Das US-amerikanische Informationssicherheitsunternehmen Zscaler hat eine Liste der am häufigsten von Phishing betroffenen Marken veröffentlicht. Die Top 20 wimmeln vor berühmten Namen, darunter auch zwei Vertreter aus Deutschland.
Zscaler ist ein cloud-basiertes Unternehmen, das seinen Hauptsitz in San José (US-Bundesstaat Kalifornien) hat und mittels sicherer Verbindungen zwischen Usern, Geräten und Anwendungen vor Cyberangriffen schützen will. In der aktuellen Ausgabe seines ThreatLabz 2024 Phishing Report widmet sich Zscaler der Phishing-Szene, die mit Werkzeugen wie »phishing-as-a-service kits«, »automated phishing tools« und »curated target lists« eine breite Palette an Angriffsmöglichkeiten bietet. Dabei bedienen sich die Cyberkriminellen auch zunehmend künstlicher Intelligenz (KI); mithilfe generativer KI können sie nach Einschätzung von Zscaler mittlerweile äußerst überzeugende Phishing-Kampagnen erstellen, welche die bisherigen Maßstäbe an Komplexität und Wirksamkeit übertreffen. Über einen Zeitraum von 12 Monaten (Januar bis Dezember 2023) untersuchte ThreatLabz mehr als zwei Milliarden Phishing-Transaktionen, deren Ergebnisse im nun veröffentlichten Report vorgestellt wurden; das soll Unternehmen mit dem nötigen Wissen ausstatten, um die steigende Welle neuer Phishing-Angriffe proaktiv zu bekämpfen. Die gewonnen Ergebnisse stimmen laut Zscaler mit den Daten der Anti-Phishing Working Group überein, die 2023 zum „schlimmsten Phishing-Jahr aller Zeiten“ erklärt hat. Demnach nahmen 2023 die Phishing-Angriffe im Vergleich zu 2022 um 58,2 Prozent zu.
Zu den am häufigsten imitierten Marken bei Phishing-Zügen gehören nach den Auswertungen von Zscaler Microsoft, OneDrive, Okta, Adobe, SharePoint, Telegram, pCloud, Facebook, DHL, WhatsApp, ANZ-Banking, Amazon, eBay, Instagram, Google, Sparkasse, FedEx, PayU, Rakuten und Gucci. Microsoft war mit einem Anteil von 43,1 Prozent Phishers Liebling, OneDrive folgt mit 11,6 Prozent bereits mit gehörigem Abstand. Diese Marken sind für Phisher aufgrund ihrer weit verbreiteten Verwendung in Unternehmensumgebungen und ihres hohen Werts bei der Erfassung von Benutzeranmeldeinformationen besonders attraktiv; erschwerend kommt der Trend zum Home-Office hinzu, der sie für Phisher noch attraktiver macht, da sie noch stärker genutzt werden. Zu einem wachsenden Problem werden aber auch Top-Referrer Domains, die zu Phishing-Seiten führen. Bei dieser Taktik werden Schwachstellen in der Weiterleitungsfunktion einer Website ausgenutzt, um Benutzer zu täuschen, indem sie auf bösartige Websites umgeleitet werden. Im Report von Zscaler finden sich Top-Referrer-Domains wie www.gutefrage.net oder www.finanznachrichten.de. Über solche, auf den ersten Blick harmlose Domains erhalten Angreifern die Möglichkeit, eMails mit Links zu legitimen Websites als Einstiegspunkt zu senden und gleichzeitig die Adressen der tatsächlichen Phishing-Websites zu verbergen.
Die von Zscaler beschriebenen Entwicklungen stellen auch Unternehmen in der EU vor neue Herausforderungen, da sie vor dem Hintergrund der Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der gesamten EU (Network and Information Security 2, kurz: NIS-2) verschärften Haftungsanforderungen ausgesetzt sind. Damit gewinnt zum Beispiel Domain-Monitoring erheblich an Bedeutung. Domain-Namen nehmen im Bereich der Cybersicherheit eine zentrale Rolle ein: Bekannte und berühmte Marken innerhalb einer Domain dienen Cyberkriminellen, wie von Zscaler beschrieben, oft als virtueller Köder, um Nutzer auf ihr Angebot aufmerksam zu machen und zu lenken. Für Unternehmen und Markeninhaber konnte das bereits bisher verheerende Folgen haben: sie verlieren nicht nur Traffic, also Nutzerzugriffe auf ihre Webseite, sondern damit auch potentielle Kunden und potentiellen Umsatz. Mit der NIS-2 tritt eine neue Ebene hinzu. Kommen Geschäftsführer einer GmbH oder der Vorstand einer AG ihrer Überwachungs- und Schulungspflicht nicht nach, haften sie persönlich dem Unternehmen gegenüber auf Schadensersatz. Auch bei der Einschaltung von Hilfspersonen bleibt das Leitungsorgan letztverantwortlich. Außerdem können bei Verstößen gegen die NIS-2 empfindliche Geldbußen verhängt werden. Für Unternehmen können die Bußgelder bis zu 10 Millionen Euro oder bis zu 2 Prozent des gesamten weltweiten im vorangegangenen Geschäftsjahr getätigten Umsatzes betragen.