Phishing-Angriffe – bei denen Hacker versuchen, mithilfe täuschender E-Mails und Links persönliche Daten zu sammeln – beeinträchtigen weiterhin Unternehmen jeder Größe.
Es ist umfassend dokumentiert, dass Phishing als Angriffsvektor in den vergangenen Jahren geradezu explodiert ist. SlashNext berichtete , dass es in den ersten sechs Monaten des Jahres 2022 mehr als 255 Mio. Angriffe gab – ein Anstieg der Phishing-Angriffsrate um 61 % gegenüber 2021.
Was häufig übersehen wird, sind die Gesamtkosten für ein Unternehmen. Solche Angriffe erfordern von den IT- und Sicherheitsteams viel Zeit und Energie. Im Durchschnitt benötigen sie etwa 28 Minuten, um eine einzelne Phishing-E-Mail zu bearbeiten – bei Kosten von rund 31 US-Dollar pro Nachricht.
Die Ergebnisse stammen aus einem neuen Bericht von IRONSCALES und Osterman Research, für den 252 IT- und Sicherheitsexperten in den USA befragt wurden. Der Bericht The Business Cost of Phishing ergab, dass IT- und Sicherheitsteams wöchentlich typischerweise ein Drittel ihrer Zeit mit der Bearbeitung von Phishing-Bedrohungen verbringen. Für 70 Prozent der Unternehmen dauert die Bearbeitung einer einzelnen Phishing-E-Mail 16 bis 60 Minuten.
Siehe auch: The Successful CISO: How to Build Stakeholder Trust
Phishing bekämpfen: Wie die Suche nach der Nadel im Heuhaufen
Während des Angriffs sucht die IT nach der Nachricht und liest die Header der Nachricht, erklärte Ian Thomas, VP of Product Marketing bei IRONSCALES. „Wenn sie einen Anhang enthält, lassen sie ihn in einer Sandbox laufen, um zu sehen, ob er bösartig ist. Sobald die IT erkennt, dass es sich um Phishing handelt, sucht sie in anderen Postfächern danach – möglicherweise in Hunderten von Postfächern. Wenn sie die Nachricht findet, müssen alle Nachrichten entfernt werden. Das erfordert viel Recherche und dauert jedes Mal ungefähr eine halbe Stunde.“
Zusätzlich zum hohen Zeitaufwand für Aktivitäten im Zusammenhang mit Phishing müssen Unternehmen jedem IT- oder Sicherheitsfachmann, der Phishing bearbeitet, ein höheres Gehalt zahlen. Den Daten zufolge zahlt ein Unternehmen mit fünf IT- und Sicherheitsfachleuten derzeit 228.630 US-Dollar an jährlichen Gehältern und Zusatzleistungen für die Bearbeitung von Phishing. Ein Unternehmen mit 10 IT- und Sicherheitsfachleuten zahlt 457.260 US-Dollar pro Jahr, und ein Unternehmen mit 25 IT- und Sicherheitsfachleuten zahlt derzeit 1.143.150 US-Dollar pro Jahr.
Phishing-Angriffe: Eine zunehmend größere Herausforderung
Phishing ist eine zunehmend ausgefeilte Form von Cyberangriffen, die immer häufiger auftritt und Erkennungsmaßnahmen immer besser umgeht. Die meisten der für den Bericht befragten IT- und Sicherheitsexperten erwarten, dass das Volumen der Phishing-Angriffe in den nächsten 12 Monaten zunimmt. Da die Angriffe komplexer und schädlicher werden, werden Unternehmen mehr Zeit und Geld für deren Eindämmung aufwenden.
80 Prozent der Unternehmen sind der Ansicht, dass sich die Dynamik von Phishing im vergangenen Jahr verschlechtert hat oder gleich geblieben ist. Zu diesen Entwicklungen zählen die Anzahl der Phishing-Angriffe, ihre Ausgefeiltheit und ihre Fähigkeit, aktuelle Erkennungsmechanismen zu umgehen.
