Warum nutzen Cyberangreifer häufig Social Engineering?
von
Zuletzt aktualisiert: 7 Lesezeit: 7 Minuten
Cyber-Angreifer verwenden Social Engineering, eine Art von Angriffen, die auf das menschliche Element und nicht auf das Computersystem und seine Software abzielen. Der Angreifer versucht, eine Person durch einen Trick dazu zu bringen, eine Aktion auszuführen, die es ihm ermöglicht, Zugang zum Computer des Opfers zu erhalten. Eine der häufigsten Arten dieser Art von Angriffen ist der Man-in-the-Middle-Angriff. Bei einem Man-in-the-Middle-Angriff gibt sich ein Angreifer als eine andere Person aus, um den Opfern vorzugaukeln, dass sie über normalisierende Protokolle wie Interactive Voice Response, E-Mail, Instant Messaging und Webkonferenzen direkt miteinander kommunizieren. Ein Hacking durch menschliche Manipulation ist einfacher durchzuführen als ein Hacking direkt von einer externen Quelle. In diesem Artikel wird erörtert, warum SE-Angriffe auf dem Vormarsch sind und warum Cyber-Angreifer diese Taktik häufig anwenden.
Wichtigste Erkenntnisse
- Social-Engineering-Angriffe manipulieren das menschliche Element, was sie zu einer bevorzugten Methode für Cyberkriminelle macht.
- Angriffe nutzen oft Vertrauen und menschliche Beziehungen aus und erfordern vom Angreifer nur minimale technische Fähigkeiten.
- Das Durchsuchen von weggeworfenen Materialien kann Angreifern sensible Informationen liefern, ohne dass sie Hacking-Techniken anwenden müssen.
- Emotionale Auslöser wie Angst, Gier und Dringlichkeit erhöhen die Wahrscheinlichkeit eines erfolgreichen Social Engineering-Angriffs erheblich.
- Bestimmte Persönlichkeitsmerkmale wie Verträglichkeit und Extraversion machen Menschen anfälliger für Social-Engineering-Taktiken.
Warum nutzen Cyber-Angreifer Social Engineering: Wahrscheinliche Ursachen und Gründe
Social-Engineering-Angriffe sind eine der beliebtesten und effektivsten Methoden, die von Hackern heutzutage eingesetzt werden. Bei diesen Angriffen werden häufig zwischenmenschliche Beziehungen ausgenutzt, z. B. das Vertrauen und die Vertrautheit von Mitarbeitern oder die räumliche Nähe zwischen Mitarbeitern und Kunden.
a. Das menschliche Element ist das schwächste Glied in der traditionellen Sicherheit
Angriffe sind in der Regel effektiver, wenn sie auf menschlicher Interaktion beruhen, was bedeutet, dass es für die Technik keine Möglichkeit gibt, uns vor ihnen zu schützen. Alles, was ein Angreifer braucht, sind ein paar Informationen über die Gewohnheiten oder Vorlieben seines Ziels und etwas Kreativität bei der Art und Weise, wie er sich dem Opfer präsentiert. Auf diese Weise bekommen die Angreifer, was sie wollen, ohne auf kompliziertere Techniken zurückgreifen zu müssen, wie z. B. das Hacken des Netzwerks einer Organisation oder das Eindringen in die Systeme eines Unternehmens.
Vereinfachen Sie die Sicherheit beim Social Engineering mit PowerDMARC!
