E-Mail-basierte Bedrohungen treffen Organisationen dort, wo es sehr schmerzt – beim Geld

Bild: pepsprog / pixelio.de

Trotz einer Vielzahl an neuen Kommunikationstechnologien steht die altbewährte E-Mail sowohl bei Unternehmen als auch Privatpersonen immer noch hoch im Kurs. Sei es für einfache Nachrichten, Newsletter oder internen Unternehmensdaten. Schätzungen zufolge wurden im Jahr 2019 täglich rund 293,6 Milliarden E-Mails versendet. Ein Großteil davon ist allerdings Spam. Die Varianten sind zahlreich - vom nigerianischen Prinz, der ein großes Vermögen verspricht bis zu Malware-Kampagnen und gezielten Kompromittierungsversuchen wie Spearphishing.

Organisationen sehen sich der ständigen Gefahr ausgesetzt, angegriffen zu werden. Unachtsamkeit der Angestellten gehört dabei zu den häufigsten Ursachen von Datenpannen, so die Aussage von Sicherheitsexperten. Dabei ist das Einfallstor meist eine manipulierte E-Mail, die vom Empfänger leichtsinnig geöffnet wurde.

Bedrohungen, Scams und zielgerichtete Angriffe

Nicht alle E-Mails bergen das gleiche Maß an Sicherheitsrisiko und auch nicht alle E-Mails benötigen einen Anhang, um eine Bedrohung darzustellen. Die aus finanzieller Sicht gefährlichsten E-Mails nutzen Social-Engineering-Techniken und zielen auf einen Betrug der Mitarbeiter ab. Sie imitieren beispielsweise den eigenen CEO des Unternehmens und sollen die Angestellte dazu verführen, Gelder an Bankkonten zu überweisen, die von den Cyberkriminellen verwaltet werden. Eine aktuelle Studie geht davon aus, dass diese sogenannte Business E-Mail Compromise-Scams - kurz BEC-Scams - bei Finanzinstituten in den USA seit 2016 finanzielle Verluste in Höhe von neun Milliarden US-Dollar verursacht haben.

Andere E-Mails sind Teil von Malware-Verbreitungskampagnen und enthalten bösartige Anhänge. Auch sie täuschen vor, legitime E-Mails zu sein und Rechnungen, Lebensläufe oder beispielweise Kochrezepte zu enthalten. Auch hier sind es meist Social-Engineering-Techniken, die die Opfer dazu verleiten, diese bösartigen Anhänge zu öffnen. Egal ob es sich bei der darin versteckten Malware um einen relativ harmlosen Cryptominer handelt oder um einen ausgefeilten APT (Advanced Persistent Threat) – die Bedrohung ist für Organisationen gleichermaßen real.

Selbst APTs, also die raffinierteste Art von Angriffen, beginnen oftmals mit einer einfachen E-Mail an einen Angestellten oder einen hochrangigen Beamten. So analysierte Bitdefender einen im Mai 2018 initiierten Angriff der Hackergruppe Carbanak auf ein Bankinstitut in Osteuropa. Die Infiltration erfolgte mittels einer Spear-Phishing-Kampagne. Die Untersuchung zeigt, wie diese bösartige E-Mail aufgebaut wurde, um ihr einen legalen Anstrich zu geben und Empfänger dazu verleitete, den Anhang zu öffnen. Weniger als zwei Stunden nachdem der Anhang ausgeführt wurde, waren die Angreifer in der Lage, die Infrastruktur der Bank zu kompromittieren und damit dauerhaft einen Fuß in die Infrastruktur der Organisation zu setzen. Der Angriff wurde entdeckt. Wäre dies nicht der Fall gewesen, hätten die Hacker die Kontrolle über das Geldautomatennetzwerk der Bank erlangt. Damit wären sie in der Lage gewesen, das Auszahlungslimit an Geldautomaten mit einer vorab autorisierten Karte zurückzusetzen. Die vor Ort abgestellten Money Mules hätten dann beliebig oft den festgesetzten Höchstbetrag abheben können, ohne dass von dem betreffenden Automaten die Transaktion als verdächtig an die Bank gemeldet würde.

Auch von staatlicher Seite unterstütze Angreifer verwenden E-Mails, die mit modernen Täuschungsfunktionen ausgestattet sind, um hochrangige Ziele zu kompromittieren. Grund für dieses Vorgehen sind meist die damit verbundenen geringen Kosten. Anstatt viel Zeit, Ressourcen und Geld beim Aufspüren von Zero-Day-Schwachstellen zu investieren, können E-Mails, die mit Fileless Malware und Verschleierungs-Tools ausgestattet sind, bestehende Tools wie PowerShell und AMI (Windows Management Instrumentation) verwenden, um bösartigen Code auf den Rechnern der Opfer auszuführen.

E-Mail-Schutz – was ist entscheidend?

Jede Organisation verfügt über einen E-Mail-Server und jeder Angestellte besitzt eine geschäftliche E-Mail-Adresse. IT- und Sicherheitsverantwortliche müssen sowohl die Infrastruktur als auch das intellektuelle Eigentum des Unternehmens oder der Organisation schützen. Der Schutz von E-Mails gehört daher zu ihrer obersten Priorität. Doch laut einer aktuellen Studie unter 6.000 IT-Sicherheitsexperten in acht Ländern stimmen 39 Prozent der Befragten darin überein, dass der Kostenfaktor der Haupthinderungsgrund ist, wenn es um die Stärkung der Cybersicherheit geht. Bei der Suche nach der passenden Technologie zum Schutz von E-Mails ist also die richtige Balance zwischen Effizienz, Leistungsfähigkeit und Kosten entscheidend.

Der beste Schutz kommt deshalb in Form einer Machine-Learning-gestützten Sicherheitslösung, die dafür sorgt, dass bösartige E-Mails erkannt und legitime Nachrichten nicht geblockt werden. Denn die zuverlässige Unterscheidung zwischen legitimen und betrügerischen oder sogar bösartigen E-Mails stellt eine große Herausforderung für Sicherheitslösungen dar. Sie müssen in der Lage sein, eine Vielzahl von Kompromittierungsmöglichkeiten – ob CEO-Imitationen, malwarebelastete Geschäfts-E-Mails, Phishing oder zielgerichtete Angriffe – im Kontext zu identifizieren. Bei spezialisierten Lösung kommen beispielsweise mehr als 10.000 Algorithmen zum Einsatz, die erkennen, ob es sich um eine legitime E-Mail handelt oder nicht. Dies ermöglicht es Angestellten und Organisationen, sich auf ihre Arbeit zu konzentrieren und entlastet IT- und die Sicherheitsverantwortlichen.

Der Bericht der Studie „Hacked Off!“ mit den internationalen Ergebnissen ist kostenlos erhältlich unter https://www.bitdefender.com/files/News/CaseStudies/study/285/Bitedefender-Hacked-Off-Report.pdf.

Quelle: Bitdefender