Phishing ist ein Social Engineering Angriff, der eine vertraute Stelle nachahmt, um Geheimnisse zu stehlen oder eine Zahlung anzustoßen.
Der Köder ist meist eine Nachricht oder Seite mit Zeitdruck, und das Ziel ist ein Passwort, ein Code oder Geld.
So funktioniert es
Klassisches Phishing kommt per E-Mail und kopiert das Aussehen einer Bank, eines Arbeitgebers, eines Anbieters oder eines Lieferanten.
Die Nachricht verlangt Anmeldung, eine Datei oder eine Überweisung, bevor Zeit zum Nachdenken bleibt.
Der Schaden ist Kontenübernahme, betrügerische Zahlung oder ein Einstieg für einen späteren Vorfall.
Er beruht auf Überredung, daher helfen Filter, und Menschen brauchen trotzdem einen geübten Weg innezuhalten.
Konkrete Beispiele
- Eine Beschäftigte erhält eine Mail im Lohnbüro Stil, die ein neues Bankkonto für eine angebliche Führungskraft verlangt.
- Ein Kunde bekommt einen Pakethinweis, der zu einer falschen Shopanmeldung führt und das Passwort abgreift.
- Eine Buchhaltung wird gedrängt, eine Lieferantenrechnung mit echter Nummer und neuem Konto zu zahlen.
Schutzmaßnahmen
- Geben Sie den Menschen einen einzigen internen Weg, verdächtige Post zu melden, und bestätigen Sie Meldungen.
- Blocken Sie ähnlich aussehende Domains und unerwartete Anhänge am Mailgateway, bevor sie Postfächer erreichen.
- Verlangen Sie einen zweiten Kanal, etwa eine bekannte Telefonnummer, bevor ein Zahlungskonto geändert wird.
- Führen Sie genehmigte Übungsnachrichten durch, damit das Team das Melden ohne Scham und ohne echten Verlust übt.