Was ist Phishing?

Die Geschichte hinter Phishing

Ähnliche Betrugsversuche wie z. B. „der Enkeltrick“ gab es schon früher. Die Anfänge reichen bis zum Ende der 1990er-Jahre. ICQ Nutzer wurden per E-Mail aufgefordert, Zugangsdaten einzutragen. Die Hacker konnten so die Chat-Zugänge unter falscher Identität nutzen. Erste Angriffe im Online-Banking begannen mit offiziell wirkenden Schreiben, gesendet als E-Mail. Durch übergebene Daten wie Benutzername, Passwort, PIN und TAN konnte man schnell Geldüberweisungen machen.

Wie entstand der Begriff?

Ist ein englisches Kunstwort (Neologismus von „fishing“). Verbindung aus „password harvesting“ und „fishing“. Bildlich nach Passwörtern angeln mit einem Köder. Die Schreibweise mit Ph- entstammt ferner dem Hacker-Jargon (vgl. Phreaking).

Das Grundprinzip

Über gefälschte E-Mails, Webseiten und sogar Kurznachrichten versucht man, an persönliche Daten eines “Users” zu gelangen, um damit die Identität zu stehlen.
Das Ziel des Betrugs ist meistens das Konto zu plündern und so dem “User” zu schaden. Da hierbei die Naivität des Opfers ausgenutzt wird, ist diese Methode eine Form des Social Engineering.

Methoden der Datenbeschaffung

Eine Phishing-Attacke beginnt mit einer E-Mail, die persönlich gehalten ist. Das Ziel ist es, dass der Empfänger eine betrügerische Webseite besuchen soll und seine persönlichen Daten eingibt. Auffällig und erkennbar sind meistens ungeschickte Formulierungen, aber auch orthografische oder syntaktische Fehler. Eine falsche Codierung, wie einzelne kyrillische Buchstaben statt korrekten, westlichen Sonderzeichen können auch ein Indiz für einen Angriff sein. Bei erfolgreichem Angriff folgt meistens eine kurze Bestätigung oder eine falsche Fehlermeldung, um nachträglich das Misstrauen des Opfers zu zerstreuen.
Wie sieht es mit Deiner
Datensicherheit aus?
Wir unterstützen Dich beim Schutz Deiner Daten!
Zur Seite

Spear-Phishing

Unter diesem Angriff versteht man einen gezielten Angriff. Er leitet sich von der englischen Übersetzung des Begriffs Speer ab. Angreifer verschaffen sich über die Studentenvertretung einer Hochschule die E-Mail-Adressen der dort Studierenden, um an diese im Corporate Design einer lokal ansässigen Bank gezielt eine Phishingmail zuzusenden.

Die „Trefferquote“ ist höher, da die Wahrscheinlichkeit, dass ein Student seine Bankverbindung bei diesem Institut unterhält, sehr groß ist.

Neue Methoden

Mit Hilfe von „Trojanischen Pferden“ stellt man sich physisch zwischen die Kommunikation des Kunden und der Bank (Man-in-the-Middle-Angriff). Der Datenverkehr kann so abgegriffen werden, sodass sie nie bei der Bank ankommen. Phishing-Angriffsziele sind dabei Zugangsdaten für:
Onlinebanking oder Online-Bezahlsysteme (zum Beispiel PayPal). Angriffe werden auf folgende Einrichtungen durchgeführt:

  • Versandhäuser
  • Internet-Auktionshäuser
  • Webbasierende Onlineberatungen
  • Packstationen
  • Singlebörsen.
  • Folgen des Identitätsdiebstahls:
  • Beträchtliche Schäden in Form von Vermögensschäden
  • Rufschädigung

Verschleierungsmethoden

Durch eine HTML-E-Mail kann man E-Mails grafisch mittels Webdesign erstellen. So stellt der Verweistext zwar die Originaladresse da, aber in Wirklichkeit ist das unsichtbare Verweisziel auf die Adresse der gefälschten Webseite verlinkt (Link-Spoofing).

Die Mehrdeutigkeit sichtbarer Zeichen kann bei E-Mails wie bei Webseiten ausgenutzt werden. Damit wird der Benutzer über die wahre Adresse des Absenders einer Mail oder die wirkliche URL einer Webseite getäuscht.

Der im E–Mail–Programm sichtbare Verweis kann mit der Einbindung von HTML tatsächlich auf eine ganz andere Webseite verweisen. Angaben darüber können zusätzlich über Skripttechniken verfälscht werden, sofern das E-Mail-Programm solche Skripte ausführt. In anderen Fällen wird der Verweis als Grafik dargestellt, um die Texterkennung durch automatische Filtersysteme zu erschweren. Auf dem Bildschirm des Anwenders erscheint dann zwar Text, dieser ist allerdings eine Grafik.

Um die Mail echter aussehen zu lassen, wird bei Phishing häufig auch die E-Mail-Adresse des Absenders gefälscht.

Phishing-Webseite

Gefälschte Seiten sind sehr schwer als Fälschungen identifizierbar. Ähnlich klingende Namen oder Bezeichnungen, wie die offiziellen Seiten oder Firmen, sind typisch für gefälschte Zielseiten.

Mit der Möglichkeit internationalisierte Domainnamen in URLs zu verwenden, entstanden neue Möglichkeiten zum URL-Spoofing.

Bsp.

Originaladresse: http://www.ue-nationalbank.rlp.de/

Fälschung: http://www.ü-nationalbank.rlp.de/

Schutz vor Phishing

Tipps zur allgemeinen IT-Sicherheit zu Phishing E-Mails.

Man sollte die Kennzeichen für Phishing wahrnehmen können, indem man ein gesundes Misstrauen an den Tag legt. Eine E-Mail ohne Anrede und in schlechtem Deutsch, die Sie zu Tätigkeiten drängt, ist ein Indiz dafür. Meist besitzt diese E-Mail eine vorgetäuschte Absender-URL aus dem Ausland.

ANDERE BEITRÄGE

Inhaltsverzeichnis

Wir verwenden Cookies, um Ihnen die bestmögliche Erfahrung zu bieten. Wenn Sie unsere Website weiterhin besuchen, stimmen Sie der Verwendung von Cookies zu, wie in unserer Datenschutzerklärung beschrieben.