Phishingtrends und -techniken

Phishing-Angriffe sind Betrugsversuche, die häufig Social-Engineering-Köder verwenden oder Inhalte anlocken. Legitim aussehende Kommunikation, in der Regel E-Mail, die links zu einer Phishing-Website ist eine der am häufigsten verwendeten Methoden bei Phishing-Angriffen. Die Phishingwebsite imitiert in der Regel Anmeldeseiten, auf denen Benutzer Anmeldeinformationen und Kontoinformationen eingeben müssen. Die Phishing-Website erfasst dann die vertraulichen Informationen, sobald der Benutzer sie bereitstellt, und gewährt Angreifern Zugriff auf die Informationen.

Im Folgenden finden Sie einige der häufigsten Phishing-Techniken, mit denen Angreifer versuchen, Informationen zu stehlen oder Zugriff auf Ihre Geräte zu erhalten.

Rechnungsphishing

In diesem Betrug versucht der Angreifer, Sie mit einer E-Mail zu locken, die besagt, dass Sie eine offene Rechnung von einem bekannten Anbieter oder Unternehmen haben. Sie stellen dann einen Link bereit, über den Sie auf Ihre Rechnung zugreifen und diese bezahlen können. Wenn Sie auf die Website zugreifen, ist der Angreifer bereit, Ihre persönlichen Informationen und Gelder zu stehlen.

Betrug bei Zahlung / Lieferung

Sie werden aufgefordert, eine Gutschrift Karte oder andere persönliche Informationen anzugeben, damit Ihre Zahlungsinformationen mit einem allgemein bekannten Anbieter oder Lieferanten aktualisiert werden können. Das Update wird angefordert, damit Sie ihre bestellte Ware in Die Lieferung nehmen können. Im Allgemeinen sind Sie möglicherweise mit dem Unternehmen vertraut und haben wahrscheinlich in der Vergangenheit Geschäfte mit dem Unternehmen gemacht. Sie kennen jedoch keine Artikel, die Sie kürzlich von ihnen gekauft haben.

Phishing-Betrug im Steuerdesign

Ein gängiger IRS-Phishing-Betrug ist der Erhalt eines dringenden E-Mail-Briefs, der angibt, dass Sie dem IRS Geld schulden. Oft bedroht die E-Mail rechtliche Schritte, wenn Sie nicht rechtzeitig auf die Website zugreifen und Ihre Steuern zahlen. Wenn Sie auf die Website zugreifen, können die Angreifer Ihr persönliches Guthaben Karte oder Bankinformationen stehlen und Ihre Konten leeren.

Downloads

Ein Angreifer sendet eine betrügerische E-Mail, in der Sie gebeten werden, einen Anhang zu öffnen oder herunterzuladen, wie zum Beispiel ein PDF, Microsoft Word-Dokument, eine Kalendereinladung (.ics), oder eine angehängte E-Mail (.eml). Der Anhang könnte einen Link oder eine Nachricht enthalten, die Sie auffordert, sich bei einer E-Mail- oder Dateifreigabeseite anzumelden.

Angreifer können auch Anhänge, wie etwa eine E-Mail, die eine Kalendereinladung enthält, verschachteln, um einen mehrstufigen Phishing-Fluss zu erzeugen. Wenn Sie Ihre Zugangsdaten auf der Phishing-Seite eingeben, erhält der Angreifer Zugriff auf Ihre Kontoinformationen.

QR-Code-Phishing

QR-Code-Phishing, auch Quishing genannt, bettet einen QR-Code in ein Bild, PDF oder Word-Dokument ein. Die Nachricht bittet Sie, den Code mit einem mobilen Gerät zu scannen, das eine Seite zum Sammeln von Zugangsdaten öffnet. Diese Technik verlagert die Interaktion weg vom E-Mail-Link-Scannen und auf ein Gerät, bei dem die Ziel-URL vor dem Öffnen schwerer zu überprüfen ist.

