Whaling-Angriffe: Wie Führungskräfte Millionen durch gezieltes Phishing verlieren

Häufige Methoden

• • Umfangreiche Aufklärungsoperationen, bei denen Angreifer Managementkalender, Reisepläne, Vorträge und Social-Media-Beiträge monatelang studieren, um den optimalen Zeitpunkt und realistische Szenarien für ihren Angriff zu identifizieren.
• • E-Mail-Spoofing und Domain-Impersonation mit nahezu identischen Domains (wie 'examp1e.de' statt 'example.de') oder kompromittierten Konten bekannter Geschäftspartner, um Nachrichten zu versenden, die in E-Mail-Clients legitim aussehen.
• • Erstellung aufwendiger Geschichten mit gefälschten Rechtsfragen, vertraulichen Fusionsverhandlungen, zeitkritischen Compliance-Fragen oder dringenden Anbieter-Zahlungen, die es rechtfertigen, normale Genehmigungsprozesse zu umgehen.
• • Zeitlich abgestimmte Angriffe während Reisen von Führungskräften, Konferenzen oder anderen Gelegenheiten, in denen sie für persönliche Überprüfungen nicht verfügbar sind und eher über mobile Geräte hastig reagieren.
• • Mehrstufiges Social Engineering, bei dem der erste Kontakt Vertrautheit durch harmlose Geschäftsdiskussionen aufbaut, bevor über Tage oder Wochen schrittweise betrügerische Anfragen eingeführt werden, um Verdacht zu vermeiden.
• • Ausnutzung von Organisationshierarchien durch Ausgeben von Vorstände als CEO, um CFOs anzuvisieren, oder Ausgeben von Vorstandsmitgliedern als CEO, um Geschäftsführer anzuvisieren, wobei der psychologische Druck durch Autorität genutzt wird, um Hinterfragen und Überprüfung zu unterdrücken.

So erkennen Sie es

• Dringende Anfragen für Überweisungen, Zurücksetzen von Anmeldedaten oder vertrauliche Informationen, die per E-Mail und nicht über etablierte sichere Kommunikationskanäle ankommen, besonders wenn sie als zeitkritisch oder vertraulich gekennzeichnet sind.
• Subtile Domain-Namen-Unstimmigkeiten in Absenderadressen wie Buchstabenersetzungen (rn statt m), zusätzliche Bindestriche oder alternative Top-Level-Domains (.de statt .com), die auf den ersten Blick identisch aussehen.
• Anfragen, die Sie auffordern, etablierte Unternehmensrichtlinien zu brechen, Genehmigungsabläufe zu umgehen oder Transaktionen vor Finanz-, Rechts- oder anderen beteiligten Führungskräften vertraulich zu halten.
• Ungewöhnlich formelle oder informelle Sprache, die sich vom typischen Kommunikationsstil des angeblichen Absenders unterscheidet, zusammen mit generischen Anreden wie 'Sehr geehrte Führungskraft' statt Ihrem tatsächlichen Namen, wenn der Absender Sie persönlich kennen sollte.
• Nachrichten, die zu ungewöhnlichen Stunden ankommen oder wenn der angebliche Absender bekanntermaßen reist, in Meetings ist oder anderweitig nicht verfügbar ist, besonders wenn er behauptet, dringende Angelegenheiten persönlich zu handhaben, anstatt durch Assistenten.
• Drucktaktiken, die extreme Dringlichkeit, Vertraulichkeitsanforderungen oder potenzielle negative Folgen bei Verzögerungen betonen, besonders wenn sie mit Anfragen kombiniert sind, private E-Mail zu nutzen, per SMS zu antworten oder außerhalb normaler Geschäftssysteme zu kommunizieren.

So schützen Sie sich

• Implementieren Sie obligatorische Dual-Authentifizierungsprotokolle für alle Überweisungen und Finanztransaktionen über festgelegte Schwellwerte, die eine Sprachbestätigung über bekannte Telefonnummern (nicht in E-Mails angegebene Nummern) vor der Verarbeitung von Anfragen erfordern.
• Etablieren Sie Codewörter oder Verifizierungssätze mit Führungskräften, Vorstandsmitgliedern und Schlüsselgeschäftspartnern, die bei ungewöhnlichen Finanzanfragen oder beim Anfordern sensibler Informationen außerhalb normaler Kanäle verwendet werden müssen.
• Setzen Sie fortschrittliche E-Mail-Sicherheitslösungen ein, die externe E-Mails kennzeichnen, Domain-Spoofing prüfen, Header-Informationen auf Authentifizierungsfehler analysieren und Benutzer warnen, wenn E-Mails von Führungskräften zu stammen vorgeben, aber von externen Quellen stammen.
• Führen Sie vierteljährliche Whaling-Simulationsübungen durch, bei denen Sicherheitsteams realistische, gezielte Phishing-E-Mails an Führungskräfte und Vorstandsmitglieder versenden, Reaktionsquoten verfolgen und sofortiges Training für diejenigen bereitstellen, die Tests nicht bestehen.
• Erstellen Sie geschützte Kontaktlisten in Ihrer Organisation, die intern nicht imitiert werden können, und stellen Sie sicher, dass E-Mails, die vom CEO oder anderen Führungskräften zu stammen vorgeben, von verifizierten Konten stammen oder eindeutig als extern gekennzeichnet sind.
• Verlangen Sie, dass Führungskräfte separate E-Mail-Konten für hochgradig sensible Kommunikation führen, implementieren Sie obligatorisches Sicherheitsbewusstseinstraining speziell auf Whaling-Taktiken konzentriert, und etablieren Sie klare Eskalationsprozeduren, wenn Anfragen ungewöhnlich erscheinen, auch wenn sie legitim wirken.

Reale Beispiele

Wo melden — Deutschland

Offizielle Stellen in Ihrer Region zum Melden dieses Betrugs.