Sozialtechnik

What Is Sozialtechnik?

Social Engineering umgeht jede technische Sicherheitskontrolle, indem es direkt auf die menschliche Ebene abzielt. Laut dem Data Breach Investigations Report von Verizon ist der Mensch an 68 % der Sicherheitsverletzungen beteiligt, was manipulationsbasierte Angriffe zur hartnäckigsten Bedrohung für Unternehmen macht. In dieser Simulation erhalten Sie einen Anruf von jemandem, der glaubwürdig und professionell klingt und über Details zu Ihrem Unternehmen informiert ist. Der Anrufer nutzt Vorwände, um ein glaubwürdiges Szenario aufzubauen. Sie können behaupten, vom IT-Support zu stammen, der eine Notfallprüfung durchführt, von einem Anbieter, der Kontodaten überprüfen muss, oder von einem neuen Assistenten der Geschäftsleitung, der im Namen der Führung vertrauliche Informationen bestätigt. Sie kennen Ihre Abteilung, den Namen Ihres Vorgesetzten und aktuelle Projekte bereits, alles aus öffentlichen Quellen wie LinkedIn und Pressemitteilungen des Unternehmens. Sie üben, sich zu behaupten, wenn der Anrufer den Druck erhöht, indem Sie Autorität, Gegenseitigkeit und künstliche Dringlichkeit einsetzen. Die Simulation zeigt Ihnen, wie Sie die Verifizierung über offizielle Kanäle umleiten können, ohne dass es zu einer gegnerischen Interaktion kommt. Dies ist von entscheidender Bedeutung, da echte Social Engineers davon ausgehen, dass Mitarbeiter zu höflich sind, um sich zu wehren. Sie lernen auch zu erkennen, wann ein Gespräch von der normalen Geschäftskommunikation zur Informationsgewinnung übergeht – ein Übergang, der schrittweise erfolgt und leicht zu übersehen ist, wenn Sie nicht darin geschult sind, ihn zu erkennen. Die Übung umfasst die Rückrufüberprüfung, die Out-of-Band-Authentifizierung und die spezifischen Formulierungen, die Social Engineers verwenden, um Sie davon abzuhalten, ihre Geschichte zu lesen.

What You'll Learn in Sozialtechnik

• Identifizieren Sie Vortäuschungen, Amtsmissbrauch und Dringlichkeitsmanipulation bei Live-Telefon- und persönlichen Interaktionen
• Wenden Sie eine Rückrufverifizierung und Out-of-Band-Authentifizierung an, um die Identität des Anrufers anhand offizieller Unternehmensverzeichnisse zu bestätigen
• Erkennen Sie den Übergangspunkt, an dem ein normales Geschäftsgespräch in die verdeckte Informationsbeschaffung übergeht
• Lehnen Sie Informationsanfragen entschieden und professionell ab, ohne legitime Geschäftsbeziehungen zu beschädigen
• Erklären Sie, wie Angreifer öffentlich verfügbare OSINT-Daten von LinkedIn, Pressemitteilungen und sozialen Medien nutzen, um überzeugende Vorwände zu entwickeln

Sozialtechnik — Training Steps

1. Einführung

   Es ist ein typischer Dienstagnachmittag und Alice arbeitet an einem wichtigen Projekttermin.

2. Der unerwartete Anruf

   Alices Handy klingelt unerwartet. Die Anrufer-ID zeigt „IT-Support – Intern“. Da Alice erkennt, dass dies möglicherweise von der IT-Abteilung ihres Unternehmens stammt, beschließt sie, den Anruf entgegenzunehmen.

3. Die überzeugende Einführung

   Alice ist besorgt über das potenzielle Sicherheitsproblem und möchte helfen, es schnell zu lösen.

4. Die Informationsbeschaffung

   Alice, die sich durch die Dringlichkeit unter Druck gesetzt fühlt und darauf vertraut, dass es sich hierbei um legitime IT-Unterstützung handelt, beginnt darüber nachzudenken, die angeforderten Informationen bereitzustellen.

5. Eskalation der Anfrage

   Alice hat das Gefühl, dass ihr keine andere Wahl bleibt, als dem nachzukommen, da ihr Konto möglicherweise kompromittiert ist.

6. Die bösartige Website

   Alice bemerkt, dass die Website der Anmeldeseite ihres Unternehmens ähnelt, obwohl die URL etwas nicht stimmt.

7. Der Zugriffsversuch

   Bob hat Alices Zugangsdaten erfolgreich erbeutet und versucht nun, sie dazu zu bringen, als Sicherheitstool getarnte Malware herunterzuladen.

8. Überprüfen der E-Mail

   Nach dem Anruf öffnet Alice ihren E-Mail-Client, um nach der versprochenen Nachricht zu suchen. In ihrem Posteingang entdeckt sie eine E-Mail von „IT-Support“ mit der Betreffzeile „Dringend: Sicherheitsdiagnosetool“.

9. Die Erkenntnis

   Als Alice den Hörer auflegt, kommen Erinnerungen an die jüngste Cybersicherheitsschulung des Unternehmens hoch. Sie erinnert sich, dass der Dozent ausdrücklich vor Angreifern gewarnt hat, die sich als IT-Support ausgeben, falsche Dringlichkeit erzeugen und versuchen, Mitarbeiter zum Herunterladen schädlicher Software zu bewegen.

10. Sofortige Sicherheitsreaktion

    Alice ergreift sofort Maßnahmen, um den potenziellen Schaden durch den Angriff zu minimieren. Sie weiß, dass sie ihre Zugangsdaten bereits für die bösartige Website angegeben hat, was bedeutet, dass ihr Konto kompromittiert werden könnte. Beim erneuten Blick auf den Browser fällt ihr auf, dass die URL HTTP statt HTTPS verwendet – ein klares Warnsignal, das ihr unter Druck entgangen ist. Sie notiert sich außerdem alle Informationen, die sie während des Anrufs angegeben hat: ihre Mitarbeiter-ID, die letzten vier Ziffern ihrer SSN und ihre Anmeldedaten.