b. Es besteht keine Notwendigkeit für fortgeschrittene Hacking-Techniken
Social-Engineering-Angriffe nutzen das Vertrauen von Menschen aus, um Zugang zu einem System oder Netzwerk zu erlangen. Diese Angriffe sind effektiv, da es für einen Angreifer einfach ist, sich Zugang zu verschaffen, anstatt mit Hilfe ausgefeilter Hacking-Techniken gewaltsam in ein Netzwerk einzudringen. Dabei wenden Angreifer in der Regel psychologische Manipulationstechniken wie Phishing, Spear-Phishing und Pretexting an. ➜ Beim Phishing versendet ein Angreifer E-Mails, die legitim erscheinen, aber darauf abzielen, Benutzer dazu zu verleiten, ihre persönlichen Daten wie Passwörter oder Kreditkartendaten preiszugeben. ➜ Beim Spear-Phishing verwendet ein Angreifer die gleichen Methoden wie beim Phishing, jedoch mit fortgeschritteneren Techniken, wie z. B. sich als jemand anderes auszugeben, um Sie dazu zu bringen, Ihre Daten preiszugeben. ➜ Pretexting-Betrug bezeichnet den Fall, dass ein Angreifer Vorwände nutzt, um das Vertrauen seiner Opfer zu gewinnen, bevor er versucht, sie zu bestehlen. Sobald Angreifer Zugriff auf Ihr System oder Netzwerk erhalten haben, können sie darin alles tun, was sie wollen, einschließlich der Installation von Programmen, der Änderung von Dateien oder sogar deren Löschung, ohne von einem Sicherheitssystem oder Administrator entdeckt zu werden, der sie daran hindern könnte, wenn er wüsste, was in seinem Netzwerk vor sich geht!
c. Dumpster Diving ist einfacher als Brute Forcing in ein Netzwerk
Beim Dumpster Diving werden Informationen aus weggeworfenen Materialien entnommen, um Social Engineering-Angriffe durchzuführen. Bei dieser Technik wird der Müll nach Schätzen wie Zugangscodes oder Passwörtern durchsucht, die auf Klebezetteln notiert sind. Dumpster Diving erleichtert die Durchführung solcher Aktivitäten, da sich der Hacker so Zugang zum Netzwerk verschaffen kann, ohne tatsächlich einbrechen zu müssen. Die Informationen, die Mülltaucher ausgraben, können von banalen Informationen wie Telefonlisten oder Kalendern bis hin zu scheinbar harmloseren Daten wie einem Organigramm reichen. Doch diese scheinbar harmlosen Informationen können einem Angreifer dabei helfen, sich mit Social-Engineering-Techniken Zugang zum Netzwerk zu verschaffen. Wenn ein Computer entsorgt wurde, könnte er außerdem eine Fundgrube für Cyberangreifer sein. Es ist möglich, Informationen von Speichermedien wiederherzustellen, auch von Laufwerken, die gelöscht oder unsachgemäß formatiert wurden. Gespeicherte Passwörter und vertrauenswürdige Zertifikate sind oft auf dem Computer gespeichert und anfällig für Angriffe. Die ausrangierten Geräte können sensible Daten auf dem Trusted Platform Module (TPM) enthalten. Diese Daten sind für ein Unternehmen wichtig, da sie die sichere Speicherung sensibler Informationen, wie z. B. kryptografischer Schlüssel, ermöglichen. Ein Social Engineer könnte die Hardware-IDs, denen ein Unternehmen vertraut, ausnutzen, um potenzielle Angriffe auf die Benutzer durchzuführen.
d. Nutzt die Furcht, die Gier und das Gefühl der Dringlichkeit der Menschen
Social-Engineering-Angriffe sind leicht durchzuführen, da sie sich auf das menschliche Element stützen. Der Cyber-Angreifer kann Charme, Überredung oder Einschüchterung einsetzen, um die Wahrnehmung der Person zu manipulieren oder ihre Emotionen auszunutzen, um wichtige Details über ihr Unternehmen zu erfahren. So könnte ein Cyber-Angreifer beispielsweise mit einem verärgerten Mitarbeiter eines Unternehmens sprechen, um an versteckte Informationen zu gelangen, die dann zum Einbruch in das Netzwerk genutzt werden können. Der verärgerte Mitarbeiter kann einem Angreifer Informationen über das Unternehmen geben, wenn er sich von seinem derzeitigen Arbeitgeber ungerecht behandelt oder schlecht behandelt fühlt. Der verärgerte Mitarbeiter kann auch Informationen über das Unternehmen weitergeben, wenn er/sie keinen anderen Job hat und bald arbeitslos sein wird. Bei den fortgeschritteneren Hacking-Methoden wird mit fortgeschrittenen Techniken wie Malware, Keyloggern und Trojanern in ein Netzwerk eingebrochen. Diese fortgeschrittenen Techniken erfordern viel mehr Zeit und Aufwand als das Gespräch mit einem verärgerten Mitarbeiter, um an versteckte Informationen zu gelangen, die für den Einbruch in ein Netzwerk verwendet werden können.
