Bei Spear-Phishing handelt es sich um spezielle Betrugsversuche per E-Mail. Sie zielen darauf ab, nicht autorisierten Zugriff auf vertrauliche Daten zu erhalten.
Es heisst bisher immer: Spam-Mails werden millionenfach versendet, Betrugsversuche zielen nicht auf Sie persönlich ab. All das hatte den beruhigenden Vorteil, dass man sich nicht gezielt als Opfer fühlen musste. Denn eine E-Mail, die wahllos an Abertausende oder Millionen Menschen versendet wird, ist unpersönlich, ist Massenware und ist daher vor allem eines: leicht erkennbar. Doch es gibt eine Änderung im System des Betrugs. Eine neue Methode, die “Spear Phishing” genannt wird.
Spear Phishing
Sie kennen vermutlich den Begriff des “Phishing”. Er steht für den Versuch, meist ausgehend von einer E-Mail, sensible, private Daten von einem Nutzer zu erbeuten. Dabei ist der Begriff an das Fischen angelehnt, wobei die Kriminellen als die jagenden Fischer zu sehen sind und die Nutzer als die nichts ahnenden im Wasser schwimmenden Fische, welche ins Netz gehen sollen.
Beim “Spear Phising” nutzt der Kriminelle, um in der Metapher zu bleiben, nicht mehr das Netz, um massenhaft und ungezielt Fische (Nutzer) zu fangen (betrügen), sondern der Kriminelle sucht gezielt nach besonderen Fischen und visiert diese mit einer neuen Waffe, einem Speer, an und erlegt diese Fische dann ganz gezielt.
Warum?
Aus Sicht der Kriminellen ist das Fischen mit dem Netz, die typische gute alte Spam-Mail, kaum mehr zeitgemäss und nicht mehr so erfolgreich. Die millionenfach pro Tag versendeten E-Mails, welche den Nutzer oft anonym und auf die immer gleiche Weise ansprechen, sind zwar schnell angefertigt und können als “Massenprodukt” auf den “Markt” gebracht werden, erzielen aber immer weniger Erfolge. Die Spam-Filter erkennen diese Massenware sehr häufig und der Nutzer wird natürlich mit den Jahren auch immer schlauer.
Das Ergebnis aus der Mischung von erfolglosen alten Spam-Mails, schlaueren Nutzern und besseren Spam-Filtern ist die Entwicklung eines neues Prinzips, bei dem man sich die Opfer ganz gezielt heraussucht.
Wie?
„Spear Phishing“ hat einen zentralen Mechanismus: Personalisierung. Das bedeutet, der Betrugsversuch zielt viel genauer als je zuvor auf eine einzelne Person ab. Der Sinn und Zweck davon liegt auf der Hand, denn je persönlicher eine Spam-Mail den Empfänger anspricht, desto wahrscheinlicher ist es, dass der Empfänger die Spam-Mail öffnet, sie liest, dem Inhalt vertraut und letztendlich in die Falle tappt. Dabei wird die Spam-Mail auch nicht mehr millionenfach versendet, sondern vielleicht nur noch einige tausend oder nur einige hundert Mal. Das verringert die Auffälligkeit der Spam-Mail. Die Spam-Filter entdecken die Spam-Mail nicht und die Nutzer haben von der jeweiligen Spam-Mail auch zuvor noch nie gehört, weil sie eben so wenig im Umlauf ist.
Bisherige Personalisierung
Eine solche Personalisierung funktioniert auf verschiedenen Wegen und einiges davon können Sie schon in einigen aktuellen Spam-Mails entdecken. Diese Methoden werden in Zukunft noch zunehmen:
a) Passende persönliche Anrede: Sie werden in der Spam-Mail mit Ihrem richtigen Namen angeschrieben.
b) Passende Hausadresse: In der Spam-Mail steht Ihre echte Hausanschrift.
c) Passender Absender: Die Spam-Mail kommt offenbar von einem guten Bekannten und nicht von einem Fremden.
Zukünftige Personalisierung
In Zukunft und vermutlich schon im Jahr 2017 wird es noch stärker personalisierte Betrugsversuche geben, dass man deutlich besser aufpassen muss, nicht in die Falle zu tappen. Eine personalisierte Spam-Mail erreicht dann wirklich nur solche Empfänger, die zu diese personalisierten Ansprache passen. Wie könnte so etwas aussehen? Hier drei Beispiele:
1. Aktuelle Geschehnisse:
In der Betrugsmail wird Bezug genommen auf ganz aktuelle tagespolitische oder gesellschaftliche Ereignisse, die Sie garantiert dazu bringen werden, die E-Mail zu öffnen und aus Interesse den Inhalt zu lesen.
2. Lokaler Bezug:
Spam-Mails waren bisher immer daran erkennbar, dass Sie fast nie einen regionalen oder lokalen Bezug hatten, denn so wären keine millionenfachen Spam-Mails möglich gewesen. Zukünftige Spam-Mails könnten Entwicklungen ganz speziell in Ihrer Region thematisch aufgreifen, um Ihr Interesse zu wecken.
3. Persönliche Besitzgegenstände oder Interessen:
Ein Betrug per E-Mail könnte ganz spezifisch Ihr Eigentum oder spezielle Interessen von Ihnen ansprechen, um Sie zum Öffnen und Lesen der E-Mail zu bewegen. Solche Informationen lassen sich beipsielsweise im Internet recherchieren und dann in E-Mails einbauen.
Schutzmassnahmen
Automatische Schutzprogramme für den Computer oder das Handy, die gekauft und installiert werden und daraufhin hundertprozentigen Schutz versprechen, werden nicht die Lösung sein. Ein solches Programm ist nicht intelligent genug, solche auf “Speeren” basierte Angriffe abzuwenden. Das ist natürlich ein weiterer Grund, warum sich die Kriminellen auf das “Spear Phishing” konzentrieren: Viele Menschen verlassen sich vollkommen auf Ihre Schutzprogramme, wenn es um Betrugsversuche geht. Sie denken, Sie müssten nicht mehr selbst nachdenken, da die teuer gekauften Schutzprogramme hier sicherlich einschreiten werden. Den zentralen Schutz aber bilden Erfahrung, Gespür und Kompetenz im Umgang mit dem Computer und dem Handy.
Dieser Beitrag wurde bereitgestellt von unserem Kooperationspartner Levato. Weitere Hilfestellungen zu Computer, Internet und Smartphone finden Sie auf www.levato.de.