Cloud: Datensicherheit & Angriffsszenarien
Erfolgsaussichten in der Cloud: Die Zukunft des Phishing
Bei klassischen Phishing-Attacken handelt es sich in der Regel um gefälschte E-Mails, beispielsweise von Banken oder Payment-Services, die darauf abzielen, persönliche Daten oder Zahlungsinformationen einzelner Benutzer zu erbeuten
Von Anurag Kahol, CTO, Bitglass
"Ihr Konto wurde gehackt!" Nachrichten mit diesen oder ähnlichen Betreffzeilen entlocken den meisten Nutzern nur noch ein müdes Lächeln. Derartige E-Mails von breit angelegten Phishing-Kampagnen, die meist schon durch ein äußerst zweifelhaftes Design auffallen, werden in der Regel unmittelbar aussortiert. Eine weitaus höhere Erfolgsquote verspricht jedoch die Kombination von Phishing mit Cloud Computing-Anwendungen. Die Aussicht, mit nur einer erfolgreichen E-Mail eine Vielzahl verwertbarer Daten zu erbeuten, ist für Cyberkriminelle Motivation genug, die Angriffstechniken weiter zu verfeinern und zielgerichteter vorzugehen. Für Unternehmen ein Grund, sich im Rahmen ihrer Datensicherheitsstrategie näher mit diesem Angriffsszenario auseinanderzusetzen.
Bei klassischen Phishing-Attacken handelt es sich in der Regel um gefälschte E-Mails, beispielsweise von Banken oder Payment-Services, die darauf abzielen, persönliche Daten oder Zahlungsinformationen einzelner Benutzer zu erbeuten. Derartige Angriffe enden in der Regel bereits automatisch beim Spam-Filter, der die eingehenden Nachrichten anhand verdächtiger Merkmale aussortiert. Zudem ist die Gefahr durch Phishing-Attacken in den letzten Jahren zunehmend ins öffentliche Bewusstsein gerückt und die E-Mailnutzer sind dementsprechend wachsam. E-Mails, die dem Spam-Filter entgangen sind, werden schließlich vom Nutzer im Handumdrehen gelöscht.
Die Konsequenz auf Seiten der Angreifer sind verbesserte, zielgerichtete Attacken, die schwerer identifizierbar sind und eher selten darauf abzielen, einzelne Daten – wie Kreditkarteninformationen oder TAN-Nummern – zu erbeuten. Vielmehr besteht das Ziel mittlerweile darin, umfassende Zugriffsberechtigung auf Daten, Endgeräte oder Online-Dienste zu erhalten. Im Sinne der Nutzenmaximierung – mehr Daten bei gleicher Erfolgsquote – stellen Cloud Computing-Anwendungen für Cyberkriminelle ein lukratives Ziel dar. Es genügt nur ein Mitarbeiter, der auf eine täuschend echte Nachricht eines Cloud Computing-Dienstes hereinfallen muss und schon können mit dem gehackten Account zahlreiche Unternehmensdaten eingesehen und entwendet werden.
Beispiel einer derart modernen Attacke ist die Google-Docs Phishing-Kampagne, die im vergangenen Jahr großes Aufsehen erregte. In diesem Fall wurde den Nutzern unter dem Namen eines ihnen bekannten Absenders eine täuschend echt aussehende Einladung zum Dienst Google Docs per E-Mail geschickt. Wer die Einladung annehmen und auf den Link zu dem scheinbaren Doc klickte, gelangte zur Google-Login-Seite. Klickten sie auf den dort angezeigten Befehl "continue to Google Docs" erteilten sie einer Schadsoftware Zugriff auf ihr Google-Konto.
Der Angriff machte sich das OAuth-Protokoll zu Nutze, das Google verwendet, um die Authentifizierung zu vereinfachen. Der OAuth-Zugang ermöglichte es dem Angreifer, Zugang zu den persönlichen Daten des Benutzers im Google-Dienst zu erhalten, ohne diesen zur Eingabe seiner Anmeldeinformationen auffordern zu müssen. Damit wäre es möglich, Kontaktlisten und Standorte der Betroffenen einzusehen sowie deren E-Mails und Dateien, die sie in der G-Suite verwalten, zu lesen.
In diesem Fall schaffte das Protokoll, das den Benutzern einfachen Zugriff auf Anwendungen von Drittanbietern ermöglichen sollte, ein Einfallstor für Angriffe. Das potentielle Schadensausmaß für Unternehmen ist abhängig von der kriminellen Energie der Angreifer. Allgemein sind verschiedene Szenarien denkbar: Über die E-Mailkonten der Nutzer kann die Schadsoftware an weitere Kontakte – wie Kunden und Servicepartner - weitergeleitet werden und eventuell auch deren gespeicherte Clouddaten kompromittieren. Von einem Verkauf oder einer weiteren missbräuchlichen Nutzung der erbeuteten Daten kann in der Regel ausgegangen werden, auch wenn sich dies unmittelbar nur schwer nachvollziehen lässt. Darüber hinaus können die gestohlenen Daten von den Kriminellen auch zur Lösegelderpressung der Opfer eingesetzt werden.
Wie der Google-Docs-Vorfall, bei dem der verursachte Schaden sich allem Anschein nach dennoch in Grenzen hielt, aufzeigt, kann das Vertrauen von Nutzern in Cloudanwendungen leicht ausgenutzt werden. Eine erste Sicherheitsmaßnahme, die von den populärsten Cloud-Diensten mittlerweile angeboten wird, ist die Umstellung auf Multi-Faktor-Authentifizierung (MFA). MFA verhindert, dass Kriminelle auf Benutzerkonten zugreifen können, selbst wenn es ihnen gelingen sollte, die Login-Daten zu erbeuten.
Für klassische Phishing-Attacken war die Sensibilisierung der Nutzer bislang eine durchaus wirkungsvolle Verteidigungsstrategie. Was jedoch Cloud- Computing-Anwendungen wie Office 365 und G-Suite anbelangt, fehlt es der breiten Nutzerbasis noch an Erfahrungswerten. Eine Nachricht, die der des genutzten Clouddienstes zum Verwechseln ähnlich sieht, hat dementsprechend noch gute Erfolgsaussichten. Gleichsam ist davon auszugehen, dass die für die Angriffe genutzte Schadsoftware von Cyberkriminellen immer raffinierter wird. Eine herkömmliche, auf Eigenschaften basierende Erkennung bösartiger E-Mails greift dafür auf Dauer zu kurz. Künftig werden Unternehmen intelligente Erkennungstechnologien benötigen, die Angriffsmuster identifizieren und den softwaregesteuerten Zugriff von Hackern auf Daten frühzeitig melden und blockieren.
Nicht zuletzt mit Blick auf das Inkrafttreten der Datenschutzgrundverordnung in diesem Jahr ist es für Unternehmen ratsam, potentielle Verlustwege zu identifizieren, Schatten-IT zu unterbinden und ein Sicherheitskonzept für Daten zu entwickeln. Im Zuge dessen sollte auch sichergestellt werden, dass Unternehmensdaten nicht in private Accounts von Mitarbeitern gelangen – beispielsweise, wenn geschäftliche Nachrichten an ein privates E-Mail-Konto weitergeleitet oder Dokumente in Cloud Computing-Diensten gespeichert werden. Eine geeignete Kombination aus Mitarbeitersensibilisierung, Sicherheitstechnologie und Zugriffsmanagement hilft dabei, Unternehmensdaten auch vor ausgefeilten Phishing-Attacken zu schützen. (Bitglass: ra)
eingetragen: 01.02.18
Newsletterlauf: 07.03.18
Bitglass: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.
