Soziale Ingenieurkunst ist zu einem der Lieblingswerkzeuge von Hackern geworden.
Warum? Weil der menschliche Faktor zugänglicher bleibt als moderne Sicherheitssysteme.
Angreifer müssen kein Gerät mehr mit einem Virus oder Trojaner infizieren: Sie können Anmeldedaten, Zugänge und Daten einfach durch Manipulation einer Person, eines Prozesses oder einer Vertrauensbeziehung erhalten.
Ihre Hauptwaffe: die Wahrnehmung manipulieren, anstatt die Maschine anzugreifen
Die Hacker nutzen sehr bekannte menschliche Vorurteile aus:
- die Angst,
- die Dringlichkeit,
- die Autorität,
- die Loyalität,
- die Neugier.
Indem sie auf diese psychologischen Hebel setzen, öffnen sie den Weg für massive Datenlecks… ohne eine einzige Zeile bösartigen Code zu schreiben.
Der falsche technische Support: eine der rentabelsten Ansätze
Diese Technik besteht darin, sich auszugeben als:
- ein Agent eines Kundendienstes,
- ein interner Techniker,
- ein Wartungsdienstleister,
- ein Mitglied eines IT-Teams.
Der Hacker kontaktiert das Opfer, um ein „Problem zu lösen“:
- ein Konto zu überprüfen,
- ein Passwort zurückzusetzen,
- einen Administratorzugang zu validieren,
- eine verdächtige Sitzung zu sichern.
Das Opfer endet oft damit:
- sein Passwort zu geben,
- einen 2FA-Code zu teilen,
- einen Fernzugriff zu erlauben,
- ein internes Formular mit sensiblen Daten auszufüllen.
Unternehmen sind besonders anfällig, da die Mitarbeiter glauben, einem Kollegen oder einem legitimen Partner zu helfen.
Gezieltes Phishing: wenn die E-Mail perfekt eine vertrauenswürdige Quelle imitiert
Im Gegensatz zum massiven Phishing basiert die gezielte Version auf:
- persönlichen Informationen, die online gesammelt wurden,
- Daten aus sozialen Netzwerken,
- öffentlich sichtbaren beruflichen Elementen.
Der Hacker passt seine Nachricht an:
- ein echtes laufendes Projekt,
- eine reale Zusammenarbeit,
- einen authentischen Anbieter,
- ein kürzliches internes Ereignis.
Das Opfer erkennt den Betrug nicht, da die E-Mail perfekt zur aktuellen Situation zu passen scheint.
Manchmal ist kein betrügerischer Link erforderlich:
die Hacker führen den Benutzer einfach zu einem falschen Verwaltungsprozess, einem internen Transfer oder einem Dokumentenaustausch.
Vishing: Hacken über einen einfachen Telefonanruf
Vishing (Voice Phishing) nimmt zu, da ein Anruf natürlich erzeugt:
- einen Eindruck von Authentizität,
- einen zeitlichen Druck,
- einen überzeugenden Ton.
Die Hacker verwenden:
- die Nummernänderung (Spoofing),
- professionelle Skripte,
- vorgefertigte Audiodateien,
- extrem glaubwürdige synthetische Stimmen.
Häufige Szenarien:
- ein „Banker“ meldet eine verdächtige Transaktion und fordert eine Bestätigung,
- ein „IT-Sicherheitsagent“ fordert einen MFA-Code an,
- ein „Lieferant“ fragt nach internen Informationen, um eine professionelle Lieferung abzuschließen.
Ein einfaches Gespräch wird dann zu einem direkten Zugang zu den internen Systemen.
Passive Sammlung: ausnutzen, was Benutzer preisgeben, ohne es zu merken
Die Hacker müssen das Opfer nicht einmal kontaktieren:
sie sammeln bereits öffentlich verfügbare Informationen.
