Wallis VS - Social Engineering: Neue Angriffsmethode richtet sich gegen Firmen
09.02.2017 | 11:42
In den letzten Wochen wurden mehrere Betrugsfälle registriert. Die Angriffe beginnen mit einem Gespräch mit der Nummer 022 5** ** ** und der Anrufer gibt sich als Bankangestellter aus.
In Wirklichkeit wird dieses Gespräch aus dem Ausland geführt. Er informiert die Unternehmung, dass ein e-Banking-Update durchgeführt und getestet wird. Dazu vereinbart der Betrüger in der Regel für den nächsten Tag einen weiteren Termin. Er verlangt, dass an diesem Termin verschiedene Mitarbeitende der Finanzabteilung, insbesondere diejenigen, die beim e-Banking unterschriftsberechtigt sind anwesend sind.
Um Vertrauen zu schaffen, erwähnen die Betrüger zum Teil die Namen von existierenden Mitarbeitenden. Diese Informationen, bei welcher Bank die Firma Kunde ist, sind oft auf der Firmenwebseite ersichtlich, da dort die Bankverbindung angegeben ist.
Weiterer Anruf folgt
Beim zweiten Anruf versucht der Betrüger die Unternehmung zu überzeugen, ein Programm zu installieren, um dem Anrufer einen direkten Datenzugriff zu erlauben. Ist einmal das Fernzugrifftool installiert, gibt der Anrufer vor, anhand einer Testzahlung die Funktionsweise des Systems zu überprüfen. Da das Auslösen von Zahlungen bei Firmen in der Regel durch eine Kollektivunterschrift geschützt ist, fordern die Betrüger die Unterschriftsberechtigten auf, ihre Zugangsdaten anzugeben.
In Wirklichkeit geben sie allerdings so die Zahlung frei. In einigen Fällen wird dem Opfer während diesem Vorgang durch die Angreifer ein schwarzer Bildschirm eingeblendet, damit das Opfer die betrügerische Zahlung nicht bemerken kann.
Engineering-Angriffe weiter an der Tagesordnung
Diese neue Betrugsmethode zeigt auf, dass die Social Engineering-Angriffe nicht weniger werden, sondern im Gegenteil weiter steigen. In den letzten Wochen stieg die Deliktssumme in den Westschweizer Kantonen auf mehrere Millionen Franken. Im Wallis wurde bis anhin eine Unternehmung mit dieser Betrugsmethode konfrontiert.
In vielen Fällen ist wie bereits oben erwähnt, die Bankverbindung auf der Internetseite der Unternehmung ersichtlich. Manchmal gelangen die Betrüger nach Telefongesprächen oder Mails an die nötigen Informationen.
Um sich vor solchen Angriffen zu schützen, empfiehlt MELANI (Melde- und Analysestelle Informationssicherung) folgende Massnahmen:
- Die Sensibilisierung von Mitarbeitenden bezüglich dieser Vorfälle, insbesondere der Mitarbeitenden in Schlüsselpositionen.
- Sämtliche den Zahlungsverkehr betreffenden Prozesse, sollten firmenintern klar geregelt sein und von den Mitarbeitenden in allen Fällen konsequent eingehalten werden. Finanzinstitute werden Sie weder telefonisch noch schriftlich dazu auffordern, Ihre e-Banking Zugangsdaten anzugeben.
- Keine seriöse Bank wird Sie auffordern, an Tests von irgendwelchen Sicherheitsupdates mitzuwirken. Die Banken resp. deren IT-Dienstleister verfügen über spezielle Testumgebungen, um Sicherheitsupdates zu prüfen, bevor diese für den Kunden sichtbar werden.
- Installieren Sie niemals Software, wenn Sie telefonisch oder schriftlich dazu aufgefordert werden.
- Erlauben Sie niemals einen Fremdzugriff auf Ihren Computer.
- Reduzieren Sie im Internet publizierte Informationen über Ihr Unternehmen auf das Notwendige. Verzichten Sie wenn möglich auf die namentliche Nennung von Mitarbeitenden sowie auf die Angabe von Bankverbindungen.
- Geben Sie bei zweifelhaften oder ungewöhnlichen Kontaktaufnahmen keine internen Informationen preis.
- Bei ungewöhnlichen Kontaktaufnahmen und Aufforderungen ist es empfehlenswert, innerhalb der Firma Rücksprache zu nehmen, um die Richtigkeit des Auftrages zu verifizieren.
- Falls Sie Opfer von Betrug geworden sind, melden Sie dies via Meldeformular an das Bundesamt für Polizei fedpol und erstatten Sie Anzeige bei Ihrer kantonalen Polizeidienststelle.
Für die IT-Sicherheit in KMUs hat MELANI ein Merkblatt veröffentlicht: