Für Cyberkriminelle erweist sich eine Masche, die als CEO-Fraud oder Business Email Compromise (BEC) bekannt ist, als besonders einträglich, wie aktuelle Zahlen des FBI zeigen.
Kaum eine Betrugsmasche ist für Cyberkriminelle so ertragreich wie der CEO-Fraud oder Business Email Compromise (BEC). Bei dieser speziellen Form des Social Engineering werden Unternehmensmitarbeiter durch den Missbrauch falscher Identitäten zur Überweisung von Geld verleitet. Dabei geben sich die Täter meist als Chef oder leitende Person des jeweiligen Unternehmens aus. Per E-Mail oder Fax bitten sie Mitarbeiter, eine dringende Überweisung zu veranlassen.
Und diese können auch größere Beträge umfassen. Denn laut FBI hat CEO-Fraud den Opfern 2021 mehr Schaden zugefügt als jede andere Form von Cybercrime. Obwohl dieser Trickbetrug von der Anzahl der gemeldeten Delikte nur den neunten Platz bei den Cyberverbrechensarten des Jahres einnimmt, erzielten die Kriminellen mit Abstand den höchsten Schaden von 2,4 Milliarden Dollar. Dahinter folgt Anlagebetrug mit 1,5 Milliarden US-Dollar.
Cyberkriminelle operieren mit Deepfakes
«Ein Drittel aller Schäden durch Cyberkriminalität basieren auf CEO-Fraud. Der Druck, dass der Geschäftsführer oder ein leitender Angestellter einen Mitarbeiter umgehend zu einer Überweisung auffordert, lässt diese nicht die Konsequenzen des eigenen Handelns überdenken», erklärt Thomas Uhlemann, Security Specialist beim Cybersecurity-Experten Eset. «Deepfakes, also künstlich erstellte Audio- und Video-Dateien, in denen Gesichter oder Stimmen manipuliert werden, sind für die Täter mittlerweile billig herzustellen. Uns sind bereits Fälle bekannt, wo gefälschte Audio-Dateien genutzt wurden. Es ist davon auszugehen, dass diese Methoden und auch gefälschte Videos zukünftig noch häufiger zum Einsatz kommen.»
Doch es gibt auch Gegenmaßnahmen, wie Eset-Sicherheitsexperten
in einem Blog-Beitrag aufzeigen. Dort präsentieren sie unter anderem folgende grundlegende Tipps, um sich vor CEO-Fraud zu schützen:
- Achten Sie darauf, welche Informationen über Ihr Unternehmen öffentlich sind und was auch Mitarbeiter beispielsweise in sozialen Netzwerken posten.
- Aktualisieren Sie die Zahlungsprozesse, so dass große Überweisungen von zwei Mitarbeitern abgezeichnet werden müssen
- Überprüfen Sie alle Zahlungsaufforderungen noch einmal mit der Person, die die Aufforderung angeblich gestellt hat – am besten telefonisch.
- Investieren Sie in fortschrittliche E-Mail-Scanner, die KI nutzen, um verdächtige E-Mail-Muster und den Schreibstil des Absenders zu erkennen.