Die Phishing-as-a-Service-Ökonomie boomt

Laut Forschern von Flare sind Phishing-Plattformen von der Stange mittlerweile ein zentraler Bestandteil der kriminellen Cyber-Ökonomie. Diese Plattformen ermöglichen es Bedrohungsakteuren aller Erfahrungsstufen, fortschrittliche Angriffe in grossem Umfang durchzuführen.

„Eine neuere Entwicklung dieses Modells ist Phishing-as-a-Service (PhaaS), bei dem Betreiber Abonnements für fertige Phishing-Infrastrukturen verkaufen, sodass Kunden nie mit dem zugrundeliegenden Code in Berührung kommen. Solche Services umfassen häufig Hosting, Lockvogel-Seiten, Dashboards und automatische Updates. Dadurch wird Phishing zu einer skalierbaren, wenig anspruchsvollen und doch wirkungsvollen Dienstleistungsökonomie, was das Volumen und die Raffinesse globaler Phishing-Kampagnen drastisch erhöht.“

«Die hier gewonnenen Erkenntnisse über ausgefeilte Phishing-Kits zeigen, dass sich das Benutzerschulungskonzept weiterentwickeln muss“, schreiben die Forscher. „Nutzern zu sagen ‚Überprüfen Sie die Adressleiste‘ reicht nicht mehr aus, wenn Kits das Browserfenster täuschend echt nachbilden können.

„Sicherheitsbewusstseinsprogramme sollten Beispiele für AiTM (ist eine hochentwickelte Phishing-Methode, bei der sich Angreifer als Proxy zwischen Nutzer und legitime Website (z. B. Microsoft 365) schalten) und BitB (bezeichnet eine raffinierte Phishing-Technik, bei der Angreifer gefälschte Anmeldefenster direkt im Browserfenster nachbilden, um Logindaten zu stehlen)  enthalten und Hinweise geben wie: ‚Wenn eine MFA-Aufforderung oder ein Login zu einer ungewöhnlichen Zeit erscheint, seien Sie skeptisch – auch wenn alles normal aussieht.‘

Ausserdem sollte die Nutzung von Passwortmanagern betont werden, da diese eine zusätzliche Sicherheit gegen gefälschte Formulare bieten. Um Ihre Organisation besser gegen die neuesten Phishing-Tricks (wie QR-Code-Phishing, AiTM, BitB-Fenster) zu trainieren, sollten Sie diese in Phishing-Simulationen für Mitarbeitende integrieren, um sie zu sensibilisieren und das Risiko zu messen.“

Das CSF Computer Solutions Facility AG Sicherheitsteam