Vor kurzem haben Forscher von ESET in einem Blogbeitrag eine von ihnen aufgespürte Phishing-Kampagne vorgestellt, die mit Fake-Sponsoring-Angeboten auf Youtube-Content-Kreatoren abzielt. Die Angreifer geben sich als Mitarbeiter des Unternehmens Hollyland aus. ESET hat den Betrugsablauf nachverfolgt. Bei seinen Untersuchungen stieß das Team auf unterschiedliche Kampagnen-Varianten, unter anderem auch mit Marken wie Nike und Spotify.
In einem ersten Schritt kontaktieren die Täter ihre Opfer per E-Mail. Sie geben sich als Manager aus, erklären, dass ihr Unternehmen Interesse an einer Partnerschaft mit dem Youtube-Kanal des Content-Kreatoren hätte. Ihre Anschreiben erfolgen personalisiert mit Verweisen auf konkrete Videos des Opfers. Der Austausch, die Geschäftsverhandlungen, ziehen sich dann meist über mehrere Tage hin.
Wenn dann beim Opfer die Hoffnung auf eine lukrative Zusammenarbeit geweckt ist, leiten die Angreifer es auf ein Fake-Kooperationsportal weiter, das sie zuvor mit legitimen Branding-Elementen, Partnerlogos und dynamischen Funktionen versehen haben. Unter anderem: mit einem automatisierten Einkommensrechner. Sobald der Youtube-Creator dort seine Kanal-URL eingibt, zieht das Portal sich über öffentlich zugängliche Schnittstellen dessen reale Youtube-Metriken heran und ermittelt für den Youtuber sein wahrscheinlich zu erzielendes Einkommen. Dem Opfer wird also ein täuschend echt erscheinendes Kooperations-Dashboard simuliert.
Gleich daneben befindet sich ein Link zur Bestätigung der Inhaberschaft des eingegebenen Youtube-Kanals. Auf einem sich öffnenden Fenster soll das Opfer dann die Credentials seines Google-Accounts eingeben. Gibt der Youtuber hier nun seine Anmeldedaten ein, erlangen die Angreifer Zugriff auf Passwort, Einmalcode – das Konto selbst. Die persönlichen Daten, die Methoden zur Kontowiederherstellung und der Zugriff auf Google-Dienste, wie Gmail und Google-Drive, liegen dann in ihrer Hand.
Die unternehmerischen Folgeschäden eines solchen Angriffs können erheblich sein – für Youtuber wie beteiligte Medienunternehmen. Für viele von ihnen bildet ihr Google-Konto das digitale Nervenzentrum ihres Creator-Betriebs, in dem E-Mail-Verkehr, Cloud-Speicher, Geschäftskontakte und Daten zur Monetarisierung zusammenlaufen. Gelingt es den Kriminellen, hierüber die Kontrolle zu erlangen, können sie das Konto in Sekundenschnelle hermetisch abriegeln. Sie können Wiederherstellungsadressen ersetzen, eigene Telefonnummern hinterlegen und neue Backup-Codes generieren, was eine rasche Wiederherstellung des Accounts durch seinen tatsächlichen Besitzer erheblich erschwert. Der Youtube-Kanal ist dann auch gekapert, kann missbraucht werden – etwa, um Krypto-Scams oder bösartige Links an Millionen Abonnenten auszuspielen.
Content-Kreatoren und Medienunternehmen kann hier nur geraten werden, rasch gegenzusteuern. Sie müssen Verifikationsprozesse etablieren, bei denen Sponsoring-Angebote über offizielle Kanäle gegengeprüft und Domains penibel auf Abweichungen untersucht werden können. Technisch führt kein Weg an phishingresistenten Authentifizierungsmethoden wie FIDO2 und Passkeys vorbei, die den Diebstahl von Session-Cookies oder Einmalcodes wirksam unterbinden. Ebenfalls zwingend erforderlich sind Security-Awareness-Schulungen und -Trainings. Das Bewusstsein aller Beteiligten muss geschärft werden. Durch traditionelle Sensibilisierungskampagnen und Schulungen sowie durch Echtzeit-Hinweise und -Coachings.
Am effektivsten – da umfassendsten – helfen kann hier der Einsatz eines modernen Digital-Workforce-Security-Systems. Seine Phishing-Trainings, -Schulungen und -Tests lassen sich, KI sei Dank, mittlerweile personalisieren und automatisiert – kontinuierlich – zum Einsatz bringen, um den Faktor Mensch gezielt zu stärken. Seine modernen Anti-Phishing-E-Mail-Technologien kombinieren KI mit Crowdsourcing, um neueste Zero-Day-Bedrohungen frühzeitig aufzuspüren und rechtzeitig abzuwehren. Mit solchen und ähnlichen Systemen ist es Medienunternehmen möglich, ihre Risiken signifikant zurückzufahren und den Faktor Mensch zu ihrer besten Verteidigung im Kampf gegen Cyberbedrohungen zu machen.
#KnowBe4
