Was ist Phishing und wie schützt man Unternehmen davor?

1

Inhalte Was ist Phishing und wie schützt man sich vor dieser Art Angriff 3 Leserzielgruppe 3 Kurzfassung –oder was Sie in diesem Dokument erwartet 3 Das Problem Phishing 4 Phishing in Organisationen 4 Arten der betrügerischen Taktiken 4 Die Geschichte des Phishing 5 Die Zukunft des Phishing 6 Die wirtschaftlichen Auswirkungen 8 Damit verbundene Risiken 10 Panda Softwares Sichtweise des Phishing Problems 12

Ratschläge 12 Alternative Technologien 13

2

Was ist Phishing und wie schützt man sich vor dieser Art Angriff? Leserzielgruppe Kurzfassung –oder was Sie in diesem Dokument erwartet Dieses Dokument wendet sich an alle, die im Unternehmen mit der IT Sicherheit in Berührung kommen oder sogar dafür verantwortlich sind.

Phishing ist nicht länger mehr nur ein Problem von Banken oder Privatanwendern sonder verlagert seinen Fokus auf immer mehr Unternehmensumgebungen. Unternehmen, die Phishing-Attacken erleiden, riskieren zum einen den Diebstahl vertraulicher Informationen. Darüber hinaus besteht die Gefahr, dass die Leistungsfähigkeit der IT-Infrastruktur des Unternehmens aufgrund der Verwendung abseits ihrer normalen Aktivität beeinträchtigt wird. Nicht zuletzt kann es zu Produktivitätsverlusten der Mitarbeiter und schlimmeren Folgen in der Arbeitsumgebung kommen, weil Systeme verändert werden. Panda Software bietet eine große Auswahl an Lösungen um die Bedürfnisse jedes Kunden abdecken zu können: vom Privatanwender mit der Internet Security bis hin zu großen Unternehmensnetzwerken mit der Perimeter Appliance GateDefender. BusinesSecure und EnterpriSecure mit den TruPrevent Technologien schützen dagegen auf Softwarebasis kleine und mittelständische Firmen sowie größere Unternehmensnetzwerke.

3

Das Problem Phishing

Phishing in Organisationen

Der Diebstahl von persönlichen und vertraulichen Daten wie Kreditkarten – oder Bankzugangsdaten ist in den USA bereits eines der gängigsten Verbrechen. Beim phishen wird das Opfer getäuscht um an dessen vertrauliche Daten zu gelangen. Die am weitesten verbreitete Methode ist die Fälschung einer eMail, so gut und detailgenau, dass das Opfer denkt sie käme von einer bekannten und vertrauenswürdigen Quelle. Die eMail leitet das Opfer über einen Link zu einer ebenfalls perfekt gefälschten Webseite weiter. Alle Funktionen scheinen hier z.B. der Originalseite einer Bank oder eines Unternehmens mit dem man Geschäfte macht gleich zu sein. Erhält das Opfer beispielsweise eine eMail eines Geschäftspartners und füllt ein gefälschtes Formular mit vertraulichen Daten aus gibt er diese direkt in die falschen Hände.

Arten der betrügerischen Taktiken

Der Gebrauch von bestehenden Unternehmensnamen. Anstatt eine fiktive Firma zu benutzen bedienen sich die Phisher bekannter, großer Unternehmen, denen die User i.d.R. vertrauen. Sie benutzen ihre Logos und übernehmen die Funktionalitäten der bestehenden Webseiten um dem Opfer möglichst ohne Zweifel weiß zu machen, dass es sich um eine echte Angelegenheit handelt. Nutzung des Namens eines Angestellten. Falls der Empfänger versucht die Echtheit der eMail zu untermauern indem er das Unternehmen anruft könnte es durchaus vorkommen, dass der Mitarbeiter in dessen Namen die eMail gesendet wurde tatsächlich dort arbeitet. Scheinbar seriöse Webseiten. Wie bereits erwähnt wird von betrügerischen eMails der Versuch gestartet, den Empfänger auf bestimmte Webseiten zu lotsen um von dort aus vertrauliche Daten zu stehlen. Tatsächlich sind sowohl die Inhalte als auch die Webadresse (URL) gefälscht und imitieren einfach den wahren Content.

