Einem Artikel im Infosecurity Magazine zufolge kostet die Cyberkriminalität Unternehmen pro Minute etwa 1,79 Millionen Dollar. Zweifelsohne steigt diese Zahl, und der anfälligste Punkt ist nach wie vor die E-Mail-Cybersicherheit.
Während Unternehmen, die sich auf E-Mail-Sicherheit spezialisiert haben, Produkte und Dienstleistungen für einen noch besseren Schutz entwickeln, finden Hacker weiterhin Schwachstellen und nutzen diese aus.
Wir haben beschlossen, auf das Jahr 2021 zurückzublicken und die wichtigsten Angriffe, Nachrichten und Entwicklungen in einem kurzen Jahresrückblick zu sammeln.
Ransomware-Angriffe betreffen nicht nur die IT-Branche
Wenn wir über Cybersicherheit sprechen, könnten wir dem Trugschluss unterliegen, dass nur IT-Unternehmen Opfer von Social-Engineering- und Ransomware-Angriffen werden. So erscheint es beispielsweise kontraintuitiv, die Worte „Versagen der E-Mail-Cybersicherheit“ und „Treibstoffmangel“ in einem Satz zu verwenden.
Dennoch befinden wir uns in einer Zeit, in der auch andere Branchen und Ökosysteme von Cybersicherheit, guter Passwortpflege und dem Bewusstsein für Cyberangriffe abhängig geworden sind. Regierungen, Infrastrukturanbieter, öffentliche Organisationen und private Unternehmen verfügen über große Datenbanken und sind alle anfällig für Cyberangriffe.
Hier sind einige Nachrichten, die im Jahr 2021 für Schlagzeilen gesorgt haben:
Colonial Pipeline vollständig stillgelegt
Unabhängig von der Größe des Unternehmens sollte die Durchsetzung von Richtlinien für die sichere Nutzung von E-Mails und die Passwortpflege eine Priorität sein. Ein einziges durchgesickertes Passwort führte dazu, dass sich Hacker Zugang zum Netzwerk von Colonial Pipeline verschafften und das System über fünf Tage lang als Geisel hielten.
Der Senior Vice President von Mandiant, dem mit der Aufklärung der Situation beauftragten Sicherheitsunternehmen, erklärt, dass das Leck entstand, als ein Mitarbeiter ein VPN-Konto für den Fernzugriff auf Unternehmensnetzwerke nutzte.
Die Anmeldedaten für das Konto wurden zwar in einer durchgesickerten Datenbank im Dark Web gefunden, aber die genaue Art und Weise, wie die Hacker sie erlangt haben, ist unklar und wird möglicherweise nie bekannt werden.
Colonial Pipeline musste ein Lösegeld in Höhe von 4,4 Millionen Dollar zahlen, um 100 GB der gestohlenen Daten wiederzuerlangen.
ACER wird von der größten bekannten Lösegeldforderung getroffen
Im März 2021 wurde der taiwanesische Computerhersteller ACER von einer Lösegeldforderung in Höhe von 50 Millionen Dollar getroffen. Der Angriff wurde von der Hackergruppe REvil durchgeführt, die sich angeblich über eine Schwachstelle im Microsoft Exchange-Server Zugang zum System von ACER verschaffte.
Die Angreifer setzten eine Frist für die Zahlung des Lösegelds. Sollte das Lösegeld nicht rechtzeitig gezahlt werden, würde sich das Lösegeld verdoppeln.
Zu den gesperrten und geleakten Dateien gehörten Dokumente und Tabellenkalkulationen mit sensiblen Finanzdaten.
Andere Ransomware-Angriffe im Jahr 2021 betrafen Branchen wie Lebensmittelverarbeitung (JBS America), Sport (NBA), Versicherungen (AXA), Chemievertrieb (Brenntag) und viele mehr.
Diese Vorfälle zeigen einige Dinge auf, die Nicht-IT-Unternehmen benötigen, um künftigen Bedrohungen zu begegnen:
- Unternehmen sollten ihre Cybersicherheitspraktiken kontinuierlich verbessern.
- Alle Mitarbeiter müssen eine Zwei-Faktor-Authentifizierung verwenden, insbesondere bei Arbeitskonten.
