Phishing wird heimlicher: 4 Möglichkeiten, Ihre Marke zu verteidigen

Noch vor wenigen Jahren war Phishing leicht zu erkennen. Wenn eine E-Mail oder ein Text von einer echten Marke zu stammen scheint, aber Rechtschreibfehler, schlechte Grammatik oder unscharfe Logos enthält, könnten Sie darauf wetten, dass jemand versucht hat, Sie dazu zu bringen, im Rahmen einer Kampagne auf einen Link zu klicken, um Ihre Daten und Ihr Geld zu stehlen , oder Identität.

Heutzutage ist es jedoch nicht so einfach, illegitime Kommunikation zu erkennen. Die meisten Cyberkriminellen können ihre Identität dank leistungsstarker, kostengünstiger Hacking-Tools oder Phishing-as-a-Service-Kits im Dark Web viel besser verschleiern. Diese Tools, von denen viele künstliche Intelligenz verwenden, können die Kommunikation selbst des ungebildetsten Betrügers professionell aussehen lassen.

Darüber hinaus haben Hacker mit den schnellen Fortschritten bei ChatGPT von Open AI, einem kostenlosen KI-Chatbot-Programm, das mit NLP-Funktionen (Natural Language Processing) entwickelt wurde, jetzt eine schnellere, bessere und kostengünstigere Möglichkeit, Kommunikation zu erstellen, die die Persönlichkeit oder den Ton einer Marke nachahmt.

Bei all diesen Innovationen ist es kein Wunder, dass Hacker im Jahr 2022 255 Millionen Phishing-Angriffe starten konnten, 61 % mehr als im Vorjahr.

Gone Phishing: 10 am häufigsten gespoofte Marken

Alle Marken laufen Gefahr, gefälscht zu werden, aber Betrüger zielen oft auf große Technologieunternehmen, Spediteure und soziale Netzwerke ab.

Hier sind die Top 10 der am häufigsten nachgeahmten Marken im 4. Quartal 2022, sortiert nach ihrem Gesamtauftritt bei Marken-Phishing-Versuchen, laut Check Point Software:

1. Yahoo (20 %)
2. DHL (16%)
3. Microsoft (11 %)
4. Google (5,8 %)
5. LinkedIn (5,7 %)
6. WeTransfer (5,3 %)
7. Netflix (4,4 %)
8. Fedex (2,5 %)
9. HSBC (2,3 %)
10. WhatsApp (2,2 %)

4 Möglichkeiten, Ihre Marke zu schützen

Phishing ist ein enormes Risiko für Marken, ihr Marketing und ihren Ruf.

„All diese Phishing-Aktivitäten können den Markenwert untergraben, denn wenn diese E-Mails herauskommen und die Verbraucher nicht wissen, ob sie gültig sind oder nicht, bringen wir unsere negativen Erfahrungen manchmal fälschlicherweise mit dem Unternehmen in Verbindung, das nachgeahmt wird“, sagt Frank Dickson, a Cybersecurity-Branchenanalyst bei IDC.

„Aber die Wahrheit ist, dass selbst große Unternehmen wie Microsoft oder Google nur begrenzt etwas tun können, um Phishing sinnvoll zu unterbinden.“

1. E-Mail-Sicherheitsprotokolle übernehmen
2. Meistern Sie Ihre Domains
3. Verteidigen Sie Ihre Social-Media-Kanäle
4. Informieren Sie Ihre Kunden

Vereiteln Sie die Bedrohung mit E-Mail-Sicherheit

Obwohl Phishing schwer zu bekämpfen ist, können Unternehmen seinen Vormarsch zumindest verlangsamen, indem sie wichtige Sicherheitsprotokolle auf der Ebene der E-Mail-Server implementieren.

