Unsere Vishing Awareness Calls

In einer zunehmend vernetzten Welt, in der die Cyber-Sicherheit einen immer größeren Stellenwert einnimmt und erhebliche Investitionen in diesen Bereich getätigt werden, suchen Cyberkriminelle kontinuierlich nach neuen Wegen, um Sicherheitssysteme zu umgehen und ihre Angriffe gewinnbringend umzusetzen.
‍
Eine besonders effektive Betrugsmethode, die in den vergangenen Jahren stark an Bedeutung gewonnen hat, ist das sogenannte Voice Phishing, auch bekannt als Vishing. Dabei geht es darum, Menschen am Telefon zu manipulieren, um sie zu schädlichen Handlungen zu verleiten oder ihnen vertrauliche Informationen zu entlocken. Vishing ist eine Weiterentwicklung des klassischen Phishing-Angriffs, bei dem Betrüger über E-Mails oder gefälschte Websites versuchen, an sensible Daten zu gelangen oder Systeme zu infizieren.

Cyberkriminelle und Hacker haben erkannt, dass der Angriff über das Telefon eine deutlich höhere Erfolgsquote haben kann als andere Methoden des Phishings. Es ist daher nicht verwunderlich, dass Vishing-Angriffe von Anfang 2021 bis Anfang 2022 um steile 550 % angestiegen sind, wie Agari und PhishLabs berichten. Der Trend zeigt auch, dass immer mehr Organisationen von Vishing betroffen sind. Im Jahr 2020 waren weltweit 59 % der Organisationen von Vishing-Angriffen betroffen, während es im Jahr 2022 bereits erschreckende 71 % waren, wie Proofpoint festgestellt hat.

Der erste, wahrscheinlich recht offensichtliche Grund für steigende Vishing Angriffe auf Organisationen, ist der Umstand, dass es keinen technologischen Schutz  vor diesen Angriffsvektoren gibt, außer Sie schalten Ihr Telefon ab, versteht sich. Angreifer benötigen keine teuren Tools oder technisches Know-How, um Angriffe zu starten! Ein Telefon und Fertigenden in der Manipulation (Social Engineering) reichen aus, um in jedem Unternehmen einen potenziellen Schaden anzurichten.

Schauen wir uns etwas genauer an, warum Vishing zu einer der gefährlichsten Angriffsmethoden gehört:
‍
1. Vertrauen in TelefonkommunikationAuch noch heute wird das Telefon von vielen als vertrauenswürdiges Kommunikationsmittel angesehen. Vielen ist immer noch nicht bewusst, dass Angriffe auch über das Telefon kommen können. Wie eine Umfrage von Proofpoint gezeigt hat, kannten nur 30 % der Befragten die relativ neuen Begriffe Vishing & Smishing (SMS-Phishing). Mitarbeitende führen Tag täglich Telefonate  mit Kolleginnen und Kollegen, sprechen mit Kunden und Partnern und lassen sich von der IT bei technischen Problemen über das Telefon anleiten.  Je nach Größe des Unternehmens kennt man denn Gesprächspartner, z. B. denn vermeintlichen Kollegen, nicht persönlich.

2. Social Engineering Gate-Way
‍Das Telefon ist ein Traum für jeden Social Engineer. Anders als bei Phishing über der E-Mail weg, kann er hier gezielt seine Stimme und seine Menschenkenntnis einsetzen, um  Gesprächswiderstände zu erkennen, seine Gesprächsführung auf das Opfer anzupassen. Somit kann er dann effektiv menschliche Emotionen wie Vertrauen, Angst und Hilfsbereitschaft über z. B. Dringlichkeit ausnutzen. Das Telefon gibt einem erfahrenen Angreifer eine unvergleichbare  Kontrolle über das potenzielle Opfer.
‍
3. Schwer, denn Anrufer zu legitimieren.
Im Gegensatz zu anderen Phishing-Methoden wie E-Mails oder gefälschten Websites fehlt beim Vishing die Möglichkeit eine visuelle Überprüfung durchzuführen. Stellen Sie sich vor, Sie bekommen einen Anruf. Beim Abheben schauen sie noch beiläufig auf den Bildschirm und erkennen eine unternehmensinterne Telefonnummer. Denn Anrufer kennen Sie zwar nicht persönlich, aber den Namen würden Sie im System finden, selbst die angezeigte Nummer würde sich mit derer im System decken. Auch das geäußerte Anliegen und der Kommunikationsstil passen zu Ihrem Arbeitsalltag - was würden Sie tun? Eine Telefonnummer zu »fälschen«(spoofen)  ist keine große technische Hürde, Ihnen bleibt also nur Ihr Gehör, was die Erfolgschancen für den Angreifer erhöht.