Was ist eine Beg Bounty? So vermeiden Sie Zahlungen aufgrund von DMARC-Schwachstellen

Jedes Unternehmen hat Schwachstellen, und die Angriffsfläche für größere und Enterprise-Organisationen ist riesig. In einer idealen Welt könnten Sie jede einzelne dieser Schwachstellen selbst erkennen, entschärfen, ausmerzen und absichern. Aber im sich ständig wandelnden digitalen Zeitalter ist das schlicht nicht machbar. Genau hier kommen Programme für verantwortungsvolle Offenlegung und Bug-Bounty-Programme ins Spiel. Sie geben Unternehmen Einblick in potenzielle Schwachstellen, während Bug-Bounty-Hunter (oft engagierte ethische Hacker und aufmerksame Sicherheitsforscher) dabei auch noch etwas Geld verdienen.

Bug-Bounty- und Responsible-Disclosure-Programme sind wichtig, um die Sicherheit aufrechtzuerhalten und die vielen Schwachstellen in der Rüstung globaler Organisationen zu entschärfen. Aber wie bei den meisten Dingen gilt: Wo es Möglichkeiten gibt, sie auszunutzen, tun das auch manche Leute. Genau, wir sprechen hier über den zunehmend nervigen Trend des „Beg Bounty Hunting“, bei dem passend benannte „Bounty-Bettler“ leicht auffindbare Probleme an Unternehmen melden, in der Hoffnung, schnell etwas Geld zu verdienen.

Wie können Unternehmen also vermeiden, Opfer von Beg Bounties zu werden? Eine Möglichkeit besteht darin, DMARC standardmäßig auf p=reject zu implementieren und damit die eigene DMARC-Schwachstelle endgültig zu beheben. DMARC (Domain-Based Message Authentication, Reporting, and Conformance) ist entscheidend für die Sicherheit von Organisationen, und mit den richtigen Tools lässt es sich viel einfacher implementieren, als man denken mag.

Ein Responsible-Disclosure-Programm (manchmal auch Vulnerability-Disclosure-Programm oder Bug-Bounty-Programm genannt) ist im Wesentlichen eine Vereinbarung, die eine Organisation mit Sicherheitsforschern (Bug-Bounty-Huntern) trifft, um diese zu entlohnen, wenn sie Schwachstellen in ihren Websites, Systemen, Plattformen oder der weiteren Angriffsfläche finden.

Responsible Disclosure ist nichts Neues. Seit ihrem Beginn im Jahr 1983 wurden mehr als 181.000 Schwachstellen gemeldet, und satte 100 Millionen US-Dollar wurden ausgezahlt – als Vergütung für Bug-Bounty-Hunter. Im Grunde ist Responsible Disclosure eine Win-Win-Situation: Organisationen können Schwachstellen diskret und schnell beheben, und Bug-Bounty-Hunter werden fair entlohnt. Die bekanntesten Tech-Unternehmen verfügen über Responsible-Disclosure-Programme, darunter Mozilla, Facebook, Yahoo, Google, Reddit und Microsoft.

Die meisten Unternehmen haben eine Vulnerability-Disclosure-Richtlinie mit einem spezifischen Regelwerk oder Vereinbarungen, an die sich Bug-Bounty-Hunter halten müssen. Das NCSC (National Cyber Security Centre) bietet hier ein nützliches Toolkit zur Schwachstellenerkennung für Unternehmen.

Eine Beg Bounty ist ein Begriff, der die Offenlegung eines leicht auffindbaren Problems durch einen „Bounty-Bettler“ beschreibt. Diese werden nicht als zahlungswürdig eingestuft, entweder weil es sich nicht um eine legitime Schwachstelle handelt, oder weil es sich um ein Problem handelt, das das Unternehmen selbst leicht hätte erkennen können. Manchmal fordern Bounty-Bettler auch eine Zahlung, bevor sie den vermeintlichen „Bug“ offenlegen. Beispiele für Beg Bounties sind fehlerhafte DMARC-Einträge, fehlerhafte SPF-Einträge oder eine fehlende CSP.

Fehlende DMARC-Einträge werden als Beg Bounties betrachtet. Die Gründe dafür reichen von der leichten Auffindbarkeit von DMARC über die Vorstellung, es sei unwichtig oder zu komplex zu implementieren, bis hin zu dem falschen Glauben, DMARC sei gleichbedeutend mit SPF und DKIM – das ist es nicht.

