Phishing-Prävention Die Tricks der Hacker beim Phishing-Betrug

Phishing-Attacken erfolgen meist in Form von Direktnachrichten, Posts oder Werbung. An welchen Anzeichen kann ein User zweifelsfrei erkennen, dass es sich um einen Phishing-Versuch handelt? Welche Maßnahmen der Abwehr bieten sich an?

Immer häufiger und raffinierter werden leichtsinnige User durch Phishing-Angriffe dazu verleitet, Passwörter für Konten oder Geräte und sensible Informationen wie beispielsweise Finanzdaten preiszugeben. Hacker fordern ihre Opfer meist dazu auf, einen Anhang zu öffnen, einem Link zu folgen, ein Formular auszufüllen oder mit persönlichen Daten zu antworten.

Zunehmend verbergen sich Hacker per Deepfake hinter authentisch klingenden Stimmen, denen User normalerweise blind vertrauen, wie etwa Angehörige, Kollegen oder Bankangestellte. Wer auch nur auf einen Link klickt, kann schon das nächste Opfer eines raffinierten Hackers sein. Phishing-Hacker starten ihre Angriffe meist in Form von Posts, Direktnachrichten (Direct Messages, DMs) oder Werbung. In der Folge sind die häufigsten Phishing-Muster skizziert.

Phishing über Direktnachricht

Betrügereien über Phishing erfolgen nicht nur per E-Mail, sondern sehr häufig über soziale Medien. Beim Social-Media-Phishing senden Hacker ihren Opfern Nachrichten, die vorgeben, von einer legitimen Quelle zu stammen, sei es ein Freund oder ein seriöses Unternehmen. Solche Nachrichten vermitteln oft ein Gefühl der Dringlichkeit, die das Opfer in Panik versetzen und dazu bringen soll, auf einen Link zu klicken. Der Link führt dann zu einer gefälschten Anmeldeseite, die dem Original täuschend ähnelt, auf der die Anmeldedaten eingegeben werden müssen.

Gefälschter Kundensupport

Bei einem Phishing-Angriff mit gefälschtem Kundensupport gibt sich der Hacker in seinen Direktnachrichten als Unternehmen aus, um sein Opfer dazu zu bringen, seine Kontodaten preiszugeben. Da in etwa neun von zehn B2B-Vermarktern soziale Medien zum Posten von Inhalten verwenden, ist ihre Präsenz allein kein Grund zur Sorge. In der Regel ist das Kundensupport-Konto allerdings nicht verifiziert. Das bedeutet, dass es sich um ein Phishing-Konto handelt. In diesem Fall wird das Opfer aus heiterem Himmel kontaktiert. Unternehmen senden jedoch im Allgemeinen keine Direktnachrichten.

Fake-Werbung

Hier handelt es sich um einen Phishing-Betrug mit gefälschten Anzeigen. Das Opfer soll dazu verführt werden, auf einen Link zu klicken oder eine manipulierte Website zu besuchen. Letztendlich besteht das Ziel darin, Finanzdaten zu stehlen oder Malware zu installieren. Häufig besteht das Werbematerial aus schlechter Qualität und die Angebote sind verdächtig günstig.

Phishing mit Authentifizierungscodes

Hacker senden per SMS, E-Mail oder Direktnachricht einen bösartigen, aber völlig harmlos aussehenden Link mit dem Inhalt: „Bitte klicken Sie hier, um Ihren Code zu bestätigen.“ Wer diesem Link folgt, wird sein Gerät mit Malware infizieren. Normalerweise erhält niemand unaufgefordert einen Code. Selbst Social-Media-Plattformen senden Authentifizierungscodes immer nur auf Anfrage. Am besten gleich Passwörter mit einer langen Mischung aus zufälligen Zahlen, Buchstaben und Symbolen aktualisieren. Wenn möglich, dem Konto eine Multi-Faktor-Authentifizierung hinzufügen und Sicherheitsfragen erneuern, um zukünftigen Phishing-Versuchen vorzubeugen.