4

Der Faktor Angst. Das Zeitfenster der Betrüger ist kurz, denn sobald das Unternehmen über die Betrugsversuche auf Ihre Kunden informiert ist wird der Server, der die imitierte Webseite beinhaltet und die gesammelten Informationen gespeichert hat in wenigen Tagen geschlossen. Das bedeutet, der Angreifer benötigt eine sofortige Rückmeldung des Opfers. Um diese Reaktion zu erhalten droht der Angreifer oft mit dem Verlust des bestehenden Zugangs oder weiteren Konsequenzen. Pharming. Dies ist letztlich eine der neusten Taktiken, die die Inhalte eines DNS (Domain Name Server) verändert. Dies geschieht über die Konfiguration des TCP/IP Protokolls oder der Imhost Datei, die als lokaler Cachespeicher von Servernamen dient. Durch die Veränderung wird der User über seinen Browser zu den gefälschten Webseiten geführt, ohne dass er dies bemerkt. Der Unterschied zu Phishing ist der, dass es sich hierbei nicht um einen einmaligen Angriff handelt, sondern dass man immer und immer wieder auf die falschen Seiten geführt wird. Man gerät nicht über einen falschen Link zu den gefälschten Seiten sondern gibt selbst die vermeintlich richtige Adresse ein. Falls der angegriffene User einen Proxy Server nutzt um Anonym im Netz zu surfen und die Proxy DNS Namen durch Pharming verändert wurden ist es möglich dass alle anderen User, die ebenfalls diesen einen Server nutzen auch zu den falschen Seiten geleitet werden.

Die Geschichte des Phishings Der Ausdruck Phishing wurde bereits 1996 geprägt, als die Accountdaten von vielen Amerca On-Line Usern über das Internet gestohlen wurden. Im Januar 1996 kam der Begriff zum ersten Mal in der Hacker News Group alt.2600 auf. Der ursprüngliche Begriff hieß Fishing aber Hacker ersetzten häufig das f durch ein ph. Zum Beispiel statt freaking nutzen sie phreaking um die Art des Code knacken von Telefonnetzwerken zu beschreiben. Hierbei werden die Wähltöne imitiert um kostenfreie Telefonate zu erhalten.

5

Die Zukunft des Phishing Zurzeit sind rund 85% der angegriffenen Unternehmen Banken, doch es zeichnen sich neue Trends ab:

Gesundschrumpfung von Phishing. Anfängliche Angriffe waren auf große Organisationen im Finanzwesen abgerichtet. Einfach weil die Wahrscheinlichkeit, dass der Empfänger ein Kunde dieser Einrichtung ist größer war und die Rückmeldung zu der gefälschten Webseite schneller von statten ging. Jetzt erweitert Phishing seinen Fokus auch auf kleinere Unternehmen da hier das Vertrauen noch höher zu sein scheint. Diese Art des Betruges wird sich in Zukunft auf jede Unternehmensgröße ausweiten. Die Angreifer werden immer wieder nach Unternehmen suchen, die in Bezug auf Phishing noch nicht in den Medien waren und bei denen der Verbraucher deshalb auch noch nicht so sensibel ist.

6

Globalisierung von Phishing. Nachdem der Englisch sprechende Markt gesättigt ist (die USA, England und Canada sind die Länder mit den meisten Internetbetrugsfällen) erweitern die Betrüger ihren Wirkungskreis auf den Europäischen und Asiatischen Markt.

Erschließung neuer Sektoren im Finanzbereich. Nachdem Banken inzwischen wirkungsvoll gegen Phishing vorgehen breiten Phisher ihre Angriffe auf weniger gut geschützte und vielleicht weniger lukrative Transaktionen aus. Diese Bereiche sind aber nicht weniger attraktiv gerade in Betracht auf die geringen Kosten. Denkbar sind z.B. Versicherungen, e-Commerce Unternehmen, ISPs …

Steigende Komplexität. Phishing wird noch weit über einfache eMails mit falschen Links hinausgehen. Es werden neue Modelle erscheinen, die Keylogger verwenden oder aktuelle Anlässe wie z.B. die Tsunami Katastrophe in Asien verwenden.

Kürzere Zeitfenster. Zwischen dem Erscheinen einer Schwachstelle und dem Ausnutzen durch Phisher für Angriffe wird immer weniger Zeit liegen und die Browser werden sich nicht nur auf den Internet Explorer beschränken auch Firefox oder Opera (um Beispiele zu nennen) können ausgenutzt werden.

