Business Email Compromise (BEC, auch Chefmasche genannt) und Email Account Compromise (EAC, die Cloud-Account-Übernahme durch Cyberkriminelle) verursachten bei Unternehmen Verluste von mehr als 1,8 Milliarden US-Dollar. Das entspricht 44 % der von Unternehmen und Verbrauchern gemeldeten Verluste im letzten Jahr.
Das vom FBI geführte Internet Crime Complaint Center (IC3) veröffentlichte kürzlich seinen jährlichen Bericht zu Internetkriminalität, der die Auswirkungen von Angriffen auf Unternehmen weltweit und die damit entstandenen Schäden im Jahr 2020 detailliert erläutert.
Laut dem Bericht gingen 791.790 Beschwerden mit einem Jahresgesamtverlust von 4,2 Milliarden US-Dollar durch Opfer von Cyberkriminalität ein – im Vergleich zu 2019 ein Anstieg um mehr als 300.000 Beschwerden (plus 69,4 %) und 700 Millionen US-Dollar an gemeldeten Verlusten (plus 20 %). Werfen wir nun einen Blick auf die wichtigsten Erkenntnisse des diesjährigen Berichts.
Business Email Compromise
Ransomware bestimmt beim Thema Cyberkriminalität zwar nach wie vor die Schlagzeilen, doch stellten Business Email Compromise (BEC)/Email Account Compromise (EAC) und Phishing die größten Bedrohungen dar. BEC wurde als eines der zwei Kernthemen für das Jahr 2020 genannt. Die durch BEC/EAC-Betrug verursachten Finanzverluste waren im Vergleich zu Ransomware 64 Mal höher und machten 44 % der Gesamtverluste im Jahr 2020 aus. Dennoch gingen weniger Beschwerden in Bezug auf BEC/EAC-Angriffe ein, als man erwarten könnte: Sie machten nur 2,4 % aller Beschwerden aus. Folgende Fakten werden durch Statistiken des Berichts bestätigt:
- Im Gegensatz zu allgemeinen Phishing-Bedrohungen ist BEC/EAC-Betrug äußerst zielgerichtet.
- Trotz ihrer geringen Anzahl verursachen sie enorme finanzielle Verluste.
Das FBI warnte die Öffentlichkeit davor, dass sich die BEC/EAC-Masche weiterentwickelt hat. Statt wie vorher E-Mail-Konten von hochrangigen Führungskräften mithilfe von Spoofing zu imitieren oder zu hacken, um damit Banküberweisungen an Betrüger anzufordern, gingen die Angreifer dazu über, Anbieter-E-Mails zu kompromittieren und die Opfer zum Verschicken großer Zahlen von Gutscheinkarten zu verleiten.
Dies passt zu den Beobachtungen von Proofpoint: Die Angreifer haben das Ökosystem von Partnern und Lieferketten in einen weiteren Bedrohungsvektor für indirekte Angriffe auf Unternehmen verwandelt. Die Nachahmung und Kompromittierung von Anbietern stellt ein erhebliches Risiko für Unternehmen dar, wobei die meisten Unternehmen keinen Überblick darüber haben, bei welchen Anbietern ein Risiko besteht. Zudem beobachten wir eine größere Zahl an BEC/EAC-Varianten, darunter Scams wie Gutscheinkarten-Betrug, Umleitung von Gehaltszahlungen, Betrug mit Lieferantenrechnungen, Betrug in Verbindung mit Fusionen und Übernahmen sowie die Umleitung von Lieferungen. Unter den verschiedenen Betrugsarten verursacht der Betrug mit Lieferantenrechnungen oft die größten Verluste.
Betrüger nutzen COVID-19 aus
Das Jahr 2020 war durch die COVID-19-Pandemie ein Jahr wie kein anderes. Der FBI-Bericht zu Internetkriminalität (IC3) zeigt, dass Betrüger die Pandemie für Angriffe auf Unternehmen und Einzelpersonen ausnutzten. Proofpoint hat ebenfalls beobachtet, dass seit Beginn der Pandemie Coronavirus-Themen in groß angelegten Social-Engineering-Angriffen verwendet wurden, die zu BEC, Anmeldedaten-Phishing, Malware-Verbreitung und Spam-E-Mail-Kampagnen führten. In den vergangenen Monaten beobachteten Proofpoint-Forscher zudem, dass immer mehr Angriffe Themen rundum Pandemie-Hilfen, Impfstoffe und neue COVID-19-Varianten als Köder einsetzen. Wir rechnen damit, dass Angreifer diese Themen in Verbindung mit aktuellen Pandemie-Entwicklungen weiterhin einsetzen werden.
Phishing ist weiterhin eine der größten Bedrohungen
Fast ein Drittel der eingegangenen Beschwerden bezog sich auf Phishing-Varianten. Die Zahl der Beschwerden zu diesem Bedrohungstyp hat sich seit 2019 mit 126.640 Meldungen mehr als verdoppelt – ein klarer Beweis dafür, dass das Ziel der Angriffe Menschen und nicht die Infrastrukturschwachstellen in Unternehmen sind. Kriminelle Akteure nutzen nach wie vor menschliche Schwächen aus und versuchen, die angegriffenen Personen mithilfe von Ködern oder Drohungen zu gewünschten Aktionen zu verleiten.
Ransomware nimmt weiter an Bedeutung zu
Laut des FBI-Berichts zu Internetkriminalität (IC3) stieg die Zahl der gemeldeten Ransomware-Zwischenfälle im Jahr 2020 weiter an. Es wurden 2.474 Zwischenfälle und Verlusten in Höhe von über 29 Millionen US-Dollar gemeldet. Dabei weist der Bericht darauf hin, dass E-Mail-Phishing-Kampagnen eine der häufigsten Methoden für die Ransomware-Infektion sind. Interessanterweise wird im Bericht besonders hervorgehoben, dass die Verluste durch Ransomware „künstlich niedrig“ gehalten werden, da die Zahl keine Angaben über geschätzte Geschäfts-, Zeit- und Lohnverluste, verlorene Dateien oder ausgefallene Geräte enthält und zudem auch keine direkten Meldungen bei FBI-Außenstellen berücksichtigt. Die tatsächliche Zahl der Ransomware-Zwischenfälle und der damit verbundenen Schäden ist daher vermutlich sehr viel höher.
Von allen im Jahr 2020 gemeldeten Cyber-Delikten führen BEC/EAC-Angriffe in Bezug auf Verluste die Liste an, wohingegen Phishing, Vishing, Smishing und Pharming bei den Opferzahlen vorn liegen. Sowohl BEC als auch EAC stehen mit E-Mails und kompromittierten Cloud-Konten in Verbindung, setzen auf Social Engineering und richten sich gegen Menschen.
Um diese Art von Angriffen abzuwehren, müssen Unternehmen einen personenzentrierten Sicherheitsansatz verfolgen. Proofpoint kann Ihnen bei der Reduzierung Ihrer Sicherheitsrisiken helfen. Unsere integrierte Bedrohungsschutz-Plattform stoppt E-Mail- und Cloud-basierte Bedrohungen, die gegen Ihre Mitarbeiter gerichtet sind, bietet Ihnen einen Überblick über die Risiken Ihrer Mitarbeiter und schult Ihre Anwender, damit sie für die aktuellen hochentwickelten Bedrohungen besser gerüstet sind.