Gefahr durch Deepfakes

Nichtsdestoweniger ist die Erkennung von Angriffen auf Führungskräfte wie dem eingangs beschriebenen keine leichte Aufgabe. Gefährdet sind auch nach Meinung von David Wollmann, Executive Consultant beim Sicherheitsanbieter NTT Security, vor allem grosse, international aufgestellte Unternehmen, bei denen die Zielperson die Stimme des Gegenübers nicht 100-prozentig genau kenne. Angriffe mit einer zumindest ähnlich klingenden Stimme seien hier besonders vielversprechend.

Wollmann rechnet damit, dass die «Anzahl der Social-Engineering-Angriffe mittels Deepfakes, sei es Voice oder auch Video, stark zunehmen» wird. Mit vergleichsweise geringem Aufwand könnten die Angreifer hier relativ gute Ergebnisse erzielen. Bei einer zu schlampigen Vorbereitung könne es jedoch zu Verzögerungen in den Antwortzeiten kommen, die sich als Hinweis auf einen Angriff nutzen liessen. Es gebe aber noch keine technischen Abwehrmassnahmen, die dafür geeignet seien.

«Ist ein Deepfake gut gemacht, wird er mit dem menschlichen Gehör nur sehr schwer oder gar nicht zu erkennen sein», so Wollmann. «Man könnte höchstens auf komische Geräusche in der Leitung achten, die ein Deepfake-Indiz sein können.» Der Experte empfiehlt gefährdeten Unternehmen, einen Prozess aufzusetzen, der bei kritischen Aktivitäten wie einer finanziellen Transaktion oder Übermittlung von Forschungs- und Kundendaten eine telefonische Rückversicherung beinhaltet. Darüber hinaus seien Awareness-Trainings empfehlenswert, die sich speziell mit dem Thema Social Engineering befassen.

Bei all der Aufregung um fortgeschrittene Angriffe auf Führungskräfte darf die Bedrohung durch ganz gewöhnliche gefälschte E-Mails nicht vernachlässigt werden. So hat der japanische Sicherheitsanbieter Trend Micro eine Analyse auf Basis seiner «Smart Protection Network»-Daten veröffentlicht, laut der die Zahl der BEC-Versuche (Business E-Mail Compromise) in der ersten Hälfte dieses Jahres auf über 8500 angestiegen ist. Im Vergleichszeitraum des Vorjahrs lag die Zahl noch bei unter 7000 Attacken. Bei mehr als 40 Prozent dieser Betrugsversuche per E-Mail stand der CEO des jeweiligen Unternehmens im Fokus.

Nach Angaben von Trend Micro werden inzwischen längst nicht mehr nur Firmen der Privatwirtschaft angegriffen. Bei einer BEC-Attacke gegen eine Kirche im US-Bundesstaat Ohio sei diese um rund 1,75 Millionen Dollar betrogen worden. Zuerst hackten die Angreifer mehrere E-Mail-Accounts von Mitarbeitern der Organisation. Diese wurden dann genutzt, um Kollegen dazu zu bewegen, die genannte Summe auf das Konto eines angeblichen Geschäftspartners zu überweisen.

Dem auf E-Mail-Security spezialisierten Anbieter FireEye zufolge richten sich weitere Angriffe gegen die Lohnbuchhaltung in Unternehmen oder gegen ihre Lieferketten. So werde etwa versucht, die Kontodaten von Mitarbeitern im Auftrag des CEOs zu ändern, um auf diese Weise Gehaltszahlungen auf andere Konten umzuleiten. Oder es werden die E-Mails eines Lieferanten gefälscht, um so ebenfalls illegale Zahlungen auszulösen. Das Problem bei dieser Art von Attacken ist nach Angaben von Ken Bagnall, Vice President of Email Security bei FireEye, dass «nicht jeder Mitarbeiter darauf vorbereitet ist oder nicht über das notwendige Wissen verfügt, dass es sich dabei um einen Angriff handelt».