7

Die wirtschaftlichen Auswirkungen Laut Gartner wurden in den USA in 2004 57 Millionen Phishing Attacken gestartet. Mehr als 17 Millionen User klickten auf die Hyperlinks in den gefälschten eMails, was rund 30% aller Opfer dieser Art eMails ausmacht. Hier ein Beispiel für eine gefälschte eMail an Citybank Kunden und die dazugehörige Webseite:

Von allen Usern, die die gefälschte Webseite besuchten gaben 1,78 Millionen ihre persönlichen Daten ein und mehr als 980,000 wurden letztlich betrogen. Es entstand ein Schaden von 1,200 Millionen US Dollar. Laut der Radicati Group sind Phishing Angriffe gestiegen und werden auch weiterhin ansteigen. Von 51 Angriffen am Tag in 2004 auf 110 in 2005. Es wird vermutet, dass in 2008 bereits 404 Angriffe pro Tag verzeichnet werden. Diese Angaben werden unterstützt durch die monatliche Steigungsrate von 180% im Mai, 29% im November 2004 und 42% im Januar 2005 (laut APWG).

8

Hier die monatlichen Internet Transaktionen

In 2004 gipfelte Phishing in 930 Millionen € Kosten für Banken und Kreditkarteninstitute und allein die Britische Bank musste insgesamt 6,5 Millionen € an 2000 ihrer Kunden zurückgezahlt.

9

In einer Umfrage von CNet zeigt sich, dass obwohl Phishing noch hinter den Hauptärgernissen Viren und Spam liegt seine Präsens jedoch stark zugenommen hat.

Risiken

- Belastung der Mitarbeiter durch Phishing - Schädigung des Unternehmensrufs - Verlust von Kundenvertrauen - Eindringen ins Unternehmensnetzwerk - Aufdeckung von Geschäftsgeheimnissen - Höheres Risiko für das Unternehmen in einen Prozess verwickelt zu werden

Belastung der Mitarbeiter durch Phishing Im Unternehmen müssen die Angestellten vor Spam oder Phishing sicher sein. Ist das Unternehmen nicht in der Lage seine Mitarbeiter zu schützen setzt es sich dem Risiko einer Klage aus. Zusätzlich werden die Mitarbeiter durch jeden einzelnen Vorfall dieser Art von der Arbeit abgelenkt und verbringen Zeit damit sie zu lesen und zu entscheiden ob sie gelöscht werden können.

10

Schädigung des Unternehmensrufs Wird bekannt, dass ein Unternehmen von einem Hacker erfolgreich angegriffen wurde wird sein Ansehen bei Kunden und der Öffentlichkeit rapide sinken. Die Kunden verlieren das Vertrauen in die Kommunikation und die Behandlung ihrer Daten. Falls die Kunden weiterhin mit dem Unternehmen zusammenarbeiten werden sie vermutlich einen anderen Kommunikationsweg wählen, der für das Unternehmen im Vergleich zum Onlinedienst teurer ist: Telefon, Niederlassungsdienste… Verlust von Kundenvertrauen Es ist schon schwer genug einen Kunden an sein Unternehmen zu binden, erhält dieser jetzt aber vermehrt Phishing Mails ist die Wahrscheinlichkeit wohl hoch, dass er das Vertrauen verliert und vielleicht sogar den Kontakt abbricht. Der Kunde interessiert sich nicht für den eigentlichen Urheber der Angriffe oder die Verantwortung des Unternehmens er will lediglich, dass die Angriffe gestoppt werden und im schlimmsten Fall wird er vielleicht das Unternehmen wechseln. Eindringen ins Unternehmensnetzwerk Betrüger nutzen Social Engineering Techniken um die Angestellten dazu zu bewegen vertrauliche Informationen preis zu geben. Hacker können tausende Nachrichten an die Angestellten senden und jede einzelne stellt ein Sicherheitsrisiko für die Infrastruktur des Unternehmens dar. Es können z.B. die Benutzernamen und Passwörter für die PCs abgefragt werden und direkt im Internet an den Höchstbietenden Wettbewerber verkauft werden. Gesetzliche Auswirkungen International existieren z.B. für Krankenversicherungen oder in der Finanzbranche einige neue Richtlinien zur Informationssicherheit, nach denen Unternehmen zum Schutz von sensiblen Daten verpflichtet sind, die sich z.B. auf E-Mail-Servern oder anderen Support-Systemen befinden. Sicherheitslücken verletzen diese Regelungen und machen die Unternehmen haftbar. Seit 1998 ist der Persönlichkeits-Diebstahl ein Bundesverbrechen. Das Anti Phishing Gesetz, im Jahr 2004 präsentiert vom Senator von Vermont –Patrick Leahy ist zurzeit noch nicht in Kraft in den USA. Es definiert Phishing als ein Bundesverbrechen und illegalisiert den Versuch: Originalauszug: „induce, request or ask any person to transmit, send or provide any identification mechanism to another“. Diese Regelung umfasst ebenfalls die Erstellung von eMails, die Firmen- Mailings imitieren und die versuchen an persönliche Informationen zu gelangen. Wie schon erwähnt ist diese Regelung noch nicht in Kraft und infolge dessen das Rechts auf freie Meinungsäußerung und die Simulation einer Webseite nicht Teil von Phishing.

