David Warburton, Autor des „F5 Labs 2020 Phishing and Fraud Report“, erläutert in diesem Video, wie sich Betrüger an die Pandemie anpassen, und zeigt künftige Trends auf. Darunter finden Sie eine kurze Zusammenfassung.
COVID-19 bestärkt Cyberkriminelle weiterhin erheblich in ihren Phishing- und Betrugsaktivitäten, wie neue Forschungsergebnisse von F5 Labs zeigen.
In der vierten Ausgabe des Phishing and Fraud Report wurde festgestellt, dass die Zahl der Phishing-Vorfälle auf dem Höhepunkt der weltweiten Pandemie gegenüber dem Jahresdurchschnitt um 220 % gestiegen ist.
Basierend auf Daten des Security Operations Center (SOC) von F5 wird die Zahl der Phishing-Vorfälle im Jahr 2020 voraussichtlich um 15 % gegenüber dem Vorjahr steigen. Dies könnte sich jedoch bald ändern, wenn sich weitere Pandemiewellen ausbreiten.
Als die drei Hauptziele von Phishing-E-Mails im Zusammenhang mit COVID wurden betrügerische Spendenaufrufe für vorgetäuschte Wohltätigkeitsorganisationen, das Abgreifen von Zugangsdaten und die Verbreitung von Schadsoftware identifiziert.
Die Domäne eines Phishers
Wie die Untersuchungen der Vorjahre zeigen, stellte F5 Labs fest, dass Betrüger bei den Namen und Adressen ihrer Phishing-Websites immer kreativer werden.
Im bisherigen Verlauf des Jahres 2020 verwendeten 52 % der Phishing-Websites Namen und Identitäten der anvisierten Marken in ihren Website-Adressen. Anhand von Daten zu Phishing-Websites von Webroot stellte F5 Labs fest, dass Amazon in der zweiten Jahreshälfte 2020 die am häufigsten ins Visier genommene Marke war. Auch Paypal, Apple, WhatsApp, Microsoft Office, Netflix und Instagram gehörten zu den zehn am häufigsten imitierten Marken.
Durch die Nachverfolgung gestohlener Zugangsdaten bis zu deren Einsatz bei aktiven Angriffen stellte F5 Labs fest, dass Kriminelle versuchten, gestohlene Passwörter innerhalb von vier Stunden nach dem Phishing-Angriff auf ein Opfer zu verwenden. Einige Angriffe erfolgten sogar in Echtzeit, um Sicherheitscodes für die Multi-Faktor-Authentifizierung (MFA) abzufangen.
Offen und doch verborgen
Auch im Jahr 2020 verstärkten Phisher ihre Bemühungen, betrügerische Websites so authentisch wie möglich erscheinen zu lassen. Statistiken des F5 SOC zufolge nutzten die meisten Phishing-Websites Verschlüsselung, wobei ganze 72 % gültige HTTPS-Zertifikate verwendeten, um ihre Opfer zu täuschen. In diesem Jahr nutzten 100 % der Drop-Zones – also der Ziele, an die Malware gestohlene Daten sendet – TLS-Verschlüsselung (gegenüber 89 % im Jahr 2019).
Bei der gemeinsamen Betrachtung der Vorfälle aus den Jahren 2019 und 2020 berichtete F5 Labs außerdem, dass 55,3 % der Drop-Zones einen nicht standardmäßigen SSL/TLS-Port verwendeten. Bis auf eine Ausnahme kam dabei stets Port 446 zum Einsatz. Eine Analyse von Phishing-Websites ergab, dass 98,2 % Standardports verwendeten: Port 80 für unverschlüsselten HTTP-Datenverkehr und Port 443 für verschlüsselten SSL/TLS-Datenverkehr.
Zukünftige Bedrohungen
Laut aktuellen Forschungsergebnissen von Shape Security, die erstmals in den Phishing and Fraud Report aufgenommen wurden, zeichnen sich zwei wichtige Phishing-Trends ab.
