Was ist… Phishing?
Phishing ist eine Art von “Sozialtechnik” bei der Kriminelle versuchen durch Täuschung an die persönlichen Daten von Benutzern heran zu kommen (Bankdaten, Kreditkartennummern, Passwörter, Kontoangaben und andere Arten von Informationen).
Der "Phisher" bittet um umgehende Bestätigung oder um die Übersendung spezifischer Daten. Die Personen hinter diesen Betrügereien haben hervorragende IT Kenntnisse und technische Fertigkeiten und nützen im Allgemeinen Massenmails um wahllos tausende von Empfänger zu erreichen (Spamming). Eine ihre Vorgangsweisen ist es, ihre Opfer zu gefälschten Webseiten weiterzuleiten, die den echten täuschend ähnlich sehen. Dies sind häufig Webseiten für online-banking, soziale Netzwerke, E-Mail-Konten oder Ähnliches. Sie bedienen sich dabei gefälschter E-Mails oder gefälschter Text- oder Kurznachrichten (WhatsApp, etc.). Sobald das Opfer auf dieser Webseite ist, wird es aufgefordert, seine Bankdaten einzugeben (z.B. um die Informationen auf den letzten Stand zu bringen), seine Anmeldedaten zurückzusetzen (aufgrund eines Serverproblems), irgendeine Transaktion vorzunehmen (bei der die persönlichen Daten zur Überprüfung notwendig sind) oder einfach auf einen neuen Dienst zuzugreifen, der irgendeine Leistungsverbesserung anbietet.
Der Link, der in diesen betrügerischen Nachrichten angegeben wird, leitet den Benutzer auf einen Server mit einer gefälschten Webseite, die der echten täuschend ähnlich sieht, die aber von den Cyberkriminellen kontrolliert wird.
Klassifizierung der Anwendungen, durch die versucht wird, persönliche Daten oder Bankangaben zu stehlen:
- Verwendung von Namen exisitierender (realer) Firmen: Die Cyberkriminellen verwenden das Logo, die Schriftart und andere Funktionen der echten Firmen-Webseite.
- Verwendung des Namens eines tatsächlichen Angestellten einer echten Firma für die Aussendung von Massen-Phishing-E-Mails.: In diesem Fall sollte das Opfer überprüfen, ob es die Person, die vorgibt, die Firma zu vertreten, tatsächlich exisitiert und für diese Firma arbeitet.
- Anscheinend korrekte Webseiten-Adressen: Ein betrügerisches E-Mail wird den Benutzer für gewöhnlich zu einer Webseite leiten, die der einer echten Firmen-Webseite täuschend ähnlich sieht, aber gefälscht ist, um Informationen zu stehlen.
- Angstfaktor: Die Betrüger verlangen eine sofortige Antwort des Anwenders häufig unter Androhung irgendeiner Art von Verlust - entweder finanziell oder die Sperrung des Kontozugriffs - wenn der Benutzer nicht den Anweisungen folgt. Diese Leute brauchen eine rasche Antwort, um den Server auf dem ihre gefälschte Webseite liegt, schnell wechseln zu können, wenn die involvierte Firma herausfindet, dass ihre Kunden Opfer eines Betrugs werden.
- Mann-in-der-Mitte: Der Cyberkriminelle schaltet sich zwischen dem Benutzer und der echten Webseite ein. Er gibt sich für einen Proxy-Server aus und kann damit die elektronische Kommunikation zwischen den beiden mitverfolgen.
Sie missbrauchen Schwachpunkte wie “Cross-Site Scripting”: imitieren der sicheren Webseite einer Bank. Sie missbrauchen auch Schwachpunkte in Webbrowsern.
Unterschiedliche Arten des Phishing
- Webseiten Phishing: Diese Art von Phishing bezeichnet die Verbindung zu lediglich einer Webseite auf der der Inhalt für die gefälschte Seite liegt. Pharming bei Weiterleitung: Das besteht in der Weiterleitung des Benutzers von einer vertrauenswürdigen Webseite zu einer gefälschten, die auf den ersten Blick identisch erscheint, aber durch die die Betrüger die persönlichen oder Finanzdaten ihres Opfers entwenden können. Der Anwender wird automatisch auf die gefälschte online-banking Seite geleitet, ohne irgendwo auf einen Link clicken zu müssen.
- Spear phishing: Diese Art von Betrug richtet sich gegen vorausgewählte Einzelpersonen oder kleine Gruppen, deren Internet-Aktivitäten zunächst verfolgt werden. Die Betrüger richten eine personalisierte E-Mail-Adresse ein, um Vertrauen herzustellen. Diese Art von Phishing zielt darauf ab, vertrauliche Informationen (z.B.Handelsgeheimnisse) zu erlangen. Das E-Mail verfügt über einen Anhang, der sich, wenn er geöffnet wird, Zugang zum Computer des opfers und dessen Daten verschafft.
- Smishing: Diese Art von Phishing richtet sich an Benutzer mobiler Nachrichtendienste. Hier werden Nachrichten versendet, dass man einen Preis gewonnen hat, sich für einen Service angemeldet hat, etc. Um das Angebot in Anspruch zu nehmen, muss man eine Telefonnummer anrufen und seine Bankdaten bekannt geben.
- Vishing: Bei dieser Art von Phishing rufen die Cyberkriminellen Telefonnummern in einem bestimmten Gebiet an. Wenn jemand abhebt, wird er von einer automatischen Ansage informiert, dass seine Kreditkarte missbräuchlich verwendet wurde und dass er eine andere Nummer anrufen muss. Wenn der Betroffene dies tut, wird er zur Angabe der Kreditkartennummer zur “Verifizierung” aufgefordert, mit der die Kriminellen dann in der Folge Käufe und andere Betrügereien via Telefon oder Internet begehen können.
Risikofaktoren und Folgen
Das Hauptrisiko bei dieser Art von Betrügereien ist, dass die Kriminellen persönliche oder Bankdaten und Zugang zu privaten Informationen erhalten, die sie anschließend missbräuchlich weiterverwenden. Die häufigsten Ziele sind:
- Sozialversicherungsnummer
- Kreditkarten- / Debitcard- / Bankomatkartennummer
- Passwörter
- Kontonummer (Bank)
- Benutzername und Passwort für Online-banking
Folgen
Cyberkriminelle gehen bei ihren Betrügereien sehr dreist vor. Sobald sie Ihre persönlichen Angaben haben, können sie sie für eine Reihe betrügerischre Aktivitäten verwenden:
- Die gestohlene Identität verwenden, um ein Mobiltelefon anzuschaffen, dessen Anrufkosten dem Geschädigten verrechnet werden.
- Verwendung einer Kreditkartennummer um Online-Käufe zu tätigen.
- Illegaler Erwerb von Gütern z.B. Veränderung am Abbuchungssystem um kleine Geldbeträge auf ein extra dafür eingerichtetes Konto zu überweisen.
- Veränderung von Computerprogrammen durch Viren, HDD (Hard Disk Drive) Fehler oder Stromabschaltungen, so dass die auf dem Computer gespeicherten Daten verloren gehen: Fotos, Filme, Musik, Arbeiten, Dokumente, etc.
IT Betrug nimmt durch die große Anzahl von Computernutzern stark zu. Daher ist es für Konsumenten wichtig, sich zu informieren und zu schützen, da sie ständig der Gefahr ausgesetzt sind, angegriffen zu werden.
This project has been funded with support from the European Commission. This publication reflects the views only of the author, and the Commission cannot be held responsible for any use which may be made of the information contained therein.