Es gibt drei, die Unternehmen in der Regel zusammen verwenden:

• Domain-based Message Authentication , Reporting and Conformance (DMARC) ist ein E-Mail-Validierungssystem, das entwickelt wurde, um die E-Mail-Domäne Ihres Unternehmens vor Spoofing, Phishing-Betrug und anderen Cyberkriminalität zu schützen. DMARC verwendet E-Mail-Authentifizierungstechniken wie Sender Policy Framework (SPF) und Domain Keys Identified Mail (DKIM).
• Sender Policy Framework (SPF) ist eine E-Mail-Authentifizierungstechnik, die verhindert, dass Spammer Nachrichten im Namen Ihrer Domäne senden. Auf diese Weise können Sie angeben, welche E-Mail-Server E-Mails im Namen Ihrer Domain senden dürfen.
• DomainKeys Identified Mail (DKIM) ist eine signaturbasierte E-Mail-Authentifizierungstechnik mit einer digitalen Signatur, mit der der Empfänger überprüfen kann, ob eine E-Mail gesendet und vom Inhaber dieser Domain autorisiert wurde.

Vor diesen Standards konnten Hacker im Wesentlichen E-Mails mit genau denselben Domänen wie die Marken selbst versenden, sagt Roger Grimes, ein Verteidigungsevangelist für KnowBe4, eine Schulungsplattform für Sicherheitsbewusstsein. Durch die Verwendung dieser Protokolle zur Authentifizierung von E-Mails, bevor sie zugestellt werden können, haben viele große Unternehmen dies gestoppt.

„Die Standards waren so erfolgreich, dass Phisher fast aufgehört haben, echte, legitime Markendomänen zu verwenden“, sagt Grimes.

Meistere deine Domänen, um dunkle Mächte zu besiegen

Da E-Mail-Sicherheitsprotokolle so hervorragende Arbeit leisten, um eine Angriffslinie zu durchtrennen, gingen Hacker dazu über, ihre eigenen Domänen zu erstellen. Du hast sie wahrscheinlich schon gesehen. Sie ähneln oft sehr der Realität, weichen aber ganz leicht ab und schieben eine Zahl, einen Buchstaben oder ein Symbol an nicht offensichtliche Stellen.

Die meisten Hacker machen sich nicht die Mühe, dies manuell zu tun, da es zahlreiche Tools gibt, mit denen sie Dutzende oder sogar Hunderte von gefälschten Ableitungen erstellen können. Und es ist fast unmöglich, all diese zu finden, nachdem sie generiert wurden, sagt Grimes.

Eine technologische Problemumgehung besteht darin, ein automatisiertes Tool zum Identifizieren von Look-Alike-Domänen bereitzustellen, die mit Ihrer Unternehmensdomäne verknüpft sind, sagt Dickson von IDC. Diese durchsuchen grundsätzlich sowohl das öffentlich zugängliche Web als auch Dark Web und Deep-Websites, um zu sehen, wer Ihre Marke fälschen könnte.

Eine weitere Überlegung, um der Master Ihrer Domain zu werden, ist das Abonnieren eines Reputationsdienstes. Dazu gehört in der Regel auch ein Suchwerkzeug, um zu sehen, wer, wenn überhaupt, sich als Sie ausgibt.

Aber sie können auch Hunderte von Leuten haben, die die Recherchen durchführen, sowie Unterstützungsdienste, wie die Zusammenarbeit mit den Strafverfolgungsbehörden, um illegale Domains zu entfernen, sagt Tony Sabaj, ein Sprecher von Check Point.

Erhöhen Sie die Sicherheit in den sozialen Medien

Marken müssen auch ihre Social-Media-Kanäle vor Angriffen schützen. Wenn diese Kanäle kompromittiert werden, können sie zu Werkzeugen für Phishing-Angriffe werden, sagt Grimes.

„Es ist durchaus üblich, dass ein Hacker in ein Unternehmen eindringt, die Postfächer der Kreditoren- und Debitorenbuchhaltung durchsucht und dann gefälschte Rechnungen und geänderte Bankinformationen an Personen sendet“, sagt er und bezieht sich auf die Kompromittierung geschäftlicher E-Mails.