Die sechs wichtigsten Prinzipien der Beeinflussung
Social-Engineering-Betrügereien nutzen sechs spezifische Schwachstellen in der menschlichen Psyche aus. Diese Schwachstellen wurden von dem Psychologen Robert Cialdini in seinem Buch "Influence: The Psychology of Persuasion" beschrieben, und zwar ➜ Reziprozität - Reziprozität ist der Wunsch, Gefallen in Form von Gegenleistungen zu erwidern. Wir neigen dazu, Menschen, die uns geholfen haben, etwas zu schulden; wir haben das Gefühl, dass es unsere Pflicht ist, ihnen zu helfen. Wenn uns also jemand um etwas bittet - ein Passwort, Zugang zu Finanzdaten oder irgendetwas anderes - sind wir eher bereit, ihm zu helfen, wenn er uns schon einmal geholfen hat. ➜ Verbindlichkeit und Beständigkeit - Wir neigen dazu, Dinge im Laufe der Zeit zu tun und nicht nur einmal. Es ist wahrscheinlicher, dass wir einer Bitte zustimmen, wenn wir bereits einem Teil davon zugestimmt haben - oder sogar mehreren. Wenn jemand schon einmal um Einsicht in Ihre Finanzunterlagen gebeten hat, ist eine erneute Anfrage vielleicht gar nicht so schlimm! ➜ Sozialer Beweis - Diese Täuschungstechnik beruht auf der Tatsache, dass wir dazu neigen, dem Beispiel der Menschen in unserer Umgebung zu folgen (auch bekannt als "Mitläufereffekt"). So könnten Mitarbeiter beispielsweise von einem Bedrohungsakteur beeinflusst werden, der falsche Beweise dafür vorlegt, dass ein anderer Mitarbeiter einer Aufforderung nachgekommen ist. ➜ Gefallen an - Wir mögen Menschen, die den Anschein erwecken, als hätten sie das Sagen. So könnte ein Hacker eine Nachricht an Ihre E-Mail-Adresse senden, die so aussieht, als käme sie von Ihrem Chef oder einem Freund von Ihnen oder sogar von einem Experten auf einem Gebiet, das Sie interessiert. Die Nachricht könnte etwa so lauten: "Hey! Ich weiß, dass du an diesem Projekt arbeitest und wir brauchen etwas Hilfe. Können wir uns bald mal treffen?" In der Regel wird um Ihre Hilfe gebeten - und wenn Sie zustimmen, geben Sie sensible Informationen preis. ➜ Autorität - Menschen unterwerfen sich im Allgemeinen Autoritätspersonen, weil wir sie als die "Richtigen" ansehen, denen wir folgen und gehorchen müssen. Auf diese Weise können Social-Engineering-Taktiken unsere Tendenz ausnutzen, denjenigen zu vertrauen, die autoritär erscheinen, um das zu bekommen, was sie von uns wollen. ➜ Knappheit - Knappheit ist ein menschlicher Instinkt, der in unseren Gehirnen fest verankert ist. Es ist das Gefühl von "Ich brauche das jetzt" oder "Ich sollte das haben". Wenn Menschen also von Social Engineers betrogen werden, verspüren sie ein Gefühl der Dringlichkeit, ihr Geld oder ihre Informationen so schnell wie möglich herauszugeben.
