DsiN-Blog

Der IT-Sicher­heitsblog für den Mit­tel­stand

Themen

Tipp des Monats

Machen Sie in nur zehn Minuten den IT-Sicher­heits­check von Deutschland sicher im Netz. Der Test liefert Hand­lungs­emp­feh­lungen, mit denen Sie die eigene IT-Sicher­heitslage ver­bessern können.

News­letter

Um neue Bei­träge regel­mäßig zu erhalten, können Sie hier unseren News­letter abon­nieren:

CEO-Fraud

Es trifft eben nicht nur die Großen

Nicht nur Cen­trify, Snapchat oder Seagate: Anfang des Monats ver­suchten Cyber-Kri­mi­nelle mit dem neuen „Enkeltrick“ einen 25-Mann-Mit­tel­ständler aus­zu­rauben.
Die neue Betrugs­masche CEO-Fraud, vor der am 01.02.2017 schon Herr Kunze vom LKA NRW hier  gewarnt hat, ist nun wirklich dreist. Aber ganz ehrlich: Sind Sie nicht auch der Meinung, dass es Sie kaum treffen kann? Wer ver­mutet schon, so in den Fokus von Kri­mi­nellen zu geraten, dass diese den Aufwand für einen solchen Angriff betreiben. Schließlich müssen die Betrüger ihren Angriff gut vor­be­reiten und recher­chieren, um glaubhaft als Chef des Unter­nehmens auf­treten zu können.

Just am 01.02.2017 ist es aber auch in meinem Umfeld pas­siert. Eine Mit­ar­bei­terin eines mit­tel­stän­di­schen Unter­nehmens mit circa 25 Ange­stellten bekam eine E-Mail mit der ver­meint­lichen Anfrage ihres Chefs, ob sie noch am selben Tag eine Zahlung über eine inter­na­tionale Bank­über­weisung anweisen könne. Im Absen­derfeld der E-Mail standen der richtige Name und die richtige E-Mail-Adresse des Chefs. Auch beim sehr genauen Hin­sehen waren keine ver­tauschten Buch­staben oder ähn­liches zu erkennen.

Auf­merksame Mit­ar­beiter
Die Mit­ar­bei­terin war aber sehr auf­merksam und hat sich gewundert. Die Uhrzeit, zu der die E-Mail vom „Chef“ ver­sendet wurde, kam ihr sehr suspekt vor. Zu dieser Uhrzeit schläft ihr Chef nämlich meist noch. Eine per­sön­liche Nach­frage hat den Schwindel schnell auf­fliegen lassen.
Die fol­gende Unter­su­chung hat ergeben, dass eine Antwort auf die E-Mail des ver­meint­lichen Chefs, trotz der Anzeige der rich­tigen E-Mail-Adresse, an eine andere, wohl eigens für diesen Angriff ein­ge­richtete E-Mail-Adresse mit ähn­licher Bezeichnung, aber anderer Domain gegangen wäre. Hätte die Mit­ar­bei­terin also geant­wortet, wäre der ver­meint­liche Chef schnell auf Ihre Fragen ein­ge­gangen und hätte ihr wohl den Auftrag für eine kon­krete Über­weisung gegeben.

Perfide an diesem Fall ist, dass die E-Mail des ver­meint­lichen Chefs tat­sächlich direkt an die für Über­wei­sungen im Unter­nehmen zuständige Mit­ar­bei­terin gegangen ist. Wie können die Kri­mi­nellen das her­aus­ge­funden haben?

Im Nach­hinein ist einer Sekre­tärin ein komi­scher Anruf ein­ge­fallen. In der Vor­woche hat sich ein angeb­licher Kunde des Unter­nehmens über eine Rechnung und eine Über­weisung beschwert und rüde gefragt, wer diese denn durch­ge­führt habe. Der Sekre­tärin kam dieser Anruf schon komisch vor, da sich die Kunden in solchen Fällen nor­ma­ler­weise direkt beim Sach­be­ar­beiter melden. Besondere Bedeutung hat sie dem Anruf aber nicht bei­ge­messen. Der Rest war für die Betrüger ein Kin­der­spiel: E-Mail-Adressen der Betei­ligten sind im Webauf­tritt des Unter­nehmens leicht zu finden.

Wie können Sie sich schützen?
Beachten Sie die Hin­weise im Blog­beitrag von Herrn Kunze. Vor allem: Sen­si­bi­li­sieren Sie Ihre Mit­ar­beiter!

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

Bernd Bosch, DATEV eG

Abschluss der Aus­bildung mit dem zweiten juris­ti­schen Staats­examen 1997. Seitdem in unter­schied­lichen Bereichen bei der DATEV eG in Nürnberg tätig. Prak­tische Erfahrung im IT-Umfeld hat er ins­be­sondere in seiner zehn­jäh­rigen Tätigkeit in der Soft­ware­ent­wicklung gesammelt. Hierbei war er u.a. mit der Ein­richtung und Aktua­li­sierung von Netz­werkum­ge­bungen in Steu­er­be­rater- und Rechts­an­walts­kanz­leien betraut. Seit fünf Jahren ist Bernd Bosch als externer Daten­schutz­be­rater für Kanz­leien tätig.

 

Koope­ra­ti­ons­partner

Für DATEV sind Daten­schutz und Daten­si­cherheit seit Gründung des Unter­nehmens zen­trale Ele­mente in der Geschäfts­po­litik. Daher enga­giert sich DATEV mit dem Blog für mehr IT-Sicherheit im Mit­tel­stand.