Die gruselige Jahreszeit ist da. Doch während wir fleißig Kürbisse schnitzen, Hexenhüte aufsetzen und im Dunkeln leuchtende Skelette aufhängen, lauert etwas weit Bedrohlicheres im Schatten: die gefürchtete Phishing-Mail.
Cyberkriminelle machen zu keiner Jahreszeit eine Pause davon, Postfächer von Verbrauchern mit gefälschten E-Mails zu überschwemmen, und sie werden die gruselige Feiertagsstimmung und den Anstieg der Halloween-Verkäufe wahrscheinlich als weitere Gelegenheit nutzen, um ahnungslose Opfer mit Phishing-Betrug zu überziehen.
Damit Sie diesen Halloween gruseligen Betrugsszenarien entgehen und Ihre persönlichen Daten, Ihr Bankkonto, Ihre Kreditkarte und Ihre Hardware sicher halten, finden Sie hier einige Tipps, worauf Sie bei Phishing-Mails an diesem Allerheiligenabend nicht hereinfallen sollten.
Cyberkriminelle können überzeugende Kostüme tragen
Jeder weiß, dass schlecht nachgeahmte Domains (z. B. face-bo0k.com) verdächtig sind, aber eine E-Mail, die von einer Adresse kommt, die genau der Domain eines Unternehmens entspricht, ist immer sicher, oder? Falsch.
Exakte Domain-Impersonation – wenn ein Krimineller die Domain eines Unternehmens fälscht und gefälschte E-Mails im Namen dieses Unternehmens versendet – macht einen erschreckend großen Anteil erfolgreicher Phishing-Angriffe aus. Und Unternehmen sind diesem kriminellen Verkleidungsspiel schutzlos ausgesetzt, sofern sie keine starke DMARC-Richtlinie eingerichtet haben. Vollständig konfiguriert ist DMARC (Domain-Based Message Authentication, Reporting, & Conformance) das einzige E-Mail-Authentifizierungsprotokoll, das exakte Domain-Impersonation verhindert.
Doch erschreckenderweise waren im Mai 2021 nur 6 % der weltweit führenden Einzelhändler vollständig DMARC-konform, was bedeutet, dass die verbleibenden 94 % jederzeit imitiert werden könnten und eine Phishing-Mail von ihrer Domain sich schon bald ihren Weg in Ihr Postfach bahnen könnte.
Gehen Sie also nicht davon aus, dass eine E-Mail nur deshalb legitim ist, weil sie von der exakten Domain eines Unternehmens stammt. Wenn Sie unsicher sind, sollten Sie die E-Mail am besten Ihrem Sicherheitsteam melden. Sie können auch hier überprüfen, ob ein Unternehmen DMARC-konform ist.
Und falls Sie sich Sorgen machen, dass Ihre persönliche E-Mail-Adresse imitiert werden könnte, müssen Sie das nicht. DMARC wurde von den meisten E-Mail-Anbietern (einschließlich Google, Yahoo und Microsoft) breit eingeführt, sodass die Mehrheit der weltweiten Verbraucher-Postfächer geschützt ist.
Vorsicht! Klicken Sie nicht auf verdächtige Links oder Anhänge
Was Ratschläge zum Erkennen von Phishing-Mails angeht, ist dies ein alter, aber bewährter Tipp. Phishing-Angriffe werden immer ausgefeilter, wobei viele Betrüger auf „Social Engineering“ und „Spear Phishing“ setzen, um Opfer zum Anbeißen zu bewegen. Aber die meisten Phishing-Mails nutzen weiterhin einen gefälschten Link oder eine schädliche Datei, um Zugang zu privaten Informationen oder Geld zu erhalten. Im Zweifel: nicht klicken, und die E-Mail sofort Ihrem Sicherheitsteam melden. Handelt es sich um eine E-Mail an Ihre private Adresse, versuchen Sie, die in der E-Mail geteilten Informationen auf anderem Wege zu finden, zum Beispiel indem Sie direkt zur Homepage des Unternehmens navigieren.
Es ist erwähnenswert, dass eher traditionelle, regelbasierte Dateiscanner und Spam-Erkennungstechnologien nur begrenzt verhindern können, dass faule Äpfel in Ihr Postfach gelangen. Ihr Unternehmen sollte daher auch Schulungen zum Sicherheitsbewusstsein und – idealerweise – fortschrittlichen Bedrohungsschutz einsetzen, um zu verhindern, dass Mitarbeitende zum Klicken verleitet werden.
Doppelt, doppelt Müh und Plag – prüfen Sie die Absenderadresse doppelt
Während viele Angreifer exakte Domains fälschen, um ihre Phishing-Betrügereien zu verschicken, gibt es immer noch solche, die auf „Lookalike-Domains“ setzen, um Opfer anzugreifen. Diese Form der E-Mail-Impersonation nutzt eine bekannte oder seriöse Marke (z. B. facebook.com) und ändert sie leicht ab, um den Empfänger zum Klicken zu verleiten (z. B. facebo0k.com). Sehen Sie den Unterschied? Manchmal ist es schwerer zu erkennen, als man denkt, besonders wenn man es eilig hat.
Um diesen Halloween nicht in die Fänge dieser hinterlistigen Betrüger zu geraten, empfehlen wir, immer den Domainnamen und die „Von“-Adresse des Absenders sorgfältig zu überprüfen. Wenn sie verdächtig aussehen, ist das wahrscheinlich auch der Fall.
Ist das ein Trick?
Business E-Mail Compromise ist bei Cyberangreifern sehr beliebt. Dabei gibt sich die E-Mail als Nachricht Ihres CEOs, einer leitenden Führungskraft oder einer anderen wichtigen Person in Ihrem Unternehmen aus. Diese E-Mails wirken oft überaus dringlich. Auch hier ist diese Art von Betrug am effektivsten, wenn das angegriffene Unternehmen nicht durch DMARC geschützt ist, sodass der Angreifer dessen exakte Domain imitieren kann und es für das Opfer sehr schwer ist, die Fälschung zu erkennen.
Es ist erstaunlich, wie viele Menschen im Eifer des Gefechts auf eine E-Mail hereinfallen, die angeblich von ihrem „CEO“ oder ihrer „Bank“ stammt. Aber wenn Sie eine solche E-Mail aus dem Nichts erhalten, ist es wichtig, einen Schritt zurückzutreten und zu hinterfragen, ob sie angesichts des Kontexts überhaupt Sinn ergibt. Passt sie zu Gesprächen, die Sie zuletzt geführt haben? Spricht der angebliche Absender normalerweise so? Fällt sie mit etwas zusammen, das bereits im Unternehmen passiert? Und warum die Eile?
Wenn Sie unsicher sind, ist es eine gute Idee, sich persönlich oder telefonisch bei der Person zu erkundigen, von der die Nachricht angeblich stammt – und die E-Mail Ihrem IT-Team zu melden, falls sie nicht von dieser Person versendet wurde.
Überlassen Sie es den Experten
Wir hoffen, wir konnten Ihnen einige nützliche Tipps geben, wie Sie diesen Halloween in Ihrem Postfach sicher bleiben. Aber bei Red Sift glauben wir nicht, dass es allein an Einzelpersonen liegen sollte, die Anzeichen eines Phishing-Angriffs zu erkennen, wenn Technologie die Aufgabe besser erledigen kann. Erfahren Sie im Folgenden mehr über unsere E-Mail-Sicherheitsprodukte und was wir tun.
