Was ist Spear Phishing?
Es gibt viele Formen von Phishing, und Spear-Phishing ist eine davon. Aber was ist das genau? Und wie funktioniert das? Diese Fragen werden wir in diesem Artikel beantworten. Wir werden auch den Unterschied zwischen Phishing und Spear-Phishing erklären. Lesen Sie unseren Artikel, wenn Sie mit diesem Phänomen nicht vertraut sind und wissen möchten, wie Sie Ihr Unternehmen davor schützen können.
1. Was ist Phishing?
Um zu verstehen, was Spear-Phishing ist, müssen wir zunächst Phishing beschreiben.
Phishing ist ein allgemeiner Begriff, der sich auf jeden Versuch bezieht, Opfer dazu zu bringen, persönliche Informationen wie Passwörter, Benutzernamen und Kreditkartendaten preiszugeben, um einen Betrug zu begehen. Phishing-Angriffe zielen im Gegensatz zu Spear-Phishing-Angriffen nicht in erster Linie auf Einzelpersonen ab, sondern werden oft gleichzeitig an große Gruppen von Personen gesendet.
Die Angreifer geben sich oft als legitime Organisationen aus und kommunizieren mit ihren Opfern über E-Mail, soziale Medien, Telefonanrufe (auch als “Vishing” für Voice-Phishing bekannt) und sogar Textnachrichten (oft als “Smishing” für SMS-Phishing bezeichnet).
2. Spear-Phishing in Kürze
Spear-Phishing ist eine Form des Phishings oder Betrugs, die auf eine bestimmte Person, ein Unternehmen oder eine Organisation abzielt. Es handelt sich um eine ausgeklügelte Technik, die in der Regel mehr Aufmerksamkeit und Aufwand erfordert als Phishing. Spear-Phishing-Angreifer sammeln so viele persönliche Informationen wie möglich über ihre Opfer, um ihre E-Mails authentisch aussehen zu lassen und ihre Chancen auf eine erfolgreiche Täuschung der Empfänger zu erhöhen. Es ist daher auch schwieriger, diese Art von Angriffen zu erkennen als groß angelegte Phishing-Aktionen, da diese E-Mails persönlicher sind.
3. Phishing vs. Spear Phishing
Die Begriffe Phishing und Spear Phishing sind sehr ähnlich. Spear-Phishing ist eigentlich eine Form des Phishings. Worin besteht also der Unterschied?
Der Unterschied liegt vor allem in der Art und Weise, wie der Angriff erfolgt. Die allgemeine Form des Phishings umfasst in der Regel ein großes Sendevolumen mit wenig Personalisierung. Denken Sie zum Beispiel an eine E-Mail von einer Bank, in der steht, dass Ihre Bankkarte bald abläuft. Die Chancen stehen gut, dass Sie nicht einmal mit dieser Bank verbunden sind. Spear-Phishing ist ein Angriff auf eine bestimmte Person, ein Unternehmen oder eine Organisation.
4. Wie funktioniert Spear-Phishing?
Genau wie Phishing wird Spear-Phishing häufig per E-Mail betrieben. Wie bereits erwähnt, kann dies jedoch auch per Telefon (Vishing) oder per SMS (Smishing) geschehen.
Beim Spear-Phishing werden persönliche Daten verwendet, um die Kommunikation glaubwürdiger erscheinen zu lassen. Der Angreifer kann beispielsweise Informationen aus sozialen Medien oder vielleicht sogar von Kollegen erhalten. Beispiele für Spear-Phishing sind:
- Ein Geschäftsführer ruft angeblich im Büro an, um dringend eine ausstehende Rechnung zu bezahlen;
- eine betrügerische E-Mail von einem “Kollegen”, der Fotos von der Betriebsfeier der letzten Woche weitergeben möchte.
Oft wird die Dringlichkeit genutzt, um den Erfolg zu steigern. Schließlich möchte niemand seinen Chef enttäuschen.
Nachrichten und Websites werden oft erfolgreich mit speziell entwickelten Tools und Social-Engineering-Verfahren gefälscht.
5. Warum wird Spear-Phishing eingesetzt?
Die Absicht ist bei fast allen Formen des Phishings dieselbe: Geld. Entweder durch den Verkauf sensibler Informationen, die Verweigerung des Zugangs zu Dokumenten/Systemen (Ransomware) oder durch direkte Überweisung von Geld auf ein betrügerisches Konto.
6. Wie schütze ich meine Organisation vor Spear-Phishing?
Kriminelle nutzen soziale Medien und andere öffentlich zugängliche Informationen, um ein bestimmtes Ziel innerhalb eines Unternehmens zu identifizieren und eine an diese Person adressierte betrügerische E-Mail zu erstellen.
Es ist daher ratsam, dass die Mitarbeiter so wenig Informationen wie möglich im Internet und in den sozialen Medien weitergeben.
Aufgrund der Genauigkeit, mit der diese Angriffe ausgeführt werden, können sie in der Regel nicht durch Standard-Sicherheitsmaßnahmen gestoppt werden. Daher wird ihre Erkennung immer komplexer. Die Mitarbeiter sollten daher auch wissen, welche Formen des Spear-Phishings es gibt und wie man sie erkennt. Ein Cybersecurity Awareness Training ist dafür das geeignetste Mittel.