Vishing

Was ist Vishing?

Die Anrufer-ID lässt sich fälschen und eine Stimme lässt sich klonen, sodass beides nicht beweist, wer anruft. Sie nehmen einen Anruf von einem Kollegen entgegen, der genau richtig klingt, auf seiner gewohnten Durchwahl anruft und Sie bittet, vertrauliche Details zu einem Kundenprojekt für ein dringendes Meeting vorzulesen. Während er noch in der Leitung ist, trifft eine Phishing-E-Mail von einer täuschend ähnlichen Domain ein. Sie sehen, was der Druck kostet, testen den Anrufer mit einer Frage, die nur der echte Kollege beantworten könnte, und melden den Vorfall.

Was Sie lernen in Vishing

• Erkennen Sie Anrufer-ID-Spoofing und verstehen Sie, warum angezeigte Telefonnummern nicht als Identitätsprüfung vertrauenswürdig sind
• Wenden Sie die Rückrufüberprüfung anhand offizieller Unternehmensverzeichnisse an und nicht anhand der vom Anrufer angegebenen Telefonnummern
• Identifizieren Sie die Drucktaktiken in Gesprächen, die Vishing-Angreifer anwenden, einschließlich zunehmender Dringlichkeit, vorgetäuschter Autorität und Fachjargon
• Weigern Sie sich, bei einem eingehenden Anruf vertrauliche Daten vorzulesen oder Zugangsdaten weiterzugeben, unabhängig von der angegebenen Begründung
• Unterscheiden Sie zwischen durchsetzungsfähiger Identitätsüberprüfung und konfrontativem Verhalten, um bei verdächtigen Anrufen die Professionalität zu wahren

Vishing — Trainingsschritte

1. Einführung

   Dieses Training simuliert einen realen Vishing-Angriff, bei dem ein Angreifer einen KI-generierten Sprachfilter verwendet, um sich als vertrauenswürdiger Kollege auszugeben. Es ist ein geschäftiger Dienstagnachmittag, als Alices Telefon klingelt. Die Anrufer-ID lautet „Mike Stevens – Durchwahl 4247“. Alice kennt Mike; er ist ein wirklich freundlicher Typ aus dem Infrastrukturteam. Sie erkennt dies als Mikes übliche Nummer und nimmt den Anruf umgehend entgegen.

2. Der unerwartete Anruf

   Ohne dass Alice davon wusste, recherchierte Bob seit Wochen über Pembrant Engineering und deren Kunden Carrowdene. Er sammelte Informationen über die Unternehmensstruktur, Mitarbeiternamen und interne Systeme über Social-Media-Profile, LinkedIn und die Unternehmenswebsite. Bob hat außerdem Aufnahmen von Mikes Stimme aus öffentlich zugänglichen Konferenzpräsentationen und Firmen-Webinaren erhalten. Mithilfe fortschrittlicher KI-Software zum Klonen von Stimmen hat er eine überzeugende Nachbildung von Mikes Stimme erstellt und die Anrufer-ID gefälscht, um Mikes interne Durchwahl anzuzeigen.

3. Die überzeugende Einführung

   Die Stimme am Telefon klingt genau wie Mike – der gleiche Ton, die gleichen Sprachmuster und sogar sein charakteristischer leichter Bostoner Akzent. Alles dank GenAI-Technologien und einem großen Datensatz von Mikes öffentlichen Vortragsaufzeichnungen.

4. Dringlichkeit schaffen

   Bob verdeutlicht Dringlichkeit und Autorität, indem er einen kranken Kollegen und ein wichtiges Kundentreffen erwähnt.

5. Die Informationsanfrage

   Alice spürt den Druck der Notlage und möchte einem Kollegen in Not helfen.

6. Öffnen der Dateien

   Alice öffnet das Firmenportal und versucht, auf sensible Daten zuzugreifen.

7. Weitergabe sensibler Informationen

   Alice beginnt, die sensiblen Informationen am Telefon vorzulesen. Dies ist durch die Unternehmensregeln streng verboten, aber die Anfrage scheint dringend zu sein und Mike hat aufgrund eines VPN-Problems keinen Zugriff auf Unternehmensressourcen.

8. Ein großer Fehler

   Alice hat nun streng vertrauliche NDA-geschützte Informationen weitergegeben, darunter proprietäre Verschlüsselungsdetails, Disaster-Recovery-Standorte und interne Sicherheitsprotokolle.

9. Die verdächtige E-Mail

   Bob sieht, dass sein Angriff erfolgreich ist und versucht, ihn zu eskalieren, indem er Alice eine Phishing-E-Mail sendet.

10. Eintreffen der zwielichtigen E-Mail

    Alice erhält eine E-Mail, die offenbar von Mike Stevens stammt.