Was ist Phishing?

Wie Phishing funktioniert

The basic element of a phishing attack is a message sent by email, social media, or other electronic communication means.

Ein Phisher kann öffentliche Ressourcen, insbesondere soziale Netzwerke, nutzen, um Hintergrundinformationen über die persönlichen und beruflichen Erfahrungen seines Opfers zu sammeln. Diese Quellen werden verwendet, um Informationen wie den Namen, die Berufsbezeichnung und die E-Mail-Adresse des potenziellen Opfers sowie seine Interessen und Aktivitäten zu sammeln. Der Phisher kann diese Informationen dann nutzen, um eine zuverlässige gefälschte Nachricht zu erstellen.

Typically, the emails the victim receives appear to come from a known contact or organization. Attacks are carried out through malicious attachments or links to malicious websites. Attackers often set up fake websites, which appear to be owned by a trusted entity like the victim’s bank, workplace, or university. Via these websites, attackers attempt to collect private information like usernames and passwords or payment information.

Some phishing emails can be identified due to poor copywriting and improper use of fonts, logos, and layouts. However, many cybercriminals are becoming more sophisticated at creating authentic-looking messages and are using professional marketing techniques to test and improve the effectiveness of their emails.

5 Arten von Phishing-Angriffen

#1. Email Phishing

Die meisten Phishing-Angriffe erfolgen per E-Mail. Angreifer registrieren in der Regel gefälschte Domänennamen, die echte Organisationen nachahmen, und senden Tausende häufiger Anfragen an die Opfer.

For fake domains, attackers may add or replace characters (e.g., my-bank.com instead of mybank.com), use subdomains (e.g., mybank.host.com), or use the trusted organization’s name as the email username (e.g., mybank@host.com).

Many phishing emails use a sense of urgency or a threat to cause a user to comply quickly without checking the source or authenticity of the email.

E-Mail-Phishing-Nachrichten verfolgen eines der folgenden Ziele:

• Causing the user to click a link to a malicious website in order to install malware on their device.
• Causing the user to download an infected file and using it to deploy malware.
• Den Benutzer dazu veranlassen, auf einen Link zu einer gefälschten Website zu klicken und persönliche Daten anzugeben.
• Veranlassen Sie den Benutzer, zu antworten und personenbezogene Daten anzugeben.

#2. Spear Phishing

Spear phishing includes malicious emails sent to specific people. The attacker typically already has some or all of the following information about the victim:

• Name
• Arbeitsplatz
• Berufsbezeichnung
• E-Mail-Adresse
• Spezifische Informationen zu ihrer beruflichen Rolle
• Vertrauenswürdige Kollegen, Familienmitglieder oder andere Kontakte sowie Beispiele ihrer Texte

Diese Informationen tragen dazu bei, die Effektivität von Phishing-E-Mails zu erhöhen und Opfer dazu zu manipulieren, Aufgaben und Aktivitäten auszuführen, beispielsweise Geld zu überweisen.

#3. Whaling

Whaling attacks target senior management and other highly privileged roles. The ultimate goal of whaling is the same as other types of phishing attacks, but the technique is often very subtle. Senior employees commonly have a lot of information in the public domain, and attackers can use this information to craft highly effective attacks.

Typically, these attacks do not use tricks like malicious URLs and fake links. Instead, they leverage highly personalized messages using information they discover in their research about the victim. For example, whaling attackers commonly use bogus tax returns to discover sensitive data about the victim and use it to craft their attack.

#4. Smishing and Vishing

This is a phishing attack that uses a phone instead of written communication. Smishing involves sending fraudulent SMS messages, while vishing involves phone conversations.

Bei einem typischen Voice-Phishing-Betrug gibt sich ein Angreifer als Betrugsermittler eines Kreditkartenunternehmens oder einer Bank aus und informiert das Opfer darüber, dass sein Konto gehackt wurde. Kriminelle fordern das Opfer dann auf, Zahlungskarteninformationen anzugeben, angeblich um seine Identität zu überprüfen oder Geld auf ein sicheres Konto zu überweisen (das in Wirklichkeit das Konto des Angreifers ist).

