E-Mails als Einfallstor für Angriffe

Proofpoint hat seinen fünften jährlichen State of the Phish-Report veöffentlicht. Darin werden Cybersecurity-Trends aufgedeckt und das Grundwissen von mehr als 7.000 Berufstätigen aus verschiedensten Ländern beim Thema Cybersicherheit analysiert. [...]

Die Teilnehmer der Studie setzten sich dabei aus Arbeitnehmern 15 verschiedener Branchen zusammen. Für den Bericht hat das Unternehmen die Daten von vielen Millionen simulierten Phishing-Angriffen analysiert, die innerhalb eines Jahres versendet wurden. Außerdem sind in die Studie die Ergebnisse von fast 15.000 Befragungen von Proofpoint-Kunden sowie externer Organisationen eingeflossen, um einen detaillierten Überblick über die weltweite Bedrohungslage beim Thema Phishing zu erhalten.

Der Studie zufolge waren insgesamt 83 Prozent der Befragten im vergangenen Jahr selbst Opfer von Phishing-Angriffen – 2017 waren es noch 76 Prozent. Fast 60 Prozent gaben zudem an, dass ihre Mitarbeiter nach Security-Awareness-Schulungen mögliche Phishing-E-Mails eigenständig identifizieren konnten. Darüber hinaus zeigt der Report, dass im Vergleich zum Vorjahr eine viel größere Anzahl von Unternehmen von Social-Engineering-Angriffen – wie Phishing, Spear-Phishing, SMS-Phishing, Voice-Phishing und USB-Angriffe – betroffen waren. Zum ersten Mal waren dabei kompromittierte E-Mail-Konten die meistverwendete Taktik für erfolgreiche Phishing-Attacken und übertrafen damit die Häufigkeit von Malware-Infektionen in der Statistik.
„E-Mails sind das wichtigste Einfallstor für Cyberangriffe“, sagt Joe Ferrara, General Manager für Security-Awareness-Trainings bei Proofpoint. „Cyberkriminelle zielen mehr und mehr auf solche Personen ab, die in einem Unternehmen privilegierten Zugang zu Unternehmensdaten haben oder mit besonders sensiblen Daten arbeiten. Da Anzahl und Raffinesse dieser Bedrohungen zunehmen, ist es von entscheidender Bedeutung, dass Unternehmen Trainings zur Sensibilisierung in Sicherheitsfragen durchführen. Mitarbeitern werden bewährte Verfahren in der Cybersecurity und Strategien für die Abwehr von Cyberkriminellen an die Hand gegeben.“

Phishing nimmt überhand

Es gab ein erhöhtes Aufkommen aller Arten von Social-Engineering-Angriffen im Vergleich zum Vorjahreszeitraum. Der Anteil von Phishing stieg auf 83 Prozent gegenüber 76 Prozent im Jahr 2017, während beim Spear-Phishing eine Zunahme von 53 auf 64 Prozent zu verzeichnen war. Auch beim Voice-Phishing und/oder SMS-Phishing war ein Anstieg auf 49 Prozent gegenüber 45 Prozent im Jahr 2017 zu beobachten. Zudem wuchs die Häufigkeit von USB-Angriffen um einen Prozentpunkt auf nunmehr vier Prozent.

Die Zahl der Befragten, die angab, von Phishing-Angriffen und einem darauffolgenden Datenverlust betroffen gewesen zu sein, hat sich zwischen 2016 und 2018 mehr als verdreifacht – was die wachsende Bedrohung durch Phishing und dessen Auswirkung unterstreicht.
Der Diebstahl von Zugangsdaten nahm seit 2017 um 70 Prozent zu, gegenüber 2016 sogar um 280 Prozent. Damit hat diese Methode erstmals die Malware-Infektionen an der Spitze der Liste abgelöst und war 2018 die am weitesten verbreitete Art von Phishing. Nur zehn Prozent der Befragten gaben an, 2018 einen Ransomware-Angriff erlebt zu haben, wodurch sich bestätigt, dass Ransomware im vergangenen Jahr im Vergleich zu anderen Angriffsarten in den Hintergrund gerückt ist.

Mitarbeiter werden wachsamer

59 Prozent der von Anwendern gemeldeten verdächtigen E-Mails wurden auch tatsächlich als potenzielles Phishing eingestuft. Dies deutet darauf hin, dass die Mitarbeiter sorgfältiger und aufmerksamer mit den an sie gesendeten E-Mails umgehen. Die sogenannten Babyboomer (die geburtenstarke Jahrgänge der Jahre zwischen 1945 und 1965 in Europa und den USA) übertrafen alle anderen Altersgruppen bei grundlegenden Kenntnissen in Bezug auf Phishing- und Ransomware. Dieser Wert verdeutlicht, dass Unternehmen nicht fälschlicherweise davon ausgehen sollten, dass jüngere Mitarbeiter automatisch ein höheres Bewusstsein für Cyberbedrohungen haben.

Aufklärung ist unerlässlich

Die Aufklärung von Mitarbeitern über die heutige Gefahren in Bezug auf die IT-Sicherheit ist unerlässlich. In einer weltweiten Umfrage sollten Arbeitnehmer folgende Begriffe richtig zuordnen: Phishing (66 Prozent antworteten korrekt), Ransomware (45 Prozent), SMS-Phishing (23 Prozent) und Voice-Phishing (18 Prozent). Diese Ergebnisse unterstreichen die Sprachbarriere, die Sicherheits-Experten bei der Kommunikation mit Nicht-Experten häufig trennt.