Job-Phishing in sozialen Medien

Hacker können Arbeitssuchende hinters Licht führen, indem sie sich auf Social-Media-Plattformen mit legitimen Stellenangeboten btarnen. Sie veröffentlichen verlockende Stellenangebote, die auf den ersten Blick authentisch erscheinen, versprechen aber oft ungewöhnlich hohe Gehälter oder Zusatzleistungen, um Opfer anzulocken. Von den Bewerbern werden vertrauliche persönliche Informationen sowie auch Vorauszahlungen verlangt. Begründet wird dies mit der Notwendigkeit, Bearbeitungsgebühren zu decken. Vorsicht vor allem bei unaufgeforderten Stellenangeboten, fehlenden Informationen zum Unternehmen sowie unrealistisch hohen Gehältern bei minimalen Qualifikationen!

Deepfake-Phishing

Ein Deepfake ist ein Bild, Video bzw. Audioclip, der eine Person täuschend ähnlich darstellt. Hacker benötigen nur ein einziges Bild und eine Minute Audio, um per KI-Programme ein Deepfake zu erstellen. Damit geben sich Hacker für jemand aus, den die Zielperson meist gut kennt, um ein Profil echt erscheinen zu lassen. Mittlerweile ist es mitunter sehr schwer geworden, Deepfakes von der Realität zu unterscheiden. Obwohl Deepfaking von Live-Videos sogar möglich ist, werden bei einem durchschnittlichen Phishing-Versuch derart ressourcenintensive Taktiken im Moment noch nicht eingesetzt, da dies viel zu teuer ist. Noch.

Investment-Phishing-Betrug

Bei einem Anlage-Phishing-Betrug wird das Opfer in dem Glauben gehalten, ein Investment zu erwerben, obwohl ein Hacker lediglich Bank- bzw. Finanzdaten ausspionieren möchte. In den Angeboten werden zudem hohe Renditen und Zugang zu spezielllem Insiderwissen versprochen.

Maßnahmen zur Vermeidung von Phishing-Attacken

Bei Benachrichtigungen von einer „Bank“ oder einer anderen großen „Institution“, sollte man niemals auf den Link in der E-Mail klicken. Dagegen empfiehlt es sich, ein Browserfenster zu öffnen und die Adresse direkt in das URL-Feld einzugeben, um sicherzustellen, dass die Site echt ist.

User sollten niemals alarmierenden Nachrichten vertrauen! Die meisten seriösen Unternehmen bitten nicht per E-Mail um personenbezogene Daten oder Kontodetails. Dies gilt nicht nur für Banken, Versicherungsgesellschaften und jedes Unternehmen, mit dem Geschäfte abgeschlossen werden. Daher sollten E-Mails sowie deren Word-, Excel-, PowerPoint- oder PDF-Anhänge mit Anfragen nach Kontoinformationen jeglicher Art sofort gelöscht werden.

Eingebettete Links und URLs in E-Mails einer Nachricht sollten grundsätzlich nie ohne genaue Überprüfung angeklickt werden, da diese Malware enthalten könnten. Ferner sollte regelmäßig die Software bzw. das Betriebssystem auf dem neuesten Stand gehalten werden. Windows-Betriebssystemprodukte sind häufig das Ziel von Phishing und anderen bösartigen Angriffen. Dies gilt insbesondere für User, die noch ältere Versionen als Windows 10 verwenden.

Noch ein wichtiger Punkt: Wer Spam reduziert, vermeidet auch Phishing. Zudem sollten persönliche und offizielle Mailadressen verwendet werden. Die Adressen sind so zu wählen, dass sie für Spammer nur schwer zu erraten sind. Ferner empfiehlt es sich, private E-Mail-Adressen niemals auf öffentlich zugänglichen Online-Ressourcen zu veröffentlichen.

(ID:50229259)