Warnung vor Chain-Phishing in Microsoft 365

Als Phishing bezeichnet man Versuche von Cyberkriminellen, über gefälschte E-Mails, SMS oder sonstige Nachrichten an persönliche Daten wie Passwörter zu kommen. Täuschend echt aussehende Mitteilungen fungieren dabei als Köder, um Opfer dazu zu verleiten, gefälschte Links anzuklicken oder schädliche Dateien herunterzuladen. Beim Chain-Phishing hingegen versenden Cyberkriminelle gefälschte E-Mails von bereits kompromittierten Konten an alle Kontakte des Opfers. Dabei verleite die Bekanntheit der Absender die Opfer eher dazu, weniger skeptisch zu sein und persönliche Daten freizugeben, teilt das Bundesamt für Cybersicherheit (BACS) mit. Demnach verzeichnete das Bundesamt in der vergangenen Woche vermehrt solche Chain-Phishing-Versuche in Microsoft 365.

Verbreitung nach dem Schneeballprinzip

Die Microsoft-365-Plattform sei besonders von Chain-Phishing betroffen, da Angreifer dort Zugang zu vielen Daten erhalten könnten. Es kämen vor allem gefälschte Anmeldeseiten zum Einsatz, um Opfer hinters Licht zu führen, heisst es in der Mitteilung. Die Opfer erhalten beispielsweise eine E-Mail, die einer Microsoft-365-Benachrichtigung ähnelt, wie etwa zu den Cloud-Diensten Onedrive und Sharepoint. Diese E-Mail fordert etwa dazu auf, ein Passwort zu aktualisieren oder ein Dokument zu öffnen. Auch hier soll das vertraute Aussehen die Skepsis der Opfer abbauen.

Wenn Chain-Phishing Unternehmen trifft, kann das drastische Folgen haben. Über ein einzelnes kompromittiertes Geschäftskonto könnten die darauffolgenden Phishing-Angriffe weitere Mitarbeitende, Kunden, Partnerunternehmen und Lieferanten treffen. Von diesen kann sich dann wiederum weitere Schadsoftware verbreiten.

Datendiebstahl bei Unternehmen

Unternehmensdaten in E-Mail-Konten, Clouds und internen Datenbanken können durch Phishing in die Hände von Cyberkriminellen gelangen. Damit können Bedrohungsakteure ein betroffenes Unternehmen erpressen und sein Ruf schädigen. Auch können solche Datenlecks nach Schweizer Datenschutzgesetzen und der Datenschutz-Grundverordnung (DSGVO) zu rechtlichen Konsequenzen für das betroffene Unternehmen führen. Das BACS empfiehlt daher, sich bei Verdacht auf einen Cyberangriff einen Überblick über die gestohlenen Daten zu verschaffen und entsprechende Risiken abzuschätzen.

In Konten, die die Angreifer übernommen haben, erstellen sie oft Weiterleitungsregeln, wodurch sie alle eingehenden E-Mails des Opfers ebenfalls erhalten. Dadurch haben sie auch nach dem Zurücksetzen des Passworts Zugang zu sensiblen Daten.

Massnahmen und Empfehlungen des BACS

• Überprüfen Sie die E-Mail-Adresse des Absenders genau.
• Seien Sie vorsichtig bei E-Mails, bei denen der angezeigte Name des Absenders nicht mit der tatsächlichen E-Mail-Adresse übereinstimmt.
• Generische Anreden wie "Sehr geehrte Kundin" oder "Sehr geehrter Kunde" anstelle des Namens des Empfängers sind oft ein Warnsignal.
• Achten Sie auf schlechte Grammatik und Rechtschreibung.
• Prüfen Sie vor einer Passworteingabe immer die geöffnete Internetadresse (URL).
• Vorsicht bei E-Mails, die eine Aktion von Ihnen verlangen. Seien Sie vorsichtig, wenn Sie dazu gedrängt werden, eine Aktion auszuführen. Dabei kann es sich beispielsweise um das Anklicken eines Links oder das Öffnen eines Dokuments bzw. Anhangs handeln.
• Geben Sie niemals persönliche Daten auf einem Formular ein, das Sie über einen Link in einer E-Mail geöffnet haben.
• Konfigurieren Sie wenn immer möglich eine Zwei-Faktor-Authentifizierung. Dies bietet zusätzlichen Schutz, um zu verhindern, dass Ihr Konto gehackt wird.
• Bedenken Sie, dass E-Mail-Absender leicht gefälscht werden können.
• Werden in Ihrem Namen manipulierte Nachrichten versendet, ist davon auszugehen, dass Ihr E-Mail-Konto/System gehackt wurde. Ändern Sie in diesem Fall unverzüglich das Passwort und kontrollieren Sie die E-Mail-Filter und Weiterleitungsregeln.
• Oft erstellen die Angreifer eine E-Mail-Weiterleitungsregel, die eine Kopie aller Ihrer empfangenen E-Mails an die Angreifer sendet. Zusätzlich empfiehlt das BACS die Überprüfung des Systems.
• Informieren Sie Ihre Kontakte darüber, da diese eventuell per E-Mail angeschrieben wurden.
• Gemäss Art. 24 revDSG des Datenschutzgesetzes müssen Verletzungen der Datensicherheit an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemeldet werden, wenn für die vom Datenabfluss betroffenen Personen ein hohes Risiko einer Beeinträchtigung ihrer Persönlichkeit oder ihrer Grundrechte zur Folge haben. Die Bestimmung gilt sowohl für Privatpersonen, Unternehmen als auch für Bundesorgane. Die Meldung an den EDÖB hat so rasch wie möglich zu erfolgen. Das Meldeformular finden Sie hier.

Auch seriöse Websites können mit verwirrenden Werbeanzeigen unerwartete Folgen mit sich bringen. Vor Kurzen wurde dem BACS eine angeblich dubiose Webseite gemeldet, auf der ein Nutzer eine Fahrzeughalterabfrage durchführen wollte. Anstelle der Halterabfrage hat er jedoch ungewollt ein kostenpflichtiges Abo abgeschlossen. Lesen Sie hier mehr darüber.