Persönlichkeiten, die anfällig für Social Engineering sind und warum?
Laut Dr. Margaret Cunningham, der leitenden Wissenschaftlerin für menschliches Verhalten bei Forcepoint X-Labs - einem Cybersicherheitsunternehmen - sind bestimmte Persönlichkeitstypen, insbesondere solche mit hoher Verträglichkeit und Extraversion, am anfälligsten für Social Engineering-Angriffe. Sympathische Menschen neigen dazu, vertrauensvoll und freundlich zu sein und Anweisungen ohne Fragen zu befolgen. Sie sind gute Kandidaten für Phishing-Angriffe, da sie eher bereit sind, auf Links zu klicken oder Anhänge von E-Mails zu öffnen, die echt erscheinen. Extrovertierte Menschen sind auch deshalb anfälliger für Social-Engineering-Angriffe, weil sie oft lieber mit anderen Menschen zusammen sind und eher dazu neigen, anderen zu vertrauen. Sie sind den Motiven anderer eher misstrauisch als introvertierte Menschen, was dazu führen kann, dass sie von einem Social Engineer getäuscht oder manipuliert werden.
Persönlichkeiten, die gegenüber Social Engineering resistent sind und warum?
Menschen, die sich gegen Social-Engineering-Angriffe wehren können, sind in der Regel gewissenhaft, introvertiert und haben eine hohe Selbstwirksamkeit. Gewissenhafte Menschen sind am ehesten in der Lage, Social-Engineering-Betrügereien zu widerstehen, indem sie sich auf ihre eigenen Bedürfnisse und Wünsche konzentrieren. Sie sind auch weniger geneigt, sich den Forderungen anderer anzupassen. Introvertierte Menschen sind in der Regel weniger anfällig für Manipulationen von außen, weil sie sich Zeit für sich selbst nehmen und die Einsamkeit genießen, was bedeutet, dass sie sich weniger von sozialen Hinweisen oder aufdringlichen Menschen beeinflussen lassen, die versuchen, sie zu beeinflussen. Selbstwirksamkeit ist wichtig, weil sie uns hilft, an uns selbst zu glauben, so dass wir mehr Vertrauen haben, dass wir dem Druck von anderen oder äußeren Einflüssen widerstehen können.
Schützen Sie Ihr Unternehmen mit PowerDMARC vor Social Engineering-Betrug
Unter Social Engineering versteht man die Manipulation von Mitarbeitern und Kunden, damit diese sensible Informationen preisgeben, die zum Diebstahl oder zur Zerstörung von Daten verwendet werden können. In der Vergangenheit wurden diese Informationen durch das Versenden von E-Mails erlangt, die so aussahen, als kämen sie von legitimen Quellen wie Ihrer Bank oder Ihrem Arbeitgeber. Heute ist es viel einfacher, E-Mail-Adressen zu fälschen. PowerDMARC schützt vor dieser Art von Angriffen durch den Einsatz von E-Mail-Authentifizierungsprotokollen wie SPF, DKIM und DMARC p=reject-Richtlinie in Ihrer Umgebung, um das Risiko von direktem Domain-Spoofing und E-Mail-Phishing-Angriffen zu minimieren. Wenn Sie sich selbst, Ihr Unternehmen und Ihre Kunden vor Social-Engineering-Angriffen schützen möchten, melden Sie sich für unseren DMARC kostenlos testen heute! 
Experte für Domain- und E-Mail-Sicherheit bei PowerDMARC
Ahona ist Marketing-Managerin bei PowerDMARC und verfügt über mehr als 5 Jahre Erfahrung im Schreiben über Cybersicherheitsthemen, insbesondere im Bereich Domain- und E-Mail-Sicherheit. Ahona hat einen Postgraduierten-Abschluss in Journalismus und Kommunikation und ist seit 2019 in der Sicherheitsbranche tätig.
Neueste Beiträge von Ahona Rudra (alle anzeigen)
