Der Faktor Mensch in der Cybersicherheit

Laut der aktuellen Studie "Der Faktor Mensch" des Security-Anbieters Proofpoint waren betrügerische E-Mails mit einem Bezug zu Dropbox im letzten Jahr der beste Köder bei Phishing-Attacken. [...]

Die E-Mail ist für Angreifer nach wie vor der bevorzugte Angriffsvektor. (c) Foto.ia/rimom
Die E-Mail ist für Angreifer nach wie vor der bevorzugte Angriffsvektor. (c) Foto.ia/rimom

Der Security-Anbieter Proofpoint hat die neue Untersuchung „Der Faktor Mensch“ vorgestellt, die detailliert aufgezeigt, wie Cyberkriminelle aktiv versuchen, den Menschen anstelle von technischen Sicherheitslücken auszunutzen, um monetäre Gewinne zu generieren oder Informationen zum Zwecke der Spionage beziehungsweise für zukünftige Angriffe zu stehlen. Der Bericht basiert auf der Analyse von bereits erfolgten Angriffsversuchen bei mehr als 6.000 Unternehmenskunden weltweit im letzten Jahr. Daraus lassen sich aktuelle Angriffstrends ableiten, die derzeit die Sicherheit bei der Nutzung von E-Mail, Cloud-Anwendungen und sozialen Medien gefährden.

„Cyberkriminelle finden immer wieder neue Wege, um unsere natürliche Neugierde, Hilfsbereitschaft oder unseren Zeitdruck auszunutzen, um uns zum Klicken zu bewegen“, sagt Werner Thalmeier, Senior Director Systems Engineering EMEA bei Proofpoint. „Unsere Untersuchungen belegen, dass es keine Alternative dazu gibt, Bedrohungen zu stoppen, bevor sie die Benutzer via E-Mail, Cloud-Anwendungen oder soziale Netzwerke erreichen. Je weniger potenziell gefährliche Inhalte den Nutzer erreichen, desto geringer ist das Risiko für Unternehmen, einen Verlust vertraulicher Daten, eine Betriebsunterbrechung oder einen direkten finanziellen Schaden zu erleiden.“

„Der Faktor Mensch 2018“: Die Ergebnisse im Überblick

  • So genannte Advanced persistent threats (fortgeschrittene, andauernde Bedrohungen – APTs) sind im Falle von Regierungsorganisationen und der Rüstungsindustrie (40 Prozent aller dokumentierten Angriffsversuche) weitaus wahrscheinlicher – kein Industriezweig war jedoch davon ausgenommen.
  • Die E-Mail ist für Angreifer nach wie vor der bevorzugte Angriffsvektor.
  • Betrügerische E-Mails mit einem Bezug zu Dropbox waren im letzten Jahr der beste Köder bei Phishing-Attacken – mit mehr als doppelt so vielen E-Mails wie der an zweiter Stelle folgende Köder. Bei der Häufigkeit der geklickten Mails (Klickrate) übertraf ein Begriff dennoch alle anderen: E-Mails mit einem Bezug zu DocuSign erhielten die höchsten Klickraten aller Phishing-Mails.
  • Mehr als 80 Prozent der bösartigen E-Mails verteilten Ransomware und Banktrojaner. Dadurch gehören diese Schadsoftware-Kategorien zu den am weitest verbreiteten Malware-Familien. Mehr als 30 Prozent aller gefährlichen E-Mails in Europa, Japan und Australien enthielten Banktrojaner. Inhalte von E-Mails wurden darüber hinaus im Vergleich aller untersuchten Regionen in Japan am häufigsten heruntergeladen.
  • Ungefähr 80 Prozent der Unternehmen waren mit Angriffsversuchen mit der so genannten CEO-Betrugsmasche (Business Email Compromise – BEC) konfrontiert. Die Zahl betrügerischer E-Mails, die einen Bezug zu Rechtsberatung oder -praktiken in der Betreffzeile aufwiesen, stieg im Jahresvergleich um 1.850 Prozent.

E-Mail-Angriffe: Diese Branchen sind am stärksten gefährdet

  • In den Bereichen Bildung, Unternehmensberatung sowie Medien und Unterhaltung gab es mit durchschnittlich mehr als 250 Angriffen pro Unternehmen im Vergleich die meisten E-Mail-Betrugsversuche. Die durchschnittliche Anzahl von Angriffen pro Unternehmen war im Bildungswesen fast viermal so hoch wie im Schnitt aller Branchen. Das entspricht einem Plus von 120 Prozent im Vergleich zum Vorjahr.
  • Während Unternehmen aus den Bereichen Konstruktion, Fertigung und Technologie die am häufigsten von Phishing bedrohten Branchen waren, war das produzierende Gewerbe, das Gesundheitswesen und Technologiefirmen die Hauptziele von Crimeware, die darauf abzielt, Identitäten zu stehlen und daraus finanziellen Profit zu ziehen.

Krypto-Währungs-Botnets, Cloud-Anwendungen, betrügerische Domains und Social-Media-Angriffe

  • Zwischen September und November 2017 stieg der Netzwerk-Traffic von Krypto-Währungs-Botnets um fast 90 Prozent an (entsprechend der Entwicklung der Bitcoin-Bewertungen).
  • 60 Prozent der Nutzer von Cloud-Services hatten kein sicheres Passwort oder verwendeten keine Multi-Faktor-Authentifizierung.
  • Im Falle großer Unternehmen kann die Anzahl der mutmaßlich für betrügerische Aktivitäten registrierten Domains die Anzahl der tatsächlichen Marken-Domains um den Faktor 20 übersteigen. Das hat zur Folge, dass potenzielle Opfer von Phishing-Angriffen dazu neigen, Tippfehler in der URL und verdächtige Domains mit ihren legitimen Pendants zu verwechseln.
  • Betrug auf sozialen Netzwerken hat meist das Ziel, legitime Kundenanfragen für kriminelle Zwecke abzufangen. Dabei zielen 55 Prozent der Attacken auf Kunden von Finanzdienstleistern ab.

Mehr Artikel

Achim Wenning, Partner und Leiter des Beratungsbereichs CFO-Strategy & Organization bei Horváth & Partners (c) Horváth & Partners
News

Horváth-Studie: CFOs kommen bei Digitalisierung nur mühsam voran

Zwar haben viele CFOs durch die Corona-Pandemie erkannt, dass die Digitalisierung bei der Bewältigung der Krise hilfreich sein kann, dennoch werden Effizienzpotenziale aber meist unzureichend gehoben, da die Projekte zu häufig auf unteren Entwicklungsstufen verharren. Das sind Ergebnisse der CFO-Studie 2020 der Managementberatung Horváth & Partners, für die 200 Finanzentscheider befragt wurden. […]

News

Treueprogramme von Einzelhändlern vermehrt im Visier von Kriminellen

Treueprogramme stehen bei Cyberkriminellen hoch im Kurs: Kunden-Identitäten können darüber leicht gestohlen und gehandelt werden. Besonders betroffen sind der Einzelhandel, das Hotel- und Gaststättengewerbe und die Reisebranche. Sie wurden in den vergangenen zwei Jahren mit über 63 Milliarden Credential-Stuffing-Attacken und vier Milliarden Angriffen auf Webanwendungen konfrontiert. […]

Be the first to comment

Leave a Reply

Your email address will not be published.


*