CEO-Betrug (auch Whaling genannt), bei dem sich der Cyberkriminelle als eine unverdächtige Person ausgibt
Schnell und ohne viel nachzudenken eine Überweisung von fast einer Million Euro zu tätigen und ein paar Minuten später festzustellen, dass man betrogen wurde und in einem Wimpernschlag eine Menge Geld und ebenso viel Glaubwürdigkeit und Prestige verloren hat.
Und dass dies nicht einem ahnungslosen Technikfreak passiert ist, sondern einem hochrangigen Manager eines internationalen Fernsehproduktionsriesen. Jaime Ondarza, italienisch-bolivianischer Staatsbürger, 55 Jahre alt, seit ein paar Monaten Geschäftsführer für Südeuropa von Fremantle, der Produktionsfirma erfolgreicher Programme wie‚X Factor‚,‚Italia’s Got Talent‚,‚Un Posto al Sole‚.
Am 19. März reichte eine WhatsApp-Nachricht mit dem Beglaubigungsschreiben des Geschäftsführers der Unternehmenszentrale aus, um ihn zu überzeugen, ohne viel nachzudenken eine Überweisung in Höhe von 937.670 Euro mit sofortiger Wirkung für den Erwerb eines Unternehmens in Asien vorzunehmen. Nachdem er also diese Anfrage, die für ein Unternehmen wie Fremantle nicht einmal so seltsam war, bejaht hatte, traf eine weitere Mitteilung auf seinem Firmen-E-Mail-Konto ein, ebenfalls gefälscht, offenbar im Namen eines ihm bekannten Anwalts.
Ein gefälschtes Profil, das wahrscheinlich aus dem Kontaktnetzwerk des Managers gestohlen wurde, das ihm das Bankkonto für die Einzahlung lieferte.
Und so ging die Überweisung über die Bühne, sehr zur Freude der Kriminellen, die sicherlich wer weiß wo auf dem Globus feierten.
Tatsächlich kam das Geld auf einem Girokonto bei einer asiatischen Bank an und wurde anschließend auf Dutzende anderer Iban verteilt, die im Fernen Osten, aber auch an anderen Orten der Welt verstreut waren. Erst nach einigen Stunden begann der Manager zu ahnen, dass an der Transaktion, die er gerade abgeschlossen hatte, etwas merkwürdig war. Es dauerte nur kurze Zeit, bis ihm klar wurde, dass er betrogen worden war und dassdas Geld trotz des sofortigen Alarms an die 112 mitten in der Nacht und der Meldung an die Postpolizei am nächsten Morgen nun unwiederbringlich verloren war.
Ondarza war angeblich das Opfer eines Tricks, der die Schwachstellen eines schlecht geschützten Computersystems ausnutzte. Laut Corriere della Sera wurde er „zunächst durch Spoofing, d.h. durch eine Nachricht, die von einem geklonten Profil mit einer VoIP-Nummer für die Datenübertragung gesendet wurde, die er für die seines direkten Vorgesetzten hielt und die sich stattdessen kaum vom Original unterschied, durchbohrt.
CEO-Betrug oder Whaling
Der Betrug, von dem der Manager betroffen war, wird gemeinhin als„CEO-Betrug“ oder – in der Fachsprache – als „Business E-mail Compromise“ bezeichnet.
Diese Angriffe haben ein besonderes Ziel: die ‚C-Levels‘, d.h. die Angestellten und Manager innerhalb eines Unternehmens, die in der Lage sind, Geld zu bewegen, insbesondere Online-Überweisungen zu tätigen. An sie wird nämlich eine E-Mail geschickt, scheinbar von einem leitenden Angestellten des Unternehmens, mit der Aufforderung, eine dringende Überweisung auf ein Bankkonto zu tätigen, das, wie sich erst später herausstellt, einer kriminellen Organisation gehört.
Mit der ständigen Weiterentwicklung der Technologie und auch der Kriminalität gibt es inzwischen viele Varianten des Ceo Scam: Von der Nachricht, die über WhatsApp eintrifft, bis hin zum Telefonanruf, denn Cyberkriminelle sind heute in der Lage, die Stimme einer beliebigen Person zu reproduzieren und so den Empfänger der Kommunikation leicht zu täuschen.
Dann gibt es noch die verschiedenen Spoofing-Operationen, d.h.eine breite Palette von Angriffen, bei denen ein Hacker seine Identität verbirgt, indem er sich als vertrauenswürdige Quelle ausgibt, umsich Zugang zu vertraulichen Informationen zu verschaffen, wobei er die auf IP-Adressen und Hostnamen basierenden Authentifizierungsregeln umgeht.
Hinzu kommen die ausgefeilten Social-Engineering-Techniken, mit denen Kriminelle Informationen über potenzielle Opfer erhalten, die sie zur Optimierung ihrer bösartigen Aktivitäten benötigen.
In der Tat erfordert der Erfolg dieser Art von Betrug neben dem gefälschten E-Mail-Konto eine detaillierte Kenntnis der Identität der zu kontaktierenden Manager, des Tons und der Formulierung der eventuellen Bestellung und des verwendeten Kommunikationsjargons, der zu tätigenden Einkäufe, der sozialen Kontakte des Opfers, seiner Gewohnheiten und alles andere, was nützlich sein könnte, um die Täuschung so realistisch wie möglich zu gestalten.
Die Risiken, die sich aus dieser Art von Angriffen ergeben, führen zu erheblichen Datenverlusten, Verletzungen von Computersicherheitssystemen und vor allem zu erheblichen wirtschaftlichen Schäden, wie der jüngste Fall zeigt.
Nur wenige Strukturen sind bisher davon verschont geblieben. Tatsächlich hat diese Art von Betrug etwa 70 Prozent der Unternehmen und Organisationen in allen Sektoren, öffentlich und privat, weltweit betroffen.
An diesem Punkt stellt sich die Frage: Wie kann man sich gegen diesen Betrug wehren?
Zunächst einmal sollten Sie bedenken, dass es in der heutigen Zeit besser ist, niemandem zu trauen, selbst wenn es unser Chef oder der treueste Lieferant ist, der uns schreibt;
Rufen Sie immer bei der betreffenden Person an und vergewissern Sie sich über die Echtheit der Anfrage;
Überprüfen Sie immer die E-Mail-Adresse des Absenders.
Außerdem sollten wir uns daran erinnern, wie wichtig es ist, in Sachen Cybersicherheit immer „am Ball“ zu bleiben: Verlieren Sie nie die Konzentration und das Bewusstsein für das, was Sie tun, und handeln Sie nie überstürzt und abgelenkt; aktivieren Sie immer alle notwendigen Kontrollen, bevor Sie Aktionen einleiten, die sehr schnell zu irreversiblen Folgen führen können; hören Sie nie auf, qualitativ hochwertige Schulungen durchzuführen, sowohl theoretisch als auch praktisch.
Cyber-Kriminelle schlüpfen geschickt durch die Ritzen der Ablenkung und Unwissenheit. Diese Schlupflöcher müssen mit der gleichen Gerissenheit hermetisch verschlossen werden.