Vishing scams may also involve automated phone calls pretending to be from a trusted entity, asking the victim to type personal details using their phone keypad.

#5. Angler Phishing

These attacks use fake social media accounts belonging to well-known organizations. The attacker uses an account handle that mimics a legitimate organization (e.g., “@pizzahutcustomercare”) and uses the same profile picture as the real company account.

Angreifer nutzen die Tendenz der Verbraucher aus, über Social-Media-Kanäle Beschwerden einzureichen und Marken um Hilfe zu bitten. Anstatt jedoch die echte Marke zu kontaktieren, kontaktiert der Verbraucher das gefälschte soziale Konto des Angreifers.

Wenn Angreifer eine solche Anfrage erhalten, bitten sie den Kunden möglicherweise um die Angabe persönlicher Informationen, damit er das Problem identifizieren und angemessen reagieren kann. In anderen Fällen stellt der Angreifer einen Link zu einer gefälschten Kundensupportseite bereit, bei der es sich in Wirklichkeit um eine bösartige Website handelt.

Was sind die Anzeichen von Phishing?

Drohungen oder ein Gefühl der Dringlichkeit

E-Mails, die mit negativen Konsequenzen drohen, sollten stets mit Skepsis betrachtet werden. Eine andere Strategie besteht darin, die Dringlichkeit zu nutzen, um sofortiges Handeln zu fördern oder zu fordern. Phisher hoffen, dass sie durch das schnelle Lesen der E-Mail den Inhalt nicht gründlich prüfen und keine Inkonsistenzen entdecken.

Nachrichtenstil

An immediate indication of phishing is that a message is written with inappropriate language or tone. If, for example, a colleague from work sounds overly casual or a close friend uses formal language, this should trigger suspicion. Recipients of the message should check for anything else that could indicate a phishing message.

Ungewöhnliche Anfragen

Wenn Sie in einer E-Mail nicht standardmäßige Aktionen ausführen müssen, könnte dies ein Hinweis darauf sein, dass die E-Mail bösartig ist. Wenn beispielsweise eine E-Mail vorgibt, von einem bestimmten IT-Team zu stammen und die Installation von Software anfordert, diese Aktivitäten jedoch normalerweise zentral von der IT-Abteilung verwaltet werden, ist die E-Mail wahrscheinlich bösartig.

Sprachliche Fehler

Misspellings and grammatical misuse are another sign of phishing emails. Most companies have set up spell-checking in their email clients for outgoing emails. Therefore, emails with spelling or grammatical errors should raise suspicion, as they may not originate from the claimed source.

Inkonsistenzen in Webadressen

Eine weitere einfache Möglichkeit, potenzielle Phishing-Angriffe zu erkennen, besteht darin, nach nicht übereinstimmenden E-Mail-Adressen, Links und Domänennamen zu suchen. Es ist beispielsweise eine gute Idee, eine frühere Kommunikation zu überprüfen, die mit der E-Mail-Adresse des Absenders übereinstimmt.

Recipients should always hover over a link in an email before clicking it to see the actual link destination. If the email is believed to be sent by Bank of America, but the domain of the email address does not contain “bankofamerica.com”, that is a sign of a phishing email.

Request for Credentials, Payment Information, or Other Personal Details

In vielen Phishing-E-Mails erstellen Angreifer gefälschte Anmeldeseiten, die auf scheinbar offizielle E-Mails verweisen. Die gefälschte Anmeldeseite enthält normalerweise ein Anmeldefeld oder eine Anfrage nach Finanzkontoinformationen. Wenn die E-Mail unerwartet ist, sollte der Empfänger keine Anmeldeinformationen eingeben oder auf den Link klicken. Als Vorsichtsmaßnahme sollten Empfänger direkt die Website besuchen, von der sie glauben, dass sie von der E-Mail-Quelle stammt.