BEC-Angriffe: Die meisten Opfer verwenden keine Multi-Faktor-Authentifizierung – wenden Sie sie jetzt an und bleiben Sie auf der sicheren Seite

BEC-Angriffe (Business Email Compromise) haben stark zugenommen – und die meisten Opfer arbeiten in Organisationen, die bisher keine Multi-Faktor-Authentifizierung (MFA) zur Sicherung ihrer Konten verwendet haben.

BEC-Angriffe sind eine der lukrativsten Formen der Cyberkriminalität: Laut FBI belaufen sich die Gesamtverluste auf über 43 Milliarden US-Dollar, Tendenz steigend, wobei Angriffe in mindestens 177 Ländern gemeldet wurden.

Diese Angriffe sind für Cyberkriminelle relativ einfach durchzuführen – alles, was sie brauchen, ist der Zugang zu einem E-Mail-Konto und etwas Geduld, wenn sie versuchen, die Opfer dazu zu bringen, unter falscher Anwesenheit Finanzüberweisungen vorzunehmen. Dies beinhaltet üblicherweise das Versenden von Nachrichten an Mitarbeiter, angeblich von ihrem Chef oder einem Kollegen, die vorschlagen, dass eine Zahlung – oft sehr hoch – schnell geleistet werden muss, um einen wichtigen Geschäftsabschluss zu sichern.

Fortgeschrittenere BEC-Angriffe hacken sich in ein Firmenkonto und verwenden eine legitime E-Mail-Adresse, um die Zahlungsanforderung zu stellen. 

Es ist sogar bekannt, dass Betrüger Posteingänge über lange Zeiträume überwachen und nur dann zuschlagen, wenn eine echte Geschäftstransaktion bevorsteht – an diesem Punkt greifen sie ein und leiten die Zahlung auf ihr eigenes Konto weiter.

SEE: Die größte Bedrohung durch Cyberkriminalität ist auch diejenige, über die niemand sprechen möchte

Da auf diese Weise Geld zu verdienen ist, wenden sich Cyberkriminelle zunehmend BEC-Kampagnen zu und Unternehmen werden Opfer. Laut Cybersecurity-Analysten von arktischer Wolfhat sich die Zahl der BEC-Angriffe, auf die sie reagiert haben, zwischen Januar und März sowie April und Juni verdoppelt – und diese Angriffe machten über ein Drittel aller untersuchten Vorfälle aus.

Bei vielen Opfern gab es ein gemeinsames Thema: Laut Vorfall-Responder hatten 80 % der Organisationen, die Opfer von BEC-Angriffen wurden, keine MFA eingerichtet.

Die Multi-Faktor-Authentifizierung bietet eine zusätzliche Sicherheitsebene für E-Mail-Konten und Cloud-Anwendungssuiten, bei der der Benutzer überprüfen muss, ob er sich wirklich bei dem Konto angemeldet hat, was zum Schutz vor unbefugtem Eindringen beiträgt – selbst wenn der Angreifer den richtigen Benutzernamen hat und Passwort.

Organisationen, die MFA ignorieren, machen sich BEC-Kampagnen und anderen Cyberangriffen ausgesetzt – trotz wiederholter Empfehlungen von Cybersicherheitsbehörden, dass es angewendet werden sollte. Warum benutzen sie es nicht?

„MFA erfordert eine sorgfältige Planung und Koordination, um erfolgreich implementiert zu werden und sicherzustellen, dass Unternehmen ohne Unterbrechung weiterarbeiten können. Da die Benutzer in der Verwendung des MFA-Systems geschult werden müssen, kann dies für einige Organisationen schwierig sein“, sagte Adrian Korn, Manager für Threat Intelligence Research bei Arctic Wolf Labs, gegenüber ZDNET. 

„Außerdem kann das Konfigurieren und Testen einer neuen MFA-Bereitstellung in einem Unternehmen eine große Belastung für bereits überlastete IT-Abteilungen darstellen“, fügte er hinzu. 

Außerdem: Die beängstigende Zukunft des Internets: Wie die Technologie von morgen noch größere Bedrohungen für die Cybersicherheit darstellen wird

Trotz dieser potenziellen Einschränkungen ist die Anwendung von MFA auf alle Benutzerkonten eines der wichtigsten Dinge, die Unternehmen tun können, um ihre Mitarbeiter und ihr Netzwerk vor Cyberangriffen zu schützen – wenn sie richtig eingerichtet sind.

„Unternehmen sollten ihre MFA-Bereitstellungen weit im Voraus planen, um technische Probleme zu berücksichtigen, auf die sie möglicherweise stoßen. Darüber hinaus sollten sich Unternehmen Zeit nehmen, um sicherzustellen, dass MFA-Konfigurationen vor der Hauptsendezeit getestet werden und dass die Benutzer in der Verwendung der neuen MFA-Plattform ihrer Wahl gut geschult sind“, sagte Korn. 

Aber während MFA hilft, Cyberangriffe zu verhindern, ist es nicht unfehlbar und entschlossene Cyberkriminelle finden Wege, es zu umgehen.  

Bei BEC-Angriffen, die Social Engineering verwenden, um Menschen glauben zu machen, dass sie das Richtige tun, ist es für Unternehmen auch wichtig, ihre Mitarbeiter darin zu schulen, zu erkennen, wenn eine Anfrage – selbst wenn sie von einem legitimen Konto stammt – verdächtig sein könnte. 

„Benutzer sollten darin geschult werden, verdächtige Finanzanfragen zu erkennen. Wenn sich etwas unangenehm anfühlt, sollten Benutzer diesem Instinkt folgen und weiter nachfragen. Dringende Finanzanfragen sollten durch zusätzliche Mittel validiert werden, bevor größere Transaktionen abgeschlossen werden“, sagte Korn. 

MEHR ÜBER CYBERSECURITY