Im Oktober 1971 gelang es dem Computeringenieur Ray Tomlinson erfolgreich, eine E-Mail-Nachricht von einem Computer zu einem anderen, direkt daneben stehenden, über ARPANET zu senden – ein Netzwerk von Computern, das als Vorläufer des Internets diente.
Während E-Mail im November 2021 50 Jahre alt wurde, dauerte es bis zur Kommerzialisierung des Internets Mitte der 90er Jahre, bis es sich wirklich zu einem der weltweit führenden Kommunikationsmittel entwickelte. Leider führte sein Aufstieg auch zu einem rasanten Missbrauch, als skrupellose Betrüger begannen, unerwünschte Produkte, betrügerische Angebote und sogar Computerviren an die Massen zu verkaufen.
Der Phishing-Betrug ist mehr als 20 Jahre alt
Ja, E-Mail-Betrug gibt es schon seit über zwei Jahrzehnten. Tatsächlich begann Phishing, das seit langem mit E-Mails in Verbindung gebracht wird, bereits einige Jahre früher über AOL Instant Messaging, wobei sich Angreifer als AOL-Mitarbeiter ausgaben und von Nutzern forderten, ihre Konten zu verifizieren, indem sie Passwörter oder Rechnungsinformationen herausgaben.
Als sich E-Mail jedoch als bevorzugtes Mittel für die Kunden- und Organisationskommunikation durchsetzte, wechselten Betrüger schnell zu diesem Kanal. E-Gold, eine 1996 gegründete digitale Goldwährung, war eines der Ziele von Phishing-Angriffen und Finanz-Malware, als E-Mail-Betrug noch in den Kinderschuhen steckte.
Angriffe auf das Unternehmen gipfelten im Juni 2001 in einem großen Phishing-Betrug, der auf Mitglieder seiner Mailingliste zielte. Darauf folgte nach den Anschlägen vom 11. September eine zweite Phishing-Welle, die sich als „Identitätsprüfungen“ tarnte.
Finanzinstitute sind eine Freude für Betrüger
Finanzinstitute waren schon immer ein naheliegendes Ziel für Betrüger. Diese Organisationen verfügen nicht nur über umfangreiche Datensätze zu ihren Kunden, sondern wenn Betrüger auch an Kontodaten von Kunden gelangen können, können sie direkt von ihnen stehlen. Kein Wunder also, dass die im E-Gold-Phishing-Betrug verwendete Technik schnell auch gegen Kunden anderer Finanzinstitute eingesetzt wurde.
eBay und PayPal waren zwei weitere Unternehmen, die vor einem Jahrzehnt auf der falschen Seite von E-Mail-Betrug standen, und sie kämpfen noch heute darum, sich von E-Mail-Identitätsdiebstahl zu befreien. Bereits 2006 wurde bekannt, dass sich 75 % aller Phishing-Betrügereien auf eBay und PayPal konzentrierten, wobei Phishing-E-Mails die Empfänger auf gefälschte Websites führten und deren Login-Daten für Identitätsbetrug nutzten.
Ein weiteres beliebtes Opfer von E-Mail-Betrug war HMRC. Es war nicht nur eine „vertrauenswürdige“ Institution in den Augen der E-Mail-Empfänger, sondern konnte auch rechtmäßig spezifische persönliche oder finanzielle Informationen von den Empfängern verlangen. HMRC dauerte es bis 2007, seine erste Richtlinie zu Phishing-E-Mails und betrügerischen Nachrichten zu veröffentlichen. Dies geschah als Reaktion auf eine Reihe betrügerischer E-Mails, die den Empfängern mitteilten: „Nach der letzten jährlichen Berechnung Ihrer steuerlichen Aktivität haben wir festgestellt, dass Sie Anspruch auf eine Steuerrückerstattung von 210 £ haben. Bitte stellen Sie den Antrag auf Steuerrückerstattung und geben Sie uns 6–9 Tage Zeit, um ihn zu bearbeiten.“
Die von diesen Betrügern angewandte Taktik unterschied sich deutlich von einigen früheren; anstatt Angst zu verbreiten, versuchten die Verfasser, die Empfänger durch das Versprechen einer finanziellen Rückerstattung dazu zu bringen, ihre Daten herauszugeben. Es war ein äußerst erfolgreicher Strategiewechsel, der zu einem massiven Anstieg von HMRC-bezogenen Betrügereien führte, sodass bis 2016 eine Which?-Umfrage ergab, dass 40 % der Erwachsenen Phishing-E-Mails erhalten hatten, die angeblich von HMRC stammten.
Platz für die DMARC-Authentifizierung
Als Reaktion darauf führte HMRC das E-Mail-Authentifizierungsprotokoll DMARC (Domain-based Message Authentication, Reporting, and Conformance) ein. DMARC wird weltweit als der einzige Weg anerkannt, um die Legitimität von „Von“-Adressen in E-Mails zu garantieren und Spoofing-Angriffe zu reduzieren. Im Jahr 2016 konnte HMRC 300 Millionen Phishing-E-Mails, die ihre Domain nutzten, stoppen, indem es einfach DMARC-Schutz auf p=reject erreichte.
DMARC ist 2022 für alle Unternehmen unverzichtbar
Wo stehen wir also jetzt? Nun, E-Mail-Sicherheitsanbieter versuchen weiterhin, betrügerische Nachrichten von falschen Domains zu blockieren, die angeblich von einigen unserer bekannten Unternehmen stammen. Sie versuchen auch, personalisiertere, gezielte Angriffe zu identifizieren, die sich an bekannte Kunden anderer, möglicherweise weniger bekannter, Organisationen richten.
Doch wo diese Systeme versagen, ist bei der Bekämpfung von E-Mail-Identitätsdiebstahl von legitimen E-Mail-Domains. Die Domain www.gov.uk mag dank der DMARC-Einführung nun vor Spoofing-Angriffen sicher sein, aber das Gleiche kann man von vielen anderen Domains des privaten Sektors nicht behaupten.
Es sind 50 Jahre seit der ersten E-Mail und mehr als 20 Jahre seit dem ersten E-Mail-Betrug vergangen, und doch bleibt dieser blinde Fleck in den E-Mail-Sicherheitsvorkehrungen von Organisationen besorgniserregend ungeschützt. Um mehr über DMARC zu erfahren, wie es Ihr Unternehmen und Ihr breiteres Netzwerk vor Phishing-Betrug schützen kann, und worauf Sie bei einer DMARC-Lösung achten sollten, laden Sie noch heute unseren kostenlosen Einkaufsführer herunter.