So verwenden Hacker adaptive Techniken oder polymorphe Angriffe, bei denen jede Phishing-Nachricht geringfügig verändert wird. Dadurch sinkt die Wahrscheinlichkeit, dass eine Nachricht als Phishing-Betrug gekennzeichnet wird.
Siehe auch: Secure Access Service Edge: Große Vorteile, große Herausforderungen
Angriffe auf gefährdete Endanwender
Am häufigsten werden Phishing-Angriffe durchgeführt, indem der Empfänger einer E-Mail dazu gebracht wird zu glauben, dass die erhaltene Nachricht von einer vertrauenswürdigen Quelle stammt, etwa von einer Bank, einem Freund oder einem Kollegen.
Hacker können Zugangsdaten aus früheren Phishing-Nachrichten erlangen oder die Zugangsdaten im Darknet kaufen. Die Nachrichten werden über die eigene E-Mail-Infrastruktur eines Unternehmens versendet und umgehen daher wahrscheinlich die Erkennung.
Jede Messaging-Plattform, auf der eine wechselseitige Kommunikation stattfindet, ist inzwischen ein Ziel für Phishing-Angriffe, sagte Thomas. Social-Media-Plattformen wie Facebook, LinkedIn und Instagram sind am häufigsten betroffen, aber auch Nutzer von Webex und Zoom sind gefährdet. Hacker, die über Zugangsdaten von Mitarbeitern verfügen, können ein legitimes Konto übernehmen und sich gegenüber den Kontakten als Kontoinhaber ausgeben. Diese erhalten Phishing-Links und Anhänge direkt in den jeweiligen Apps.
Siehe auch: Die besten Website-Scanner
Social Media im Visier
Der Bericht identifizierte einen beunruhigenden Trend: Phishing-Angriffe breiten sich über E-Mails hinaus aus. Den Befragten zufolge beobachten sie Phishing-Angriffe in Messaging-Apps wie:
- WhatsApp, Telegram und Snapchat (57 %)
- Cloudbasierten Filesharing-Plattformen wie Dropbox und Google Drive (50 %)
- SMS-Diensten (49 %)
- Social Media und Direktnachrichten (44 %)
- Videokonferenzplattformen wie Zoom, Webex und Google Meet (43 %)
- Kollaborationsplattformen wie Microsoft Teams und Slack (40 %)
Die Zahl der Phishing-Angriffe wird in den nächsten 12 Monaten voraussichtlich weiter zunehmen. Unternehmen sollten sich daher vorbereiten, indem sie ihre Cybersicherheitsstrategien überarbeiten und robustere Lösungen einsetzen, die Phishing-Angriffe erkennen und stoppen können – auch fortgeschrittene polymorphe und verschachtelte Bedrohungen – und ihre Kommunikations- und Kollaborations-Apps schützen, nicht nur E-Mails.
IRONSCALES empfiehlt in dem Bericht, durch Umfragen und Schulungsmaterialien ein Bewusstsein bei den Mitarbeitern zu schaffen, damit diese Phishing-Betrug erkennen können. Unternehmen können Phishing-Simulationen und Schulungsübungen einsetzen, um Mitarbeitern verschiedene Phishing-Techniken zu vermitteln. Für Unternehmen mit einer Bring-your-own-device-Richtlinie (BYOD) sollte diese überarbeitet werden und auch Leitlinien zu textbasiertem Phishing enthalten.
IRONSCALES empfiehlt außerdem, das Prinzip des geringstmöglichen Zugriffs anzuwenden, um die Angriffsfläche zu reduzieren. Selbst wenn das Konto eines Mitarbeiters kompromittiert wird, bleibt sein Zugriff auf seine beruflichen Funktionen und Aufgaben beschränkt. Diese wichtigen Schritte können Unternehmen dabei helfen, ihre Mitarbeiter zu schulen und potenzielle Angriffe einzudämmen.