E-Mails von gefälschten Konten sind immer noch eine gängige Methode, um in die IT-Systeme von Unternehmen einzudringen. Ziel ist es, Mitarbeitende zu Überweisungen auf falsche Konten – meist in China oder Hongkong – zu bewegen. Die Vorgehensweisen der Cyberkriminellen werden dabei immer ausgefeilter.
Nur knapp entging ein Verein der englischen Fußball Premier League einer Blamage. Diesmal nicht auf dem Rasen, sondern bei Vertragsverhandlungen. Hacker hatten erfolgreich das E-Mail-Konto eines Geschäftsführers des Clubs gekapert, indem sie ihm eine Phishing-Mail mit dem Link zu einer gefälschten Microsoft 365-Anmeldeseite geschickt hatten. Dort gab der nichtsahnende Geschäftsführer seine persönlichen Anmeldeinformationen preis – Tür und Tor standen den Hackern offen, um sich in Transferverhandlungen im Wert von rund 1,1 Millionen Euro einzuklinken und den Geldbetrag auf ein eigenes Konto umzuleiten.
Gefälschte E-Mails sind immer noch ein gängiges Einfallstor in die IT-Infrastruktur von Unternehmen. Sie sehen aus, als kämen sie von einer wichtigen Stelle aus dem Unternehmen oder vom Vorgesetzten. Wie erfolgreich diese Methode ist, zeigen Zahlen des FBI: In den USA ergaunerten Betrüger im Jahr 2019 auf diese Weise über 1,7 Milliarden Dollar – etwa die Hälfte des vom FBI dokumentierten Schadens, den Cybercrime in US-Firmen angerichtet hat. Diese CEO-Fraud, Business E-Mail Compromise (BEC) oder auch Fake President Fraud genannten Angriffe nutzen meist Kombinationen von Social Engineering und gefälschten Mails.
Eine gefälschte Mail als Türöffner
Zunächst machen sich die Angreifer gut mit dem Unternehmen vertraut, nutzen unter anderem Social Media Accounts von Mitarbeitenden, um mehr über die Firma zu erfahren oder geben sich als interessierter Geschäftspartner aus, indem sie telefonisch Kontakt aufnehmen. Ziel ist es, das Vertrauen der Mitarbeitenden zu gewinnen und so mehr über das Unternehmen zu erfahren. Über solche Social Engineering-Techniken versuchen sie herauszubekommen, wie E-Mails des Unternehmens aussehen, welche Sicherheitstechniken im Einsatz sind, welche Personen mit welchen Aufgaben betraut sind, wer die Geschäftspartner sind.
Mit einer gefälschten Mail wird im nächsten Schritt Kontakt zu einem Mitarbeitenden des Unternehmens aufgenommen. In der Regel sieht diese Mail so aus, als käme sie von einem firmeneigenen Account oder aber dem Account eines bekannten Partnerunternehmens. Zudem haben die Betrüger zuvor sichergestellt, dass der angeschriebene Mitarbeitende in irgendeiner Form Geld bewegen kann, ob per Scheck, Überweisung oder Gutschein. Die Cyberkriminellen bemühen sich nun zunächst, das Vertrauen des Mitarbeitenden zu gewinnen, um ihn oder sie dann im letzten Schritt dazu zu bewegen, Geld zu überweisen. Oftmals ist diese Bitte dann äußert dringend und kommt – um entsprechenden Druck aufzubauen – vermeintlich von einem Vorgesetzten.
Gezielte Angriffe aufs Mail-Postfach
Es gibt bei diesen Betrügern aber nicht eine immer gleiche Vorgehensweise. Stattdessen werden die Methoden ausgefeilter, wie das Beispiel des Fußballvereins zeigt. Besonders gefährlich wird es, wenn die E-Mails, die zum Geldtransfer auffordern, nicht gefälscht werden, sondern direkt vom Account eines Mitarbeitenden oder – wie im Falle des Clubs –vom Geschäftsführer oder einem vertrauenswürdigen Geschäftspartner kommen. Hier wird die gefälschte Mail nur als Vehikel genutzt, um an die Zugangsdaten für den echten Mail-Account zu kommen und diesen zu übernehmen. Dann ist die Fälschung es für den Empfänger nicht erkennbar.
So auch bei dem englischen Fußballverein. Hier klinkten sich die Betrüger buchstäblich in Vertragsverhandlungen ein und nahmen die Identität des Geschäftsführers an. So kommunizierten sie direkt mit einem anderen europäischen Club. Zugleich richteten sie ein gefälschtes E-Mail-Konto ein und gaben sich gegenüber dem bereits gehackten Geschäftsführer als der andere europäische Club aus. Die Betrüger müssen sich also zuvor gut mit den Verhandlungen vertraut gemacht haben, denn sie kommunizierten jetzt ja in beide Richtungen. Doch in diesem Fall hatte der Verein Glück: Eine beteiligte Bank verhinderte den Betrug in letzter Minute. Vielleicht kam ihr das Zielkonto plötzlich verdächtig vor: es lag in China.
