Betrug mit Kalendereinladungen

Was ist Betrug mit Kalendereinladungen?

Phishing über Kalendereinladungen ist für Angreifer besonders ergiebig, weil es zwei vermeintliche Schutzmechanismen umgeht. Der erste ist das E-Mail-Sicherheits-Gateway: Viele Kalenderprotokolle stellen Einladungen über einen separaten Kanal zu, den das Gateway nicht prüft. Eine schädliche Teilnahme-URL in der Einladung erreicht Sie deshalb ungefiltert. Der zweite ist die menschliche Vorsicht: Ein Termin, der bereits im Kalender steht, wirkt vorab geprüft – insbesondere dann, wenn eine Richtlinie zur automatischen Annahme externe Einladungen ohne Rückfrage in den Kalender einträgt und niemand die Absenderadresse kontrolliert. Angreifer nutzen beide Lücken mit einer professionell gestalteten ICS-Datei von einer Lookalike-Domain, die sich von der echten Anbieterdomain nur um einen Buchstaben unterscheidet. Eine kurzfristige Erinnerung soll jede Überprüfung unterbinden; der Teilnahmelink führt auf eine Seite, die wie eine echte Meeting-Plattform aussieht und Zugangsdaten abgreift. Der zuverlässigste Schutz beruht auf einem festen Verfahren und nicht auf dem äußeren Eindruck: Lesen Sie die tatsächliche E-Mail-Adresse des Organisators statt nur den Anzeigenamen, vergleichen Sie die Teilnahme-URL mit den echten Domains der Meeting-Plattform (zoom.us, teams.microsoft.com oder die Plattform Ihres Unternehmens) und bestätigen Sie das Meeting vor dem Klick auf „Teilnehmen“ über eine bereits bekannte, vertrauenswürdige Telefonnummer. In dieser Simulation sind Sie Alice, Vendor Compliance Analyst bei CypherPeak Technologies. Eine Überprüfung der Anbieter-Compliance für das erste Quartal von einem vertrauten Partner wird automatisch in Ihren Kalender eingetragen. Fünf Minuten vor Beginn erscheint eine Erinnerung; der Teilnahmelink verweist über HTTP auf eine unbekannte Meeting-Domain. Sie prüfen die Adresse des Organisators, erkennen die Lookalike-Domain, rufen Ihren echten Ansprechpartner beim Anbieter über einen unabhängigen Kanal zurück, löschen den schädlichen Termin und melden sich beim Sicherheitsportal an, um einen strukturierten Vorfallbericht einzureichen. Anschließend prüfen Sie die Bestätigung und die Erkennungsunterweisung des SOC-Teams und gehen die Prüfgewohnheiten durch, die auch der Rest Ihres Teams übernehmen sollte. Die Übung zeigt, warum ein vertrauter Anzeigename nichts über den tatsächlichen Absender beweist, warum eine Meeting-Plattform, die Ihr Unternehmenspasswort verlangt, Zugangsdaten abgreifen will und kein echtes Meeting bereitstellt, und warum die schnelle Meldung eines Beinahevorfalls aus einer einzelnen abgewiesenen Einladung eine unternehmensweite Sperre am E-Mail-Gateway und DNS-Resolver macht.

Was Sie lernen in Betrug mit Kalendereinladungen

• Erkennen Sie, wie Richtlinien zur automatischen Kalenderannahme das E-Mail-Sicherheits-Gateway umgehen, indem sie Einladungen über ein Protokoll übermitteln, das das Gateway nicht überprüft
• Lesen Sie die tatsächliche E-Mail-Adresse des Veranstalters und nicht den Anzeigenamen, um Ein-Buchstaben- oder unterschiedliche TLD-Lookalikes echter Anbieter-Domains zu erkennen
• Überprüfen Sie die Beitritts-URL bei jeder Einladung und verweigern Sie die Eingabe von Zugangsdaten für jede Domäne, die keine bekannte Meeting-Plattform ist (zoom.us, teams.microsoft.com oder Ihre eigene Unternehmensplattform).
• Behandeln Sie knappe Zeitvorgaben in letzter Minute und Forderungen nach einem sofortigen Beitritt als Social-Engineering-Druck, der darauf abzielt, die Überprüfung zu umgehen
• Überprüfen Sie verdächtige Besprechungseinladungen außerhalb des Bandes anhand einer Telefonnummer, eines Chats oder eines Verzeichniseintrags, der vor dem Eintreffen der verdächtigen Anfrage authentifiziert wurde – niemals anhand der Kontaktinformationen in der Einladung
• Einen bestätigt bösartigen Kalendertermin als Beweismittel sichern und zuerst dem SOC melden; erst entfernen, wenn das Sicherheitsteam die Adresse des Organisators, die Teilnahme-URL und die Zeitstempel hat
• Reichen Sie einen strukturierten Vorfallbericht ein, der die gefälschte Organisatoradresse, die gefälschte Beitritts-URL und den Erkennungsbericht erfasst, damit das SOC das E-Mail-Gateway und den DNS-Resolver blockieren und nach parallelen Versuchen suchen kann