Aufgrund verbesserter Sicherheitskontrollen und -lösungen gegen Bot-Traffic (Botnetze) setzen Angreifer zunehmend auf Klickfarmen. Dabei versuchen Dutzende von externen „Arbeitskräften“ systematisch, sich mit kürzlich erbeuteten Zugangsdaten bei einer Zielwebsite anzumelden. Da die Verbindung von einem Menschen über einen herkömmlichen Webbrowser hergestellt wird, sind betrügerische Aktivitäten schwerer zu erkennen.
Selbst eine relativ geringe Anzahl von Angriffen hat Auswirkungen. So analysierte Shape Security beispielsweise 14 Millionen monatliche Anmeldungen bei einem Finanzdienstleister und ermittelte eine manuelle Betrugsquote von 0,4 %. Das entspricht 56.000 betrügerischen Anmeldeversuchen, und die Zahlen im Zusammenhang mit dieser Art von Aktivität dürften weiter steigen.
Die Forscher von Shape Security verzeichneten außerdem eine Zunahme von Echtzeit-Phishing-Proxys (RTPP), die Codes für die Multi-Faktor-Authentifizierung (MFA) abfangen und verwenden können. Der RTPP fungiert als Mittelsmann und fängt die Transaktionen eines Opfers mit einer echten Website ab. Da der Angriff in Echtzeit erfolgt, kann die bösartige Website das Abfangen und erneute Übermitteln zeitbasierter Authentifizierungsdaten wie MFA-Codes automatisieren. Sie kann sogar Sitzungscookies stehlen und wiederverwenden.
Zu den derzeit aktiv genutzten Echtzeit-Phishing-Proxys gehören Modlishka und Evilginx2. F5 Labs und Shape Security werden die zunehmende Nutzung von RTPPs in den kommenden Monaten beobachten.
Laden Sie den F5 Labs 2020 Phishing and Fraud Report herunter, um mehr zu erfahren.
Über den Bericht
Der diesjährige Phishing and Fraud Report von F5 Labs untersucht Phishing-Vorfälle aus fünf Jahren, die vom F5 Security Operations Center (SOC) erfasst wurden, und analysiert eingehend aktive und bestätigte Phishing-Websites, die von OpenText Webroot® BrightCloud® Intelligence Services bereitgestellt wurden. Darüber hinaus enthält er eine Analyse von Dark-Web-Marktdaten von Vigilante sowie Forschungsergebnisse von Shape Security. Zusammen ergeben diese Daten ein umfassendes und konsistentes Bild der Phishing-Welt.
Über den Autor
David Warburton ist Director bei F5 Labs. Er ist seit über 20 Jahren in der IT-Branche tätig. Seine Karriere begann er als Full-Stack-Entwickler, bevor er sich mit den Tücken der Cloud-Architektur auseinandersetzte und anschließend in die beschauliche und friedliche Welt der Cybersicherheit wechselte. Seine Forschung deckt ein breites Themenspektrum ab – von hochtechnischen Bereichen wie der Kryptografie bis hin zu den praxisnahen soziotechnischen Aspekten der Sicherheit. Warburton hielt weltweit Vorträge auf Veranstaltungen wie Infosec (Großbritannien), GovWare (Singapur), Crikeycon (Australien), ITBN (Ungarn) und Digital Transformation EXPO (Großbritannien) sowie vor Angehörigen des britischen Militärs. Er hatte Dutzende internationale Medienauftritte im Fernsehen, in Printmedien und in Branchen-Podcasts, darunter BBC World News, Sky News, SABC, The Guardian und Risky Business. Er ist Autor mehrerer Publikationen von F5 Labs, darunter die jährlich erscheinenden Berichte „Phishing and Fraud“ und „TLS Telemetry“. Zudem war er kürzlich Mitautor des DevOps-Tools „Cryptonice“ zum Scannen von SSL/TLS/HTTPS, das Organisationen dabei unterstützt, die Sicherheit ihrer Anwendungen zu verbessern. Warburton erwarb einen Masterabschluss in Informationssicherheit an der Royal Holloway University of London. Seine Abschlussarbeit befasste sich mit dem Einsatz von Sicherheitsverfahren und Kryptografie im Internet der Dinge (IoT).
Weitere Blogbeiträge von David WarburtonÄhnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...