E-Mail-Kompromiss US-Unternehmen laut dem Internet Crime Report 2018 des FBI 1,2 Milliarden US-Dollar, während Phishing US-Opfer mehr als 48 Millionen US-Dollar kostete.,
E-Mail-Filter können große Phishing-E-Mails stoppen, die bekannte Phishing-URLs enthalten. Wenn eine E-Mail einen Anhang mit einer bekannten Signatur enthält, fängt ein herkömmlicher E-Mail-Filter sie ab. Wenn eine Phishing-URL jedoch eine unbekannte Bedrohung darstellt oder Sie eine personalisierte E-Mail von Bob erhalten, die keine URL oder keinen Anhang enthält, werden sie ausnahmslos durch die meisten Filter geschoben.
Somit stellen Phishing und insbesondere Spear-Phishing einen gefährlichen, aber hochwirksamen Angriffsvektor dar. Verteidigung ist jedoch möglich., Das Bewusstsein und die Schulung der Endbenutzer können beispielsweise dazu beitragen, dass Benutzer lernen, eine Phishing-oder Spear-Phishing-E-Mail zu erkennen. Darüber hinaus nutzen Lösungen wie Vade Secure künstliche Intelligenz, einschließlich maschinelles Lernen, um bösartige E-Mails, URLs und Anhänge zu identifizieren und die Identität von Kollegen und Geschäftsfreunden zu fälschen.