Betrug mit Kalendereinladungen — Trainingsschritte

1. Ein ruhiger Dienstag zu Hause

   Es ist ein ruhiger Dienstagmorgen. Alice beendet ihre Lieferanten-Scorecards von ihrem Schreibtisch zu Hause aus. Bei ihrem üblichen vierteljährlichen Compliance-Partner, der Halcyon Insurance Group, steht eine Überprüfung erst im April an – der Tag fühlt sich also wie Routine an.

2. Eine unerwartete Erinnerung

   In der Taskleiste wird eine Besprechungserinnerung eingeblendet: Q1 Vendor Compliance Review – beginnt in 5 Minuten . Moderiert von jemandem namens Marco Reyes von der Halcyon Insurance Group. Alice hat diese Einladung nie angenommen – sie wurde aufgrund der Unternehmensrichtlinien automatisch zu ihrem Kalender hinzugefügt.

3. Untersuchen Sie das Treffen

   Die Q1 Vendor Compliance Review steht heute ganz oben auf der Tagesordnung und ist mit Extern und Automatisch akzeptiert gekennzeichnet. Die Schaltfläche „Meeting beitreten“ ist nur einen Klick entfernt.

4. Pause vor dem Klick

   Die Uhr steht auf 2:27. In der Erinnerung steht, dass die Besprechung in drei Minuten beginnt. Instinktiv klickt Alice auf „An Besprechung teilnehmen“ – der Kalender hat sie bereits akzeptiert, der Name des Organisators stimmt mit einem echten Partner überein und die Anfrage sieht routinemäßig aus. Ein Kalendereintrag ist jedoch nicht dasselbe wie eine verifizierte Einladung. Was ist der sicherste Schritt, bevor Sie auf „Beitreten“ klicken?

5. Lesen Sie die Adresse und den Link

   Alice wird langsamer und liest die Teile der Einladung, die sie normalerweise überspringt – die E-Mail des Organisators und die Beitritts-URL. Anzeigenamen sind Dekoration. Die Adresse ist die Wahrheit.

6. Überprüfen Sie dies beim Anbieter

   Alice greift zum Telefon und ruft Sarah Donovan, ihre übliche Kontaktperson bei Halcyon, unter der Nebenstelle an, die sie sich seit zwei Jahren gemerkt hat. Nicht die Nummer auf der Einladung. Nicht die E-Mail. Ein Kanal, der authentifiziert wurde, bevor irgendetwas davon begann.

7. Öffnen Sie das Sicherheitsportal

   Sarah bestätigt, was Alice bereits vermutet hatte. Es gibt keinen Marco Reyes bei Halcyon. Es ist kein Q1-Review angesetzt. Die Einladung ist bösartig, und der Teilnahmelink ist ein als Meeting-Plattform getarnter Diebstahl von Zugangsdaten. Alice lässt den Termin genau dort, wo er ist. Er ist jetzt ein Beweismittel, und das SOC benötigt die Adresse des Organisators, die Teilnahme-URL und die Zustellungszeitstempel direkt aus der Einladung. Die Meldung kommt zuerst; der Termin kann entfernt werden, sobald das Sicherheitsteam die Details hat.

8. Melden Sie sich beim Portal an

   Alice meldet sich mit ihren gespeicherten Zugangsdaten beim Sicherheitsportal an.

9. Reichen Sie den Vorfallbericht ein

   Alice reicht den Bericht zunächst mit den Details ein, die das SOC benötigt: der gefälschten Organisatoradresse, der verdächtigen Beitritts-URL und einer kurzen Beschreibung, was passiert ist und wie sie darauf aufmerksam geworden ist.

10. Was den Bericht nützlich macht

    Das Portal gibt Alices Einreichung zurück, sodass sie sie überprüfen kann, bevor der SOC-Analyst sie aufnimmt. Drei Abschnitte erledigen den größten Teil der Arbeit des SOC für sie: der gefälschte Organisator, die gefälschte Beitritts-URL und die Beschreibung, wie Alice den Versuch entdeckt und eingedämmt hat.