- Eine gute Passworthygiene sollte für alle oberste Priorität haben.
- Unternehmen sollten routinemäßige Verfahren zur Änderung von Passwörtern durchsetzen.
Anstieg der Betrugsfälle an den Feiertagen
Ob Thanksgiving, Black Friday oder Weihnachten – Hacker versuchen, das Beste aus den Feiertagen herauszuholen. Die Menschen sind großzügiger und entspannter. Sie sind beim Geschenkekauf weniger wachsam, und es ist leichter, sie mit Phishing-E-Mails oder anderen Social-Engineering-Betrügereien in die Falle zu locken.
Aus diesem Grund rückt die E-Mail-Cybersicherheit während der Feiertage immer mehr in den Mittelpunkt.
Einige Taktiken, die unter dem Jahr vielleicht nicht funktionieren, sind während der Feiertage umso wichtiger. Hier sind ein paar Beispiele:
- Gefälschte Wohltätigkeitsorganisationen
- Geschenketausch in sozialen Medien
- Kostenlose Apps und Geschenkkarten
- Ferienjobs
- Warnungen vor kompromittierten Konten
- Angriffe auf Geldautomaten
Sie funktionieren gut, weil sie die wichtigsten Punkte ausnutzen: Zeitknappheit, mangelnde Überwachung in den Unternehmen während der Feiertage und nachlassende Wachsamkeit in der Öffentlichkeit.
Der Amazon-Imitationsbetrug war eine der neuesten und größten Fallen der Weihnachtszeit für ahnungslose Online-Einkäufer. Die Opfer erhielten Phishing-E-Mails und unaufgeforderte Anrufe von Dritten, in denen erwähnt wurde, dass ein Problem aufgetreten sei und die Kunden sich sofort darum kümmern müssten. Außerdem würden sie eine Zahlung oder Kontoinformationen verlangen, um das Problem zu lösen.
Nach Angaben der US-amerikanischen Federal Trade Commission (FTC) steht Amazon an der Spitze der Liste der imitierten Unternehmen und übertrifft bei weitem den Prozentsatz der Imitationen von Apple.
Betrugsfälle im Zusammenhang mit der COVID-19-Pandemie
Das Coronavirus ist zwar keine Neuigkeit mehr, aber es macht immer wieder Schlagzeilen, nicht nur in Bezug auf Impfstoffe und neue Varianten, sondern auch im Bereich der Cybersicherheit. E-Mail-Sicherheitsunternehmen erhielten Betrugswarnungen im Zusammenhang mit vermehrten Phishing-Versuchen.
Einem Artikel der Washington Post zufolge häuften sich die Phishing-E-Mails im Juni, zeitgleich mit der Verbreitung der „Delta-Variante“. Ungewissheit ist immer ein Nährboden für Kriminelle. So war die Verwirrung groß, als es darum ging, einen Impfstoff zu erhalten und dies der Personalabteilung des Unternehmens zu melden. Die Mitarbeiter bekamen folgende E-Mails:
- Verlangen eines Nachweises über die Impfung
- Angabe, dass der Mitarbeiter entlassen wurde
- Von gefälschten Gesundheitsorganisationen, die Methoden zur Behandlung und Vorbeugung von Viren angeben
Die Zahl der Betrugsversuche hat nicht nur zugenommen, sondern die Menschen fallen auch immer häufiger darauf herein. Dies könnte damit zusammenhängen, dass mehr Menschen von zu Hause aus arbeiten. Allerdings sind die Hacker auch erfinderischer und glaubwürdiger geworden, wenn es um Phishing-E-Mails geht.
Das britische National Cyber Security Center berichtet, dass Impfstoffhersteller und -vertreiber eine weitere Zielgruppe für COVID-19-bezogene Betrügereien sind.
iOS 15 Datenschutzfunktionen wirken sich auf E-Mails aus
Der Datenschutz hat für Apple seit langem oberste Priorität. Im Jahr 2021 hatte das Unternehmen jedoch mit einigen Datenschutz- und Sicherheitsproblemen zu kämpfen. Die größte Kritik erhielt es für den israelischen Pegasus-Virus, der Berichten zufolge einen Weg in Apple-Geräte fand. Obwohl das Unternehmen einen Notfall-Patch veröffentlichte, ging dieser Vorfall in die Geschichte ein.