Beispiele:
- LinkedIn-Veröffentlichungen, die interne Prozesse beschreiben,
- soziale Netzwerke, die potenzielle Sicherheitsfragen offenbaren,
- Bildschirmfotos, auf denen Informationen erscheinen,
- öffentlich geteilte Dokumente, die versehentlich veröffentlicht wurden,
- Unternehmensausweise, die auf Selfies sichtbar sind,
- interne Strukturinformationen aus Stellenangeboten.
Mit diesen Fragmenten erstellen sie:
- falsche Kollaborationsszenarien,
- glaubwürdige fiktive Identitäten,
- sehr realistische Verwaltungsanfragen.
Ausnutzung interner Verfahren: die Regeln einer Organisation umgehen
Organisationen verfügen über Verfahren, und die Hacker nutzen sie als Hebel.
Das Ziel: sich in den normalen Fluss eines Unternehmens einzufügen.
Häufige Techniken:
- die Rezeption kontaktieren und sich als reisender Mitarbeiter ausgeben,
- einen temporären Zugang „zur Fertigstellung eines dringenden Berichts“ anfordern,
- die interne Sprache verwenden, um legitim zu erscheinen,
- die Stoßzeiten (Rushperioden) ausnutzen.
Die internen Dienste, oft überlastet, validieren ohne tiefere Überprüfung.
Ergebnis: Die Hacker erhalten Zugang zu sensiblen Daten ohne technischen Angriff.
Pretexting: einen perfekt glaubwürdigen Kontext schaffen
Bei dieser Methode erstellt der Hacker ein vollständiges Szenario, einschließlich:
- einer kohärenten Identität,
- einer legitimen Rolle,
- eines überzeugenden Motivs,
- einer logischen Begründung seiner Anfrage.
Einige Beispiele:
- ein „externer Prüfer“, der eine Datenextraktion anfordert,
- ein „Projektleiter“, der Produktionsdokumente verlangt,
- ein „Lieferantenpartner“, der um einen geteilten Zugang bittet.
Je präziser das Szenario, desto eher führen die Opfer die Anfragen ohne Verdacht aus.
Informations-Erpressung: manipulieren ohne anzugreifen
In diesem Modell versucht der Hacker nicht zu infizieren:
er nutzt eine bereits online zugängliche sensible Information aus.
Diese Information kann sein:
- eine alte E-Mail-Adresse,
- eine Telefonnummer,
- ein bereits in einem Leak offengelegtes Passwort,
- private Posts, die öffentlich geworden sind.
Er verwendet dann diese Daten als Beweis für „Legitimität“ oder um zu erzeugen:
- Angst,
- eine Notsituation,
- ein Gefühl eines drohenden Risikos.
Das Opfer gibt oft nach, bevor es die Echtheit der Bedrohung überprüft.
Digitale Identitätsfälschung: einen Kollegen oder Vorgesetzten imitieren
Die Hacker verwenden:
- Adressen, die denen eines Unternehmens sehr ähnlich sind,
- gefälschte Profile auf LinkedIn,
- online gesammelte Fotos von Kollegen.
Sie imitieren dann:
- einen Manager, der einen außergewöhnlichen Zugang anfordert,
- einen Kollegen, der eine interne Datei verlangt,
- einen Dienstleister, der eine Zugangsgenehmigung anfordert.
Die vermeintliche Autorität des Anfragenden reicht oft aus, um zu bekommen, was sie wollen.
Gesammelte Mikro-Vertrauen: die langsame, aber äußerst effektive Methode
Anstatt direkt zum Ziel zu gehen, schaffen einige Hacker:
- eine leichte, aber wiederholte Beziehung,
- einen banalen Austausch über mehrere Tage oder Wochen,
- eine freundliche Präsenz.
Dann bitten sie nach und nach um:
- ein Dokument,
- einen Zugang,
- eine interne Information,
- eine einfache Überprüfung.
Das Opfer erkennt die Falle nicht, da die Beziehung natürlich erscheint.