CAPTCHA-gegated Phishing

CAPTCHA-gesicherte Phishing-Seiten verlangen, dass Sie ein CAPTCHA oder eine andere Interaktion ausfüllen, bevor sie den Köder anzeigen oder Sie auf eine gefälschte Anmeldeseite weiterleiten. Angreifer nutzen diesen zusätzlichen Schritt, um die Seite legitim erscheinen zu lassen und automatisierte Sicherheitsanalysen zu behindern. Die letzte Seite versucht häufig, Zugangsdaten zu stehlen.

Phishing-E-Mails, die andere Bedrohungen liefern

Phishing-E-Mails sind oft effektiv, sodass Angreifer sie manchmal verwenden, um Ransomware über Links oder Anhänge in E-Mails zu verteilen. Beim Ausführen verschlüsselt die Ransomware Dateien und zeigt einen Lösegeldschein an, der Sie auffordern, eine Summe geld für den Zugriff auf Ihre Dateien zu bezahlen.

Wir haben auch Phishing-E-Mails gesehen, die Links zu Tech Support Betrug Websites haben. Diese Websites verwenden verschiedene Angsttaktiken, um Sie dazu zu bringen, Hotlines anzurufen und für unnötige "technische Supportdienste" zu bezahlen, die angeblich erfundene Geräte-, Plattform- oder Softwareprobleme beheben.

Spear-Phishing

Spear-Phishing ist ein gezielter Phishing-Angriff, der hochgradig angepasste Köderinhalte umfasst. Angreifer führen in der Regel Aufklärungsarbeit durch, indem sie soziale Medien und andere Informationsquellen über ihr beabsichtigtes Ziel abfragen.

Spear-Phishing kann Sie dazu bringen, sich auf gefälschten Seiten anzumelden und Ihre Zugangsdaten einzugeben. Angreifer können Sie auch dazu verleitet, Dokumente zu öffnen oder Links auszuwählen, die Malware installieren. Die Malware kann Angreifern die Fernkontrolle über den infizierten Computer ermöglichen.

Die implantierte Schadsoftware dient als Einstiegspunkt für einen komplexeren Angriff, der als Advanced Persistent Threat (APT) bezeichnet wird. APTs wurden entwickelt, um Kontrolle zu schaffen und Daten über längere Zeiträume zu stehlen. Angreifer können versuchen, verdeckte Hacking-Tools bereitzustellen, sich seitlich auf andere Computer zu bewegen, privilegierte Konten zu kompromittieren oder zu erstellen und regelmäßig Informationen aus kompromittierten Netzwerken zu exfiltrieren.

Walfang

Waling ist eine Form von Phishing, das sich an hochrangige oder leitende Angestellte innerhalb bestimmter Unternehmen richtet, um Zugriff auf ihre Anmeldeinformationen und/oder Bankinformationen zu erhalten. Der Inhalt der E-Mail kann als rechtliche Vorladung, Kundenbeschwerde oder andere Executive-Angelegenheit geschrieben werden. Diese Art von Angriff kann auch zu einem APT-Angriff innerhalb eines organization führen.

Kompromittierung geschäftlicher E-Mails

Business E-Mail Compromise (BEC) ist ein ausgeklügelter Betrug, der auf Unternehmen abzielt, die häufig mit ausländischen Lieferanten arbeiten oder Geldüberweisungen durchführen. Eines der am häufigsten von BEC-Angreifern verwendeten Schemas besteht darin, sich durch einen Spear-Phishing-Angriff Zugriff auf das Netzwerk eines Unternehmens zu verschaffen. Der Angreifer erstellt eine Domäne, die dem Unternehmen ähnelt, auf das er abzielt, oder spooft seine E-Mails, um Benutzer zu betrügen, um persönliches Konto Informationen für Geldtransfers freizugeben.

Weitere Informationen zu Phishingangriffen

Informationen zu den neuesten Phishingangriffen, -techniken und -Trends finden Sie im Microsoft-Sicherheitsblog:

  • Last updated on