Die Melde- und Analysestelle Informationssicherung MELANI des Bundes erhält derzeit vermehrt Meldungen über Betrugsvarianten, welche Social-Engineering-Methoden verwenden. Von Social Engineering spricht man, wenn sich ein Angreifer unter Ausnutzung menschlicher Eigenschaften Zugang zu unbefugten Informationen verschafft. Social-Engineering-Angriffe erfolgen in der Regel ohne den Einsatz technischer Hilfsmittel. Dennoch sind sie eine sehr effektive Methode, um an sensible bzw. geschützte Firmendaten zu gelangen. Mittels dieser Methoden versuchen die Angreifer bei ihren Opfern Vertrauen zu schaffen, bevor der eigentliche Betrug stattfindet. Bei den gemeldeten Fällen werden durch die Angreifer im Vorfeld Informationen über die Firma eingeholt, um sich so ein genaues Bild über das Umfeld des Zieles zu machen. Gesammelt werden beispielsweise Informationen zu Betätigungsfeldern, Schlüsselposten oder etwa das verwendete Format bei E-Mail-Adressen. Dabei nutzen die Betrüger typischerweise Informationen aus offenen Quellen, wie sie beispielsweise auf der Firmenwebseite zu finden sind. Anschliessend beginnt der eigentliche Angriff. In der Regel wird dabei eine E-Mail an einen Mitarbeitenden der Finanzabteilung versendet, welche vorgibt von einem Mitglied des Kaders zu stammen. Während Absender-Adressen mehrheitlich gefälscht werden, stammen E-Mails in vereinzelten Fällen tatsächlich von den Absender-Konten, welche durch die Angreifer zuvor gehackt wurden. Das verfolgte Ziel ist, das Opfer zu einer Zahlung an ein von den Betrügern angegebenes Konto zu bewegen. Es sind aber auch andere Szenarien denkbar. So können die Angreifer, nachdem sie beim Opfer das Vertrauen geweckt haben, auch eine gezielte E-Mail mit einer schädlichen Software oder mit einem Link zu einer Seite mit Schadsoftware senden. MELANI empfiehlt hier folgende Massnahmen:
- Die Grundregel, bei zweifelhaften oder ungewöhnlichen Kontaktaufnahmen keine internen Informationen preiszugeben und keinen Aufforderungen nachzukommen, ist angesichts solcher Fälle aktueller denn je.
- Bei ungewöhnlichen Kontaktaufnahmen und Aufforderungen ist es empfehlenswert innerhalb der Firma telefonisch Rücksprache zu nehmen, um die Richtigkeit des Auftrages zu verifizieren.
- Sämtliche Prozesse, welche den Zahlungsverkehr betreffen, sollten firmenintern klar geregelt sein und von den Mitarbeitenden in allen Fällen eingehalten werden.
- Insbesondere empfiehlt MELANI eine Sensibilisierung der Mitarbeitenden bezüglich dieser Vorfälle, insbesondere der Mitarbeitenden in Schlüsselpositionen.
- Opfer haben die Möglichkeit, speziell im Falle eines erfolgreichen Betruges, eine Strafanzeige bei der örtlich zuständigen Kantonspolizei zu erstatten.