Die Spieleplattform Steam wird derzeit von Kriminellen als lukratives Jagdgebiet für ahnungslose Anwender genutzt. Laut BleepingComputer hacken sich Kriminelle über die Chat-Funktion der Steam-Plattform in Konten ein. Im Verlauf des Chats teilen sie dem Opfer einen Link mit, der es zu einer betrügerischen Webseite führt. Auf dieser Seite kann der Spieler angeblich an einem Gewinnspiel teilnehmen, um kostenlos ein Steam-Spiel zu gewinnen. Er muss sich dafür aber zuerst in seinem Steam-Konto anmelden, um den vollständigen Gewinn-Code zu erhalten – im Chat ist nämlich nur ein Teil davon sichtbar.
Nach der Anmeldung im Steam-Konto über die infizierte Seite erhalten die Angreifer Zugriff darauf und übernehmen die Kontrolle. Da der ahnungslose Anwender nichts davon merkt, kopiert er nun zur Zwei-Faktor-Authentifizierung von Steam den Code, der an seine E-Mail-Adresse ging. Dieser landet nun natürlich ebenfalls bei den Betrügern. Auf diese Weise knacken die Angreifer den sehr sicheren Steam-Login und das Konto des Opfers wird nunmehr zum Angriff missbraucht, weil von ihm ausgehend nun die Freundesliste attackiert wird.
An diesem Vorfall sieht man ein gutes Beispiel für einen Spear-Phishing-Angriff. Eine Spear-Phishing-E-Mail ist dabei in der Regel nur der Anfang, da die Verbrecher versuchen, Zugang zum größeren Netzwerk hinter dem einzelnen Benutzer zu erhalten. Es gilt zu beachten, dass 91 Prozent der erfolgreichen Datenschutzverletzungen mit einem Spear-Phishing-Angriff begannen. Das verdeutlicht, dass ungeschulte Anwender tatsächlich das schwache Glied in der IT-Sicherheit sind. Es gibt keine technische Möglichkeit, gegen solche Angriffe derart vorzugehen, dass sich die Sicherheit auf der Benutzerseite erhöht. Allerdings ist das Security-Awareness-Training einer der effektivsten Wege, um solche Angriffe doch abzuwehren, denn geschulte Anwender können als die letzte Verteidigungslinie betrachtet werden. Durch kontinuierliches New-School-Security-Awareness-Training erhalten diese beispielsweise simulierte Phishing-E-Mails im Rahmen eines simulierten Phishing-Tests. Auf diese Weise lernen Mitarbeiter, wie sie Anomalien in E-Mails und Nachrichten leicht erkennen und Betrug vermeiden können.
#Netzpalaver #KnowBe4