Obwohl wir zustimmen, dass Unternehmen nicht für DMARC-Beg-Bounties zahlen sollten, sind wir auch der Meinung, dass Security- und IT-Fachleute eine Chance verpassen, wenn sie DMARC als „unwichtig“ abtun. Zwar ist DMARC keine spezifische Website-Schwachstelle oder ein „Bug“, aber wenn es nicht vollständig konfiguriert ist, macht das Ihre Domain – und Ihre Organisation – extrem anfällig für Impersonation- und Phishing-Angriffe, wie zum Beispiel BEC.

• Phishing ist für 90 % aller Datenschutzverletzungen verantwortlich, wobei 65 % der Cyberangreifer Spear-Phishing als primären Infektionsvektor nutzen.
• BEC verursachte gemeldete Verluste von rund 2,4 Milliarden US-Dollar – ein Anstieg von 28 % seit 2020.
• Impersonation-Angriffe wurden in der UK Government Cyber Security Breaches Survey 2021 als zweitstörendste Bedrohung für Unternehmen eingestuft.

Keinen DMARC-Eintrag zu haben (oder einen Eintrag mit none/quarantine) bedeutet, dass Sie anfällig für Impersonation sind. Es ist ein Protokoll, das grundlegend für Ihre E-Mail-Sicherheit und Domain-Infrastruktur sein sollte, und Organisationen sollten es standardmäßig absichern.

DMARC ist ein weltweit anerkanntes Protokoll, das, wenn es korrekt auf p=reject konfiguriert ist, verhindert, dass Angreifer Ihre Domain imitieren (spoofen), um Phishing-E-Mails zu versenden und Phishing- und Impersonation-Angriffe wie Business Email Compromise (BEC) durchzuführen.

Oft in Kombination mit Social Engineering sind gespoofte E-Mails unglaublich schwer zu erkennen. Schließlich – warum sollten Sie einer gut gemachten, personalisierten E-Mail nicht vertrauen, wenn sie von der exakten Domain Ihrer Organisation stammt? Genau deshalb ist es einer der größten Fehler, den ein Unternehmen machen kann, keine starke DMARC-Richtlinie zu implementieren, da dies Ihre Domain offen für Angreifer lässt, die sie missbrauchen können, um Phishing-E-Mails an Ihre Mitarbeiter, Kunden und die gesamte Lieferkette zu senden.

Anhand von Daten aus Red Sifts BIMI Radar, das 64 Millionen Apex-Domains abdeckt, haben wir festgestellt, dass die DMARC-Schwachstelle weltweit hoch ist. Basierend auf den Daten von mehr als 64 Millionen Apex-Domains:

• Nur 2,1 % haben DMARC im Enforcement-Modus, was bedeutet, dass 97,9 % einem Risiko für Impersonation-Angriffe ausgesetzt sind.
• Von 2.380 Domains, die den größten börsennotierten Unternehmen in den größten Volkswirtschaften der Welt gehören, sind 70,5 % nicht durch DMARC geschützt.
• 51 % der öffentlichen Unternehmen in den USA, gemessen an der Fortune 500, verfügen über keine angemessene DMARC-Richtlinie.

SPF- und DKIM-Einträge sind wichtig, aber ihre korrekte Konfiguration allein reicht nicht aus, um Ihre DMARC-Schwachstelle zu verbessern und Domain-Spoofing zu verhindern. Ihr DMARC-Eintrag kombiniert die Signale dieser beiden und gibt Anweisungen an empfangende Server, wie mit E-Mails von Ihrer Domain umzugehen ist, die die Authentifizierung nicht bestehen. Das kann nur geschehen, wenn DMARC auf p=reject steht.

DMARC ist das A und O der E-Mail- und Domain-Sicherheit, die grundlegendste Schutzschicht für eines Ihrer wertvollsten und verwundbarsten digitalen Assets: Ihre Domain. Es steht bereit, um Ihren sensibelsten Bedrohungsvektor (E-Mail) zu sichern und damit Ihre gesamte Organisation zu schützen.

Red Sifts Vorzeigeprodukt OnDMARC hilft Organisationen weltweit, schnell, einfach und zuverlässig p=reject zu erreichen. Warum nicht noch heute mit der Absicherung Ihrer DMARC-Schwachstelle beginnen – mit einer kostenlosen OnDMARC-Testversion?