In einem Versuch, die Ausbeutung von Kindern zu bekämpfen, bereitete der Gigant die Veröffentlichung einer Funktion vor, mit der Geräte auf Bilder gescannt werden sollten, auf denen jugendliche Arbeiter zu sehen sind. Dies führte zu weiteren Kontroversen unter Sicherheitsexperten und Kritikern.
Dennoch ist nicht alles schlecht bei Apple. iOS 15 war ein Hit beim Schutz der Privatsphäre der Nutzer. Während einige seiner Funktionen unter E-Mail-Marketing-Experten für Aufruhr sorgten, war es ein weiterer Schritt in Richtung Nutzerschutz.
Die zentrale Funktion ist die Möglichkeit, die Verfolgung der Öffnungsrate abzuschalten. Darüber hinaus bietet das neueste iOS-Update den Nutzern optionale, kostenpflichtige Funktionen zum Blockieren von IP-Adressen und zum Verbergen von E-Mail-Adressen.
Phishing ist der Hauptverursacher von Datenlecks
Der Human Hacking Report von Slashnext beschreibt den Menschen als „porös“ in Bezug auf die Cybersicherheit. In der Tat sind Mitarbeiter und Einzelpersonen fast immer anfällig für kostspielige Fehler für ihre Unternehmen.
Wenn dann noch psychologische Tricks wie das Gefühl der Dringlichkeit oder die Ausnutzung des angeborenen Impulses der Hilfsbereitschaft hinzukommen, sind sie noch anfälliger. Andererseits verblüffen Hacker, die Phishing-E-Mails verschicken, immer wieder mit neuen Tricks.
Laut dem Data Breach Investigations Report (DBIR) 2021 von Verizon steht Phishing an der Spitze der Kategorie „Datenlecks“ (bestätigte Datenweitergabe an eine nicht autorisierte Partei).
Seine Häufigkeit ist aufgrund der Quarantäne um 11 % gestiegen. In der Kategorie „Vorfälle“ (Beeinträchtigung der Integrität, Verfügbarkeit oder Vertraulichkeit von Vermögenswerten) liegt Phishing nach DoS-Angriffen an zweiter Stelle.
DMARC-Anwendungsrate steigt deutlich an
Zu guter Letzt wäre unser Jahresrückblick unvollständig ohne einige Statistiken zur DMARC-Anwendung. Die Analyse von DMARC.org bestätigt, dass immer mehr Unternehmen erkennen, wie wichtig es ist, DMARC-E-Mail-Sicherheit zu implementieren.
Im ersten Halbjahr 2021 belief sich die Gesamtzahl der Domains mit veröffentlichter DMARC-Richtlinie auf 3,46 Millionen. Im Vergleich zu Januar-Juni 2020 hat sich die Zahl im gleichen Zeitraum 2021 verdoppelt.
Während der durchschnittliche monatliche Zuwachs bei 114.500 lag, verzeichnete der Juni 2021 einen exklusiven Anstieg der Zahlen – 400.000 in einem Monat.
Obwohl wir noch keine abschließende Analyse der Ergebnisse zum Jahresende haben, glauben wir, dass sich der Trend fortsetzt.
Fazit
Während Phishing weiterhin an der Spitze der Sicherheitsprobleme bei Datenlecks steht, war das Jahr 2021 durch die Zunahme von Ransomware und Angriffen auf Nicht-IT-Branchen gekennzeichnet.
Diese Entwicklungen sind nicht überraschend, da immer mehr Unternehmen auf dem Markt für E-Mail-Sicherheit und Regierungen den Weg der Digitalisierung beschreiten.
Der Anstieg der DMARC-Anwendungsrate ist einer der positiven Aspekte des Jahres 2021, da immer mehr Geschäftsinhaber verstehen, warum E-Mail-Sicherheit wichtig ist.
In Anbetracht der historischen Zahlen und des für die zweite Jahreshälfte prognostizierten Anstiegs gehen die Unternehmen mit einem besseren Verständnis für E-Mail-Cybersicherheit in das Jahr 2022.