Phishing

Was ist Phishing?

Phishing ist eine Art Cyberangriff, der Hackern Zugang zu den sicheren Daten des Opfers verschafft. Während traditionelles Hacken eine Brute-Force-Methode beinhaltet, bei der viele verschiedene Passwortkombinationen ausprobiert werden, verwendet Phishing Social Engineering, um Benutzer dazu zu bringen, ihre Anmeldeinformationen preiszugeben. Phishing ist ein Homophon des „Fischens“, da Hacker viele Benutzer in der Hoffnung auf einen „Biss“ angreifen. Phishing kostet Benutzer weltweit Milliarden von Dollar und wurde von Agenten der Regierungen der Bundesstaaten sowohl für wirtschaftliche als auch für politische Kriegsführung eingesetzt.

Tiefere Definition

Phishing funktioniert, indem es Opfer in ein falsches Sicherheitsgefühl wiegt. Oft hat der betroffene Benutzer keine Ahnung, dass irgendetwas nicht stimmt: Der Angriff scheint von einer vertrauenswürdigen Quelle wie einem Kollegen oder Freund oder von einem Unternehmen wie der Bank oder dem E-Mail-Anbieter des Benutzers zu stammen. Obwohl E-Mail das primäre Angriffsmittel war, haben einige Hacker Telefonkommunikation und SMS verwendet, um Personen anzugreifen.

Bei einem Phishing-Angriff erstellt ein Hacker eine Website oder E-Mail, die fast perfekt denen ähnelt, die Benutzer täglich sehen. In einigen Fällen enthält die E-Mail einen scheinbar harmlosen Link, der Malware auf dem Computer des Benutzers installiert, die Tastenanschläge aufzeichnen oder einen „Tunnel“ in die Daten des Opfers bereitstellen kann. Andere leiten Benutzer oft auf eine Login-Seite weiter, die nicht von der Art zu unterscheiden ist, die Menschen für selbstverständlich halten, wenn sie ihre E-Mails, Social-Media-Konten oder ihre Online-Bank verwenden. Die auf diesen Seiten eingegebenen Daten gehen jedoch direkt an den Hacker, der es ihm ermöglicht, sich einzuloggen und Informationen zu stehlen.

Diese gefälschten Websites leben von gefälschten URLs, die den echten ähneln, an die die Opfer gewöhnt sind. Eine typische Fälschung der echten Google Mail-URL, https://mail.google.com/, könnte in etwa so aussehen wie http://mail.googlecom.com. Beachten Sie die geringfügigen Änderungen des Namens. Ein solcher Link kann sich hinter Text wie „Klicken Sie hier“ verstecken, um legitim auszusehen. Phisher verwenden auch echt aussehende E-Mail-Adressen, aber sobald sie auf das Konto eines Opfers zugreifen, können sie anderen Personen auf ihrer Kontaktliste von der tatsächlichen E-Mail-Adresse des Opfers E-Mails senden.

Nahezu alle E-Mail-Systeme verfügen über eine Art Phishing-Schutz, der betrügerische E-Mail-Adressen oder Links im Text einer E-Mail erkennt und diese Nachricht in den Spam-Ordner verschiebt. Kein automatisierter Schutz ist jedoch perfekt, und es bedarf nur eines erfolgreichen Angriffs, um einem Unternehmen schweren Schaden zuzufügen.

Phishing-Beispiel

Der prominenteste Phishing-Angriff der letzten Zeit richtete sich gegen die Präsidentschaftskampagne 2016 von Hillary Clinton. Ihr Wahlkampfvorsitzender, John Podesta, der als stellvertretender Stabschef von Präsident Bill Clinton gedient hatte, erhielt scheinbar von Google eine E-Mail, die darauf hinwies, dass sein Gmail-Konto von Hackern kompromittiert worden war und er sein Passwort ändern musste. Es war nicht wahr; die Hacker hatten die E-Mail selbst verschickt. Trotzdem gab er seine alten Anmeldeinformationen ein, die an die Hacker gesendet wurden, die dann 20.000 von Podestas persönlichen E-Mails an WikiLeaks weitergaben, und die daraus resultierenden Folgen waren ein wesentlicher Faktor für Clintons Niederlage bei den Parlamentswahlen. Der Phishing-Versuch war so gut, dass er sogar den IT-Manager der Kampagne täuschte, der Podesta sagte, es sei „eine legitime E-Mail“.

Höhepunkte

• Ein Phishing-Versuch kann eine offiziell aussehende Website, E-Mail oder andere Kommunikationsformen verwenden, um Benutzer dazu zu verleiten, Details wie Kreditkartennummern, Sozialversicherungsnummern oder Passwörter preiszugeben.

• Phishing-Websites können identisch mit offiziellen Websites erscheinen und Benutzer auffordern, ihre echten Anmeldeinformationen auf der bösartigen Website einzugeben.

• Phishing ist eine Art von Datendiebstahl, bei der Personen unwissentlich ihre persönlichen Daten an einen schlechten Akteur weitergeben.