Phishing Studie und der Selbsttest

Google Security Studie Phishing

Phishing Studie von Google

Einer Studie von Google zufolge fallen 14 Prozent der Benutzer auf Phishing-Webseiten herein und hinterlassen dort ihre Daten. Bei besonders gut gefälschten Webseiten und E-Mails erwischt es sogar knapp 45 Prozent der Benutzer.

Phishing

Als „Phishing“ werden Tricks bezeichnet, um Identitätsdiebstahl an ahnungslosen Internetnutzern zu begehen. Für diese Art des Social Engineerings werden von Betrügern täuschend echte Webseiten, E-Mails oder Kurznachrichten mit vertrauten Firmenlogos, Redewendungen und Links erstellt und die Gutgläubigkeit der Opfers ausgenutzt. In diesen wird er dazu aufgefordert, Links zu klicken, Dateianhänge zu öffnen oder in einem Formular persönliche Daten einzutragen.

Unter anderem können so Zugansdaten, die z.B. für Online-Banking, Online-Shops, Soziale Netzwerke oder ähnliches genutzt werden, gestohlen werden.

Die Studie von Google

Innerhalb von 30 Minuten greifen die „Phisher“ auf einen gekaperten Account zu. Im Falle eines Email-Accounts werden die Passwörter geändert, um den eigentlichen Benutzer „auszusperren“, die Postfächer nach weiteren Informationen durchsucht und bekannte E-Mail Empfänger zugespamt. Über die Adresse eines gekaperten E-Mail-Kontos verschickte Nachricht ist 36x effizienter für einen Angreifer als eine gewöhnliche Phishing-Mail eines unbekannten oder gefälschten Absenders, da diese von Freunden und Bekannten als vertrauenswürdig eingestuft wird.

Die Tricks der Phisher

Der Beste Schutz, ist es, zu wissen wie Phishing funktioniert und wie Angreifer arbeiten. Man stelle sich vor, man bekommt eine vertraulich aussehende E-Mail von seiner Bank oder einer sonstigen Institution, welche sensible und persönliche Daten hält, mit einer Aufforderung sich einzuloggen und einem Link wie dem Folgenden:

http://www.gute-seite.com/?q=%3Cscript%3Edocument.write%28%22%3Ciframe+src%3D%27http%3A%2F%2Fwww.boese-seite.com%27+FRAMEBORDER%3D%270%27+WIDTH%3D%27800%27+HEIGHT%3D%27640%27+scrolling%3D%27auto%27%3E%3C%2Fiframe%3E%22%29%3C%2Fscript%3E&...=...&...

Auf den ersten Blick sieht die URL wie Kauderwelsch aus, da hexadezimale Zeichencodierungen verwendet werden. Jedoch erkennt man ganz klar, dass der Link auf „www.gute-seite.com“ führt. Übersetzt man diesen Link in lesbaren Code, stellt sich folgende URL heraus:

http://www.gute-seite.com/?q=<script>document.write("<iframe src='http://www.boese-seite.com' FRAMEBORDER='0' WIDTH='800' HEIGHT='640' scrolling='auto'></iframe>")</script>&...=...&...">

Der injezierte HTML Code „<iframe src=’http://www.boese-seite.com‘ FRAMEBORDER=’0′ WIDTH=’800′ HEIGHT=’640′ scrolling=’auto‘></iframe>“ zeigt das Browserfenster und die URL genauso an wie sonst, wenn der Benutzer www.gute-seite.com besucht. Doch durch den injezierten Code bzw. das rahmenlose iframe wird jedoch der Inhalt von www.boese-seite.com angezeigt.

Als ahnungsloser Benutzer hätte man nur schwer erkennen können, dass er sich auf einer gefälschten Webseite befindet. Diese Methode nennt man Cross-Site-Scripting (XSS).

Antispam- und Antiphishing-Programme

Selbst Antispam- und Antiphishing-Programme geben, je nach Hersteller, nicht ausreichend Schutz. Diese können mitunter durch folgende Techniken ausgetrickst bzw. umgangen werden:

  • unsichtbarer Text in HTML-Emails
  • HTML- oder Java-Inhalte anstelle von normalem Text
  • nur Grafiken (kein Text in der Email)
  • zufällige Buchstaben oder bekannte Zitate im Betreff oder im Text von Emails

Der Selbsttest

Dank kostenloser Online-Tests diverser Sicherheitsanbieter kann der Benutzer seine Fähigkeiten zur Identifizierung von gefälschten E-Mails und Webseiten unter Beweis stellen und zeigen, wie leicht beziehungsweise schwer es ist, Original und Fälschung zu unterscheiden. Außerdem werden etliche weitere Tricks der Betrüger aufgezeigt und erklärt.

Folgende Links sind dafür zu empfehlen:

McAfee Phishing Quiz

SonicWALL Phishing-IQ-Test

WebSense Operation Spearfish

Fazit

Es sollte jedem bekannt sein, dass seriöse Unternehmen und Banken niemals vertrauliche Informationen wie Login-Daten oder Transaktionsnummern per E-Mail von ihren Benutzern verlangen. Aber auch die Phisher entwickeln sich weiter, deshalb sollte man selbst auf dem Laufenden bleiben.

Quellen

Google Studie

Wikipedia

Google Security

Tagged with:     ,

About the author /


Einst gelernter Werkzeugbautechniker, habe ich vor etlichen Jahren mein Leben der Informatik verschrieben. Zur Zeit studiere ich noch Informatik auf der Fachhochschule Technikum Wien und beschäftige mich am liebsten mit Java, Android und Elektronik.

Related Articles

Post your comments

Your email address will not be published. Required fields are marked *

*

Unterstütz uns!

Folgt uns!

Diese Seite

wurde erstellt mit Ehrgeiz, Liebe und viel Koffein. Bei der Erstellung kamen keine jar-Dateien zu Schaden. Das Logo wurde erstellt von Star-seven.at.