Phishing

Was ist Phishing?

Phishing zielt auf Menschen statt auf Software und ist deshalb weiterhin der häufigste Weg, auf dem Angreifer erstmals Zugang erlangen. Im Homeoffice erhalten Sie eine dringende IT-E-Mail, die zu einer täuschend ähnlichen Anmeldeseite führt, und sehen, wie aus einem Satz gestohlener Zugangsdaten eine betrügerische Zahlung wird. Anschließend verfolgen Sie die übersehenen Warnsignale zurück, melden die E-Mail und den Vorfall, ändern Ihr Passwort und aktivieren die Zwei-Faktor-Authentifizierung.

Was Sie lernen in Phishing

• Erkennen Sie abweichende URLs, gefälschte Absenderadressen und nachgeahmte Domains in E-Mail-Headern
• Erkennen Sie Taktiken zur emotionalen Manipulation, einschließlich vorgetäuschter Dringlichkeit, dem Vortäuschen von Autorität und angsterzeugender Sprache
• Melden Sie verdächtige E-Mails über die festgelegten Sicherheitskanäle Ihres Unternehmens, ohne mit schädlichen Inhalten zu interagieren
• Erklären Sie, wie einzelne kompromittierte Zugangsdaten zu Kontoübernahme, Lateral Movement und Datenexfiltration führen
• Unterscheiden Sie mithilfe einer wiederholt anwendbaren Prüfliste zwischen legitimer Geschäftskommunikation und durch Social Engineering gestalteten Phishing-Versuchen

Phishing — Trainingsschritte

1. Einführung

   Heute erfahren Sie mehr über Phishing-Angriffe und wie Sie sich und das Unternehmen davor schützen können.

2. E-Mail-Benachrichtigung

   Während sie von zu Hause aus arbeitet, erhält Alice eine neue E-Mail-Benachrichtigung mit dem Titel „Dringend: Aktualisieren Sie Ihre Sicherheitsfragen“. Neugierig geworden, öffnet sie ihren Posteingang.

3. Die E-Mail lesen

   Alice öffnet die E-Mail, in der sie aufgefordert wird, ihre Sicherheitsfragen über das Mitarbeiterportal zu aktualisieren. Der professionelle Ton und die Dringlichkeit der E-Mail könnten sie zum schnellen Handeln drängen. Alice hält den Absender für vertrauenswürdig und beschließt, den Anweisungen der E-Mail zu folgen.

4. Zugangsdaten eingeben

   Auf der Anmeldeseite werden Alices Firmenbenutzername und Passwort abgefragt, um mit der Aktualisierung ihrer Sicherheitsfragen fortfahren zu können. Die Ähnlichkeit der Seite mit dem legitimen Mitarbeiterportal lässt sie leicht davon ausgehen, dass die Anmeldung sicher ist. Deshalb gibt Alice ihre Zugangsdaten ohne weitere Prüfung ein.

5. Fehlermeldung

   Nach dem „Anmelden“ zeigte der Webbrowser ein Fehlerfenster anstelle von Alices Konto-Dashboard an, und Alice war beunruhigt.

6. E-Mail-Benachrichtigungen

   Alice erhält kurz darauf zwei neue E-Mails und beginnt, sie zu lesen.

7. Bobs böswillige Handlungen

   Ohne dass Alice es weiß, erhält Bob Zugriff auf ihre Zugangsdaten und nutzt ihr Konto. Er greift auf das Finanzsystem des Unternehmens zu und veranlasst eine betrügerische Überweisung von 10.000 US-Dollar an den Scheindienstleister „Shadow Corp“. Außerdem lädt er vertrauliche Dateien aus ihrem Konto herunter, darunter Lieferantenverträge und Zahlungsdetails.

8. Phishing-E-Mail melden

   Um den Schaden zu begrenzen, beschließt Alice, die in der E-Mail der IT-Abteilung vorgeschlagenen Schritte zu befolgen. Zunächst nutzt sie ihr E-Mail-Programm, um die betrügerische E-Mail zu melden.

9. Beim Webportal anmelden

   Alice öffnet ihren Webbrowser und geht zum unternehmensinternen Portal zur Meldung von Sicherheitsvorfällen.

10. Den Vorfall melden

    Nachdem sie sich beim internen IT-Ticketsystem angemeldet hat, füllt Alice ein Ticketformular aus, in dem sie die verdächtige E-Mail und die nicht autorisierte Transaktion genau beschreibt.