Social Engineering

Was ist Social Engineering?

Keine Firewall prüft einen Telefonanruf. Ein Anrufer, der sich als IT-Support ausgibt, sagt, Ihr Konto werde angegriffen, und fragt dann nach Ihrer Mitarbeiter-ID, den letzten Ziffern Ihrer Sozialversicherungsnummer und Ihrem Passwort auf einem „Notfall“-Portal, bevor er Ihnen ein Diagnosetool per E-Mail schickt. Sie beobachten, wie jede Anfrage eskaliert, erkennen den Moment zum Aufhören, lehnen den Anhang ab und legen auf, um die Anfrage über die offizielle IT zu überprüfen, und begrenzen dann den Schaden: E-Mail melden, Passwort ändern, 2FA aktivieren und ein Ticket erstellen.

Was Sie lernen in Social Engineering

• Identifizieren Sie Pretexting, vorgetäuschte Autorität und Dringlichkeitsmanipulation bei Live-Telefon- und persönlichen Interaktionen
• Wenden Sie eine Rückrufverifizierung und Out-of-Band-Authentifizierung an, um die Identität des Anrufers anhand offizieller Unternehmensverzeichnisse zu bestätigen
• Erkennen Sie den Übergangspunkt, an dem ein normales Geschäftsgespräch in die verdeckte Informationsbeschaffung übergeht
• Lehnen Sie Informationsanfragen entschieden und professionell ab, ohne legitime Geschäftsbeziehungen zu beschädigen
• Erklären Sie, wie Angreifer öffentlich verfügbare OSINT-Daten von LinkedIn, Pressemitteilungen und sozialen Medien nutzen, um überzeugende Vorwände zu entwickeln

Social Engineering — Trainingsschritte

1. Einführung

   Es ist ein typischer Dienstagnachmittag und Alice arbeitet an einem wichtigen Projekttermin.

2. Der unerwartete Anruf

   Alices Handy klingelt unerwartet. Die Anrufer-ID zeigt „IT-Support – Intern“. Da Alice erkennt, dass dies möglicherweise von der IT-Abteilung ihres Unternehmens stammt, beschließt sie, den Anruf entgegenzunehmen.

3. Die überzeugende Einführung

   Alice ist besorgt über das potenzielle Sicherheitsproblem und möchte helfen, es schnell zu lösen.

4. Die Informationsbeschaffung

   Alice, die sich durch die Dringlichkeit unter Druck gesetzt fühlt und darauf vertraut, dass es sich hierbei um legitime IT-Unterstützung handelt, beginnt darüber nachzudenken, die angeforderten Informationen bereitzustellen.

5. Eskalation der Anfrage

   Alice hat das Gefühl, dass ihr keine andere Wahl bleibt, als dem nachzukommen, da ihr Konto möglicherweise kompromittiert ist.

6. Die bösartige Website

   Alice bemerkt, dass die Website der Anmeldeseite ihres Unternehmens ähnelt, obwohl die URL etwas nicht stimmt.

7. Der Zugriffsversuch

   Bob hat Alices Zugangsdaten erfolgreich erbeutet und versucht nun, sie dazu zu bringen, als Sicherheitstool getarnte Malware herunterzuladen.

8. Überprüfen der E-Mail

   Nach dem Anruf öffnet Alice ihren E-Mail-Client, um nach der versprochenen Nachricht zu suchen. In ihrem Posteingang entdeckt sie eine E-Mail von „IT-Support“ mit der Betreffzeile „Dringend: Sicherheitsdiagnosetool“.

9. Die Erkenntnis

   Als Alice den Hörer auflegt, kommen Erinnerungen an die jüngste Cybersicherheitsschulung des Unternehmens hoch. Sie erinnert sich, dass der Dozent ausdrücklich vor Angreifern gewarnt hat, die sich als IT-Support ausgeben, falsche Dringlichkeit erzeugen und versuchen, Mitarbeiter zum Herunterladen schädlicher Software zu bewegen.

10. Sofortige Sicherheitsreaktion

    Alice ergreift sofort Maßnahmen, um den potenziellen Schaden durch den Angriff zu minimieren. Sie weiß, dass sie ihre Zugangsdaten bereits für die bösartige Website angegeben hat, was bedeutet, dass ihr Konto kompromittiert werden könnte. Beim erneuten Blick auf den Browser fällt ihr auf, dass die URL HTTP statt HTTPS verwendet – ein klares Warnsignal, das ihr unter Druck entgangen ist. Sie notiert sich außerdem alle Informationen, die sie während des Anrufs angegeben hat: ihre Mitarbeiter-ID, die letzten vier Ziffern ihrer Sozialversicherungsnummer und ihre Zugangsdaten.