11

Panda Softwares Sichtweise des Phishing Problems Je mehr Schichten ein Sicherheitssystem enthält umso höher das Schutzlevel. Diese „Layered Security“ wird es Malware schwer machen ein Unternehmen zu infizieren.

Ratschläge Der beste Weg sich vor Phishing zu schützten ist vor allem zu verstehen wie finanzielle Einrichtungen oder Internetservices arbeiten. Eine Bank würde Sie niemals nach Ihren Zugangsdaten via eMail fragen.

Überprüfen Sie die Informationsquelle. Antworten Sie nicht auf eMails, die nach persönlichen oder finanziellen Informationen fragen. Wenn auch nur geringer Zweifel an der Echtheit des Unternehmens oder der Notwendigkeit der abgefragten Informationen für dieses Unternehmen besteht sichern Sie sich ab: Gelbe Seiten, kontaktieren Sie Ihren üblichen Ansprechpartner falls Ihnen die Firma bekannt ist oder rufen Sie an und fragen nach ob gerade eine solche Aktion gestartet wurde.

Geben Sie selbst die Adresse in den Browser ein. Klicken Sie nicht auf einen Link in einer eMail sondern geben Sie die Adresse direkt im Browserfenster ein. Selbst Adressen, die in der eMail die korrekt geschrieben sind, können Sie zu falschen Seiten lotsen.

Verstärken Sie Ihre Sicherheit. User die das Internet zur Datenübertragung und zur Erledigung Ihrer Bankgeschäfte nutzen, sollten Ihren Rechner mit einer Security Suite absichern. Diese Lösungen sind in der Lage Internetbedrohungen abzuwenden, außerdem sollten Patches der Hersteller eingespielt werden, von denen man Anwendungen installiert hat. Achten Sie zusätzlich darauf, dass Sie Datenübertragungen nur in sicheren Umgebungen tätigen. Diese sicheren Verbindungen sind bsp. in der Browserzeile durch ein „https“ gekennzeichnet.

Überprüfen Sie regelmäßig Ihre Accounts. Halten Sie Ausschau nach unregelmäßigen Transaktionen oder Internetverbindungen, die eigentlich nicht aufgerufen wurden. Überprüfen Sie Ihre Rechnungen genau.

Besuchen Sie die Seite der Anti-Phishing Working Group (APWG). Hier finden Sie ein Liste der aktuellen Angriffe www.antiphishing.org

12

Alternative Technologien Das Training der Angestellten ist natürlich nicht die einzige Möglichkeit, es gibt verschiedene Technologien um Phishing Herr zu werden und jede hat ihre ganz eigenen Vor- und Nachteile für die jeweiligen Umgebungen:

- Perimeter Content Filter - Multi Layer Anti Malware Programme

Content Filtering Das Verhindern von Bankbetrug Downloads während des surfens im Internet wird durch Content Filter Module von Perimeter Hardware Appliances oder Devices wie dem GateDefender verhindert. Diese Lösungen halten den unbedachten User von Seiten fern auf denen er sich mit diesem Betrugstyp infizieren könnte. Die Zahl solcher Seiten steigt und nicht alle Eintrittspunkte können kontrolliert werden, d.h. es muss eine ergänzende Lösung her, die die Leistungen der Perimeter Content Filter ergänzt. Multi Layer Anti Malware Schutz Auch wenn ein Server Schutz die Massenverbreitung von Phishing im Netzwerk z.B. über die Firewall verhindern kann so ist doch wesentlich mehr notwendig um einen effektiven Schutz bieten zu können. Panda Software hat eine Schichtarchitektur, die eine Verbreitung und Update von verschiedenen Anti-Phishing Lösungen zu allen Netzerkpunkten möglich macht: Workstation, Exchange Mail Server und Perimeter Security Server. Unabhängig vom Standort oder der Technologischen Plattform.