„Sie könnten etwas sagen wie ‚Hey, wir möchten Sie nur darüber informieren, dass wir zu einer neuen Bank wechseln und Sie Ihre Zahlungen an diese neue Bankleitzahl und Kontonummer senden sollten‘.“

Informieren Sie Ihre Kunden (und alle, die zuhören)

Eines der wichtigsten Dinge, die ein Unternehmen tun kann, um seine Marke zu schützen, besteht darin, Kunden über die Bedrohung durch Phishing-Angriffe und darüber zu informieren, was sie dagegen tun können.

Informieren Sie sie über aktuelle Phishing-Trends, wie z. B. Hacker, die unaufgefordert E-Mails senden, in denen sie sagen, dass sie etwas gewonnen haben oder dass sich eine Lieferung von etwas, das sie nie bestellt haben, verzögert hat oder dass ihr Konto übernommen wurde und technischer Support erforderlich ist.

Informieren Sie Ihre Kunden außerdem regelmäßig darüber, wie Sie proaktiv gegen Phishing vorgehen. Nutzen Sie schließlich jede Gelegenheit, um Kunden daran zu erinnern, dass sie einen Beitrag zum Selbstschutz leisten müssen.

Bieten Sie vernünftige Tipps wie:

• Verdacht auf digitale Kommunikation mit seltsamen Domainnamen, Schriftarten, Rechtschreib-, Grammatik- oder Bildfehlern . Diese „Tells“ sind nicht mehr so ​​verbreitet wie früher, aber sie existieren immer noch.
• Suchen Sie nach Diskrepanzen zwischen vermeintlichen Absendern, E-Mail-Adressen, Betreffzeilen und der Nachricht selbst. Zum Beispiel erhielt ich kürzlich eine schlecht gestaltete E-Mail, die angeblich von Lowe stammte und behauptete, ich hätte einen Dewalt Heater gewonnen. Die E-Mail-Adresse des Absenders enthielt nicht den Namen des Baumarkts. Der Hauptteil der Nachricht wurde mit einem Logo von EA, der Videospielfirma, gekrönt. Und anstatt mir zu sagen, wie ich meine Heizung bekomme, hieß es, ich hätte um eine Passwortänderung gebeten und könnte auf einen Link klicken, um dies zu bewirken.
• Seien Sie skeptisch gegenüber Mitteilungen, die scheinbar aus dem Nichts kommen oder Sie bitten, etwas zu tun, was Sie noch nie zuvor mit dem vermeintlichen Absender getan haben, wie z. B. das Teilen finanzieller oder persönlich identifizierbarer Informationen (PII).
• Klicken Sie niemals auf Links von Personen, die Sie nicht kennen oder denen Sie nicht vertrauen, insbesondere wenn Sie aufgefordert werden, ein neues Passwort zu wählen.
• Achten Sie auch auf mögliche Deepfake-Videos , die für Phishing verwendet werden. Obwohl sie glatter werden, können Sie sie normalerweise erkennen, indem Sie nach visuellen Verzerrungen wie ungewöhnlichen Kopf- oder Oberkörperbewegungen und Synchronisierungsproblemen zwischen Gesicht, Lippen und Audio suchen, schreibt Stu Sjouwerman, Gründer und CEO von KnowBe4.

Ein endloser Kampf

Am Ende sollten sich Unternehmen der Tatsache stellen, dass der Kampf gegen Phisher ein Hin- und Her-Kampf ist. Für jede Gegenmaßnahme, die Marken ergreifen, finden Cyberkriminelle einen anderen Angriffsvektor – weshalb es so wichtig ist, gegenüber sich ändernden Bedrohungen wachsam zu bleiben und sich auf Menschen, Prozesse und Technologie zu konzentrieren.

„Es ist mit Sicherheit ein Katz-und-Maus-Spiel“, sagt Sabaj von Check Point. „Aber es gibt eine Menge Dinge, die Unternehmen tun können, um Phishing zu verhindern, und sie müssen es tun, um ihren Markenwert zu schützen.“