Tagtäglich werden Menschen und Unternehmen Opfer professionell getarnter Phishing-Angriffe. Ein mittelständischer Automobilzulieferer geriet kürzlich ins Visier. Dieser Bericht zeigt detailliert, wie der Phishing-Angriff verlief und wie das Unternehmen, gemeinsam mit seinem IT-Dienstleister, die Bedrohung eindämmte und sich zukünftig besser schützte.

Die vielfältige Bedrohung durch Phishing-Angriff

BND-Präsident Bruno Kahl warnt vor Cyberangriffen als gravierender Bedrohung für Deutschland. Tägliche Pishing-Warnungen verdeutlichen die Gefahr. Der vorliegende Fall verdeutlicht die Schwierigkeit, Pishing-Angriffe zu erkennen, es sei denn, man bleibt permanent misstrauisch.

Cyberkriminelle nutzen die Vielseitigkeit von Pishing-Angriffen, um Unternehmen zu infiltrieren. Die Automobilindustrie war bereits mehrfach Ziel solcher Angriffe. Der aktuelle Vorfall ist keine Ausnahme. In der Vergangenheit zielte eine großangelegte Kampagne auf Autohersteller, -häuser und Werkstätten ab. Die Angreifer nutzten gefälschte Webseiten echter Unternehmen, um Phishing-E-Mails zu legitimieren und Malware einzuschleusen.

Geschickt getarnte Angriffsvorbereitung

Die Angreifer nutzten gefälschte Webseiten echter Unternehmen, um Phishing-E-Mails zu legitimieren und Malware einzuschleusen. Im aktuellen Fall begannen die Hacker bereits Wochen vor dem Angriff mit der Vorbereitung. Über soziale Business-Netzwerke identifizierten sie neue Geschäftspartner des Automobilzulieferers. In deren Mitarbeiter-Profilen tauchten ab einem bestimmten Zeitpunkt vermehrt Kontakte zu Teammitgliedern des neuen Geschäftspartners auf.

Tückische E-Mail-Fallen und gefährliche Anhänge

Mitarbeiter fielen arglos auf die professionell gestalteten Phishing-Mails herein. Ein Link führte sie zu einer gefälschten Login-Seite des angeblich neuen Extranets des Geschäftspartners. Die Registrierung gewährte den Angreifern Zugriff auf E-Mail-Postfächer, Cloud-Systeme und sensible Daten.

Die gefälschten E-Mails überzeugten durch ein professionelles Erscheinungsbild, fehlerfreie Sprache und einen einwandfreien Absender. Mitarbeiter klickten arglos auf den Link und gelangten auf eine gefälschte Login-Seite des angeblich neuen Extranets des Geschäftspartners. Dort registrierten sie sich, unwissentlich den Angreifern Zugriff auf ihre E-Mail-Postfächer, Cloud-Systeme und sensible Daten gewährend.

Erkennung und umfassende Gegenmaßnahmen

Ungewöhnliche Aktivitäten im Netzwerk alarmierten die IT-Abteilung. Die sofortige Isolierung der betroffenen Systeme und ein unternehmensweiter Passwortwechsel waren erste Schritte. Unterstützt von forensischen Untersuchungen gelang es, den Schaden zu begrenzen. Anschließend wurden Sicherheitsstandards erhöht und neue Maßnahmen eingeführt.

Die Automobilindustrie war bereits mehrmals Opfer solcher Attacken, und der vorliegende Fall ist beileibe nicht der erste. Die Hacker begannen Wochen vor der eigentlichen Attacke mit der Vorbereitung und identifizierten über soziale Business-Netzwerke neue Geschäftspartner des Automobilzulieferers. Sorgfältig ausgewählte gefälschte E-Mail-Adressen ermöglichten es den Hackern, personalisierte Phishing-E-Mails zu erstellen und an einzelne Beschäftigte des Automobilzulieferers zu verschicken.

Isolierung und Wiederherstellung nach Phishing-Angriff

Die IT-Abteilung isolierte betroffene Systeme, deaktivierte das VPN-Gateway und sperrte Zugänge zu Cloud-Systemen. Mitarbeiter wurden aufgefordert, ihre Passwörter zu ändern. Die Herausforderung bestand darin, auch externe Mitarbeiter im Home-Office oder auf Dienstreise zu erreichen. Ein unternehmensweiter Passwortwechsel wurde erfolgreich innerhalb von 48 Stunden durchgeführt.

Mit Unterstützung des IT-Dienstleisters leitete die IT-Abteilung eine umfassende forensische Untersuchung ein, um das Ausmaß des Datenverlusts und die Identität der Angreifer festzustellen. Die eigentliche Analyse wurde dabei auf extra dafür erstellten Kopien („Snapshots“) der betroffenen Systeme durchgeführt. Um festzustellen, wie weit und über welchen Zeitraum die Angreifer ins Netz eindringen konnten, konzentrierten sich die Untersuchungen hauptsächlich auf die Auswertung der Logfiles von VPN-Gateway, Mailserver, Firewalls und der Cloud-basierten Systeme.

Neue Sicherheitsstandards und präventive Maßnahmen

Die forensische Untersuchung zeigte: Es lag kein weiterer Schaden vor. Die Passwörter waren zurückgesetzt, die VPN-Verbindungen deaktiviert – jetzt konnte damit begonnen werden, die isolierten bzw. eingeschränkten Systeme wieder freizuschalten. Mailserver-Zugriffe über Verbindungen aus dem Internet waren wieder erlaubt, das VPN-Gateway und die Zugänge auf die Cloud-basierten Systeme wurden reaktiviert.

Um ähnliche Vorfälle in der Zukunft zu vermeiden, verstärkte das Unternehmen anschließend seine Sicherheitsmaßnahmen. Eine Multi-Faktor-Authentifizierung (MFA) für die Anmeldung an der Domäne und den Cloud-basierten Systemen wurde eingeführt und der IT-Dienstleister mit der Konzeption einer Awareness-Kampagne beauftragt. Deren Ziel: die Mitarbeitenden mittels Sicherheitsschulungen engmaschig über Cyberkriminalität und Phishing aufzuklären. Auch regelmäßige Sicherheitsüberprüfungen in Form von Penetrationstests exponierter Systeme und simulierten Phishing-Angriffen finden seitdem statt.

Fazit: Proaktive Sicherheitsmaßnahmen nach Phishing-Angriff sind unerlässlich

Der Pishing-Angriff verdeutlicht die Bedrohung durch Cyberangriffe. Proaktive Sicherheitsmaßnahmen, klare Verhaltensregeln und permanente Schulungen sind notwendig, um die Mitarbeiter für die Risiken von Phishing-Angriffen zu sensibilisieren und die Sicherheit des Unternehmens zu gewährleisten.