13

Um maximalen Schutz in Corporate Umgebungen zu gewähren ist es notwendig eine zweigleisige Strategie zu verfolgen: Auf der einen Seite Anti Malware Schutz für Unternehmen gegen alle Arten von Bedrohungen auf der anderen Seite die Anwendbarkeit des Schutzes für alle Schichten im Netzwerk. So wird das Problem am Eintrittspunkt gestoppt ohne erst darauf zu warten, dass es sich verbreitet. Die Vorteile dieser Strategie: Zentralisiertes, übergreifendes Management der Anti-Phishing Policy als zusätzliche Vorgabe in der Unternehmens-Security-Organisation. Geteilte Management-, Update- und Controlling Infrastruktur, welche die Einweisungszeit des Administrators verkürzt und die Bandbreite, sowie die lokalen Ressourcen, die zur Kommunikation mit der Administrationskonsole benötigt werden, reduziert. Automatische, tägliche Updates und permanenter Schutz für jede Netzwerkschicht: Laptops, Workstations, Gateways und Mail Server, Internet Server oder Corporate Firewalls. Signaturbasierende Erkennungs- und Desinfektionsmechanismen kombiniert mit präventivem Schutz der TruPrevent Technologie, basierend auf Verhaltensanalysen. Anti-Phishing Schutz ist im ClientShield mit TruPrevent Technologie (Schutz für Workstations), ExchangeSecure (Schutz für Messaging Server), ISASecure (Schutz für Corporate Firewalls und Browser Server) sowie CVPSecure (Schutz für Corporate Firewalls mit CVP –Content Vectoring Protocol-) integriert:

- Mit ClientShield braucht der Enduser nicht einzuschreiten. Die Kontrolle obliegt hier dem IT Team. Der Administrator kann beim Erkennen einer Phishing Attacke durch die eMail Antivirenlösung Nachrichten ignorieren, löschen oder markieren, so dass der Enduser gewarnt ist.

ClientShield kann auch Pharming Angriffe abwenden. Um die DNS Datei zu verändern muss eine exe oder script Datei auf dem lokalen Rechner gestartet werden. Dieses Programm kann den Rechner z.B. via eMail erreichen oder vom Web herunter geladen werden. In allen möglichen Fällen ist die Anti-Viren Lösung jedoch in der Lage die schädliche Datei zu erkennen, solange sie in der Liste der bekannten Malware verzeichnet ist.

14

Immer mehr Malware erscheint in immer kürzeren Abständen und die Hersteller von Anti Viren Software kommen mit der Bereitstellung der Gegenmittel, also der Virussignaturdateien kaum mehr nach. Zudem entsteht zwischen dem Erscheinen eines neuen Codes und der Bereitstellung einer neuen Virussignaturdatei ein gefährliches Zeitfenster. Die Geschwindigkeit der Attacken und die menschliche Reaktion darauf stehen in keinem Verhältnis. Die Angriffe gehen immer schneller und koordinierter von statten und vielleicht haben bereits eine Reihe von Angestellten auf die eingehende Phishing Mail geantwortet, während der Administrator noch nicht in der Lage war die betreffende Webseite zu sperren und die Mails zu filtern. Um genau diese Szenarien zu vermeiden ist es notwendig proaktive Technologien einzusetzen, die nicht nur mittels einer Virussignaturdatei suchen, sondern intelligent Prozesse im System überwachen und analysieren. Panda hat hier TruPrevent Technologien entwickelt, die in den Corporate Lösungen integriert sind.

- ExchangeSecure macht es z.B. möglich Nachrichten zu löschen, Betreffzeile und Nachrichtentext durch einen persönlichen Text zu markieren oder die Nachricht in eine spezielle Mailbox zu senden.

- CVPSecure ermöglicht das Löschen der Nachricht, das Verschieben in eine vorher

definierte Datei oder den Empfang der Nachricht zu gestatten. Kurz gesagt: Panda Softwares Lösungen BusinesSecure und EnterpriSecure mit TruPrevent Technologie sind in der Lage effektiven, zentralisierten Schutz gegen Phishing in allen Netzwerkschichten zu gewährleisten.

15