Vor kurzem hat Malwarebytes in einem Blogbeitrag vom Fund einer Fake-Website berichtet, die dem Kundenportal des bekannten Anbieters von Cybersicherheits- und Antivirenschutzsoftware Avast nachempfunden ist. Eine nähere Untersuchung des Quellcodes der Website ergab, dass sie mit hoher Wahrscheinlichkeit unter Zuhilfenahme einer KI erstellt worden war.
Besuchern wurde auf dem Fake-Kundenportal erklärt, dass ihr Avast-Premium-Security-Abonnement für 129,99 € verlängert worden sei. Der Auftritt der Website war überzeugend. Layout, Grafiken und Aufbau sahen professionell aus. Die Besucher erfuhren, dass ihr Account derzeit fünf Endgeräte abdecken würde. Und: dass sich ihr Abonnement im kommenden Februar automatisch verlängern würde.
Wollten die Betroffenen das Abonnement nun beenden, konnten sie hierzu auf der Fake-Website einen Cancel-Link anwählen, der sie zu einem Kündigungsformular weiterleitete. Hier sollten sie ihren Namen, ihre E-Mail-Adresse und ihre Mobilfunknummer eingeben.
Der wahrscheinliche Angriffsplan der Angreifer: zunächst sollten ausgewählte Opfer, zum Beispiel über eine E-Mail, einen Link zur Webseite erhalten. Klickten sie auf den Link, würden sie zum Fake-Kundenportal weitergeleitet, wo sie sehen würden, dass für sie – ohne ihr Wissen – ein Abonnement abgeschlossen worden sei. Sie würden das Abonnement kündigen wollen und hierzu das Kündigungsformular ausfüllen und absenden. Die Angreifer würden dann von der Website über den Besucher informiert, würden die Kontaktdaten erhalten und das Opfer, getarnt als Support-Mitarbeiter von Avast, anrufen. In dieser Rolle würden sie ihr Opfer dann dazu verleiten, Malware – etwa eine getarnte Fernwartungssoftware – zu installieren, Finanzdaten preiszugeben oder betrügerische Finanztransaktionen durchzuführen.
Zunächst die gute Nachricht: die Website wurde wohl nie fertig gestellt, scheint also nie für einen Angriff eingesetzt worden zu sein.
Aber: Eine technische Analyse des Quellcodes der Webseite ergab, dass sie mit hoher Wahrscheinlichkeit unter Zuhilfenahme einer KI erstellt worden war. Im HTML-Code der Webseite stießen die Forscher von Malwarebytes auf Höflichkeitsformeln und Anweisungen, die typisch für KI-Assistenten sind. Weitere Indizien, wie ungenutzte Formatierungsreste und syntaktisch fehlerfreie, aber inhaltlich vage Formulierungen ohne konkrete Funktionen, erhärteten ihren Verdacht.
Immer häufiger greifen Cyberkriminelle auf vorgefertigte KI-Templates zurück – die rasch und immer rascher skaliert und angepasst werden können. Früher erforderte die Erstellung solcher Fake-Websites noch ein erhebliches Maß an Fachwissen und Arbeitszeit, was ihrem Einsatz enge Grenzen setzte – quantitativ wie qualitativ. KI hat diese Hürden erheblich gesenkt. Spezialisiertes Fachwissen ist kaum noch erforderlich, um eine qualitativ hochwertige Fake-Webseite, zum Beispiel für einen Phishing-Angriff, zu erstellen. Und die Arbeitszeit, die in ihren Aufbau investiert werden muss, ist ebenfalls deutlich zurückgegangen.
Die Professionalität mit der Fake-Websites, wie die kürzlich von Malwarebytes aufgespürte, mittlerweile erstellt werden können, zeigt deutlich, dass traditionelle Sicherheitspraktiken, wie sie in den vergangenen Jahren und Jahrzehnten Gang und gäbe waren, an ihr Ende gekommen sind. Das klassische Prüfen verdächtiger Websites auf Rechtschreib-, Grammatik- und Satzbaufehler, auf unbekannte oder gefälschte Logos allein genügt nicht mehr. Anwender müssen geschult und trainiert werden, nicht mehr das Erscheinungsbild einer Nachricht zu bewerten, sondern stattdessen den Prozess, den die Nachricht anstoßen soll, gezielt zu hinterfragen.
Um die eigenen Mitarbeiter effektiv vor solchen und ähnlichen KI-gestützten Betrugsversuchen zu schützen, ist deshalb nicht allein ein Ausbau der technischen Schutzmaßnahmen, sondern auch und gerade der Ausbau des Sicherheitsbewusstseins der gesamten digitalen Belegschaft zwingend erforderlich.
Am effektivsten – da umfassendsten – helfen kann ihnen hier der Einsatz eines modernen Systems zur Absicherung der gesamten Digital-Workforce. Seine Phishing-Trainings, -Schulungen und -Tests lassen sich, KI sei Dank, mittlerweile personalisieren und automatisiert – kontinuierlich – zum Einsatz bringen, um Mitarbeiter zu stärken. Seine modernen Anti-Phishing-E-Mail-Technologien kombinieren KI mit Crowdsourcing, um neueste Zero-Day-Bedrohungen frühzeitig aufzuspüren und rechtzeitig abzuwehren. Mit solchen und ähnlichen Systemen ist es Unternehmen möglich, Risiken signifikant zurückzufahren und Mitarbeiter zur besten Verteidigung im Kampf gegen Cyberbedrohungen zu machen.
#KnowBe4
