KI-generiertes Phishing

Was ist KI-generiertes Phishing?

Phishing-Nachrichten werden heute aus Informationen erstellt, die Ihr Unternehmen selbst veröffentlicht. Sie enthalten keine Rechtschreibfehler, nennen das richtige Projekt und verwenden sogar die Grußformel Ihres Vorgesetzten. In dieser Übung sehen Sie, wie aus zwei öffentlichen Seiten eine Kampagne entsteht, die Sie anschließend selbst per E-Mail und SMS erhalten. Sie lernen, die Aufforderung statt des Schreibstils zu beurteilen, über einen Ihnen bereits bekannten Kanal nachzufragen und auch den Teil zu melden, den Ihr Mail-Client nicht sehen kann.

Was Sie lernen in KI-generiertes Phishing

• Erkennen Sie, dass Rechtschreibung, Grammatik und ein vertrauter Ton nicht mehr als Beweis für die Echtheit einer Nachricht gelten, da der generierte Text standardmäßig flüssig ist
• Erkennen Sie, was ein Angreifer aus gewöhnlichen öffentlichen Seiten erstellen kann: Ein Teamverzeichnis verrät das Adressmuster und die Hierarchie; ein Abteilungsbeitrag liefert den Projektnamen, den Termin und die Grußformel.
• Behandeln Sie dieselbe Anfrage auf einem zweiten Kanal als weitere Nachricht desselben unbekannten Absenders, nicht als Bestätigung der ersten Nachricht.
• Prüfen Sie die Anfrage über einen Ihnen bereits bekannten Weg, etwa eine gespeicherte Telefonnummer oder den Teamchat – niemals über Kontaktdaten aus der Nachricht.
• Lesen Sie die Absenderadresse statt des Anzeigenamens. Ein gültiges Zertifikat auf einer täuschend ähnlichen Domain belegt nur, dass jemand diese Domain kontrolliert – sonst nichts.
• Melden Sie eine verdächtige Nachricht, auch wenn Sie nicht darauf geklickt haben, und melden Sie die Kanäle, die Ihr E-Mail-Client nie sieht, z. B. eine SMS oder einen Anruf

KI-generiertes Phishing — Trainingsschritte

1. Eine fremde Teamseite

   Bob hat es auf Ilverstone Logistics abgesehen, einen Spediteur mit einem Lieferantenportal, in dem sich das Operations-Team täglich anmeldet. Er scannt keine Systeme und dringt in keines ein. Er beginnt mit den Informationen, die das Unternehmen selbst veröffentlicht hat.

2. Sechsundvierzig Namen und ein Muster

   Das Verzeichnis hilft Spediteuren und Lieferanten, die richtige Ansprechperson zu finden. Zugleich verrät es einem Fremden, wer zum gesamten Team gehört.

3. Wie er schreibt

   Daniel Okafor veröffentlicht an den meisten Donnerstagen ein Abteilungs-Update. Der neueste Beitrag ist auf seiner eigenen Teamseite verlinkt.

4. Project Lantern und Daniels Grußformel

   Vierhundert Wörter mit internen Einzelheiten, veröffentlicht, weil sie für Kunden und Spediteure wirklich nützlich sind. Bob liest den Beitrag wie eine genaue Anleitung.

5. Das Studio

   Bob schreibt den Köder nicht selbst. Er mietet einen Dienst, der die Texte erstellt. Abgerechnet wird pro Kampagne; Versandliste und Collector sind bereits integriert.

6. Zweiten Kanal hinzufügen

   Eine E-Mail allein wird oft gelesen und ignoriert. Eine SMS von einer anderen Nummer, die eine halbe Stunde später zum selben Thema eintrifft, lässt die E-Mail scheinbar bestätigt wirken.

7. Das Profil eingeben

   Alles, was das Briefing braucht, stammt von zwei öffentlichen Seiten. Die Informationen zusammenzutragen dauert nicht länger, als diesen Schritt zu lesen.

8. Den generierten Text lesen

   Es dauert etwa vier Sekunden. Fehlerhaftes Englisch fällt hier nicht auf: Der Text wurde nicht von jemandem unter Zeitdruck in einer Zweitsprache geschrieben.

9. Kampagne starten

   92 Nachrichten an 46 Personen über zwei Kanäle, versendet von einer Domain, die erst gestern registriert wurde. Bob hat die ganze Kampagne in etwa 20 Minuten vorbereitet.

10. Alle Nachrichten zugestellt

    Keine Nachricht kam unzustellbar zurück und keine wurde herausgefiltert. Die Absenderdomain hat keinerlei Vorgeschichte; deshalb liegt bei keinem Reputationsfilter etwas Negatives über sie vor.