In den letzten Wochen erreichen uns vermehrt Berichte über Versuche, österreichische Organisationen und Unternehmen mittels Business E-Mail Compromise (BEC) zu schädigen.

Bei dieser Betrugsform geben sich Kriminelle als vertrauenswürdige Person aus (wie beispielsweise als Geschäftsführung, bekannter Lieferant, Kolleg:in aus der Personalabteilung, ...), um Mitarbeiter:innen dazu zu bringen, Überweisungen durchzuführen, Zahlungs- oder Bankdaten zu ändern oder sensible Informationen herauszugeben.

Es handelt sich bei BEC nicht um einen einheitlichen Angriff, sondern eine "Familie" von Szenarien, die alle auf Identitätsvortäuschung beruhen. Einige Beispiele:

• Imitation der Geschäftsführung: Angreifer:innen geben sich als hochrangige Führungskraft aus und schreiben an die Finanzabteilung oder die Buchhaltung mit einer vermeintlichen dringenden, vertraulichen Bitte um eine Überweisung. Diese soll schnellstmöglich und vor allem ohne Wissen der Kolleg:innen durchgeführt werden.
• Rechnungsbetrug: Angreifer:innen geben sich als Lieferant oder Zulieferer einer Organisation aus - dabei werden manchmal sogar die originalen Mailkonten eines legitimen Unternehmens genutzt die zuvor durch die Kriminellen kompromittiert wurden - und senden eine "aktualisierte" Rechnung oder einen Hinweis, dass sich die Bankverbindung des Lieferanten geändert habe, um eine legitime, erwartete Zahlung auf ein von den Kriminellen kontrolliertes Konto umzuleiten.
• Übernahme eines Mailverlaufs: Angreifer:innen verschaffen sich Zugang zu einem Mailpostfach (beispielsweise über durch einen Infostealer kompromittierte Zugangsdaten oder über eine Sicherheitslücke in einem Webinterface), beobachten unbemerkt eine Konversation rund um eine echte Rechnung oder einen tatsächlichen Geschäftsvorgang und schleusen dann in weiterer Folge falsche Zahlungsanweisungen in diese Unterhaltung ein. Dadurch wirkt die Anfrage vollkommen authentisch.
• Datendiebstahl: Anstatt (oder zusätzlich zu) einer Geldforderung geben sich die Angreifer:innen als Führungskraft aus und bitten die Personalabteilung um sensible Daten wie Lohnsteuerbescheinigungen oder personenbezogene Daten von Mitarbeiter:innen. Diese werden dann anschließend für Identitätsdiebstahl und / oder weitere Betrugshandlungen missbraucht.

Was diese Art von Angriffen von anderen Attacken unterscheidet, ist der geringe technische Aufwand. In den meisten Fällen ist das Hauptwerkzeug der Angreifer:innen eine glaubwürdige Geschichte und ein zumindest rudimentäres Verständnis dafür, wie innerhalb von Unternehmen normalerweise kommuniziert wird beziehungsweise wie die Freigabe von Finanztransaktionen abläuft.

Durch diese Ausnutzung von organisatorischem Vertrauen und internen Abläufen umgeht diese Betrugsform viele der gängigen technischen Schutzmaßnahmen auf die sich Unternehmen und Organisationen bei anderen Formen der Cyberkriminalität verlassen.

Erkennung

Obwohl die Täter:innen inzwischen sehr geschickt vorgehen gibt es innerhalb der Nachrichten Merkmale die darauf hindeuten, dass es sich um einen Betrugsversuch handelt:

• Vorgetäuschte Dringlichkeit, oftmals kombiniert mit dem Ersuchen um Geheimhaltung: Täter:innen versuchen Stress auszulösen um die Wachsamkeit der Opfer zu schwächen. Beispielsweise indem verlangt wird eine Überweisung sofort durchzuführen und niemandem davon zu erzählen, oft auch unter Androhung von Konsequenzen für das Opfer.
• Umgehung normaler Freigabeprozesse: Die Täter:innen drängen darauf, normale Freigabeprozesse zu überspringen oder zumindest zu beschleunigen. Manchmal haben Kriminelle ein intimes Verständnis von der angegriffenen Organisation und fordern Beträge die unter einer internen Genehmigungsschwelle liegen.
• Unerreichbarkeit des "Verantwortlichen": Die Kriminellen behaupten in ihren Nachrichten, dass die Person, als die sie sich gerade ausgeben, telefonisch nicht erreichbar wäre, unter Vorgabe verschiedenster Gründe, damit die Kommunikation ausschließlich per E-Mail erfolgt.
• Plötzliche Veränderungen: Eine unerwartete, unaufgeforderte Änderung der Bank- oder Zahlungsdaten eines bekannten Lieferanten, Dienstleisters oder Mitarbeiter sind ein sehr deutliches Warnzeichen. Selbiges gilt für eine plötzliche Veränderungen des Schreibstils innerhalb einer bestehenden Mailkonversation.

Auch auf technischer Ebene gibt es Hinweise die Verdachtsmomente für einen Betrugsversuch darstellen:

• Domainänderungen: Eine Absender:innendomain oder reply-to-Domain die fast, aber nicht ganz stimmt (z.B. ein vertauschter Buchstabe, ein zusätzlicher Bindestrich, eine andere TLD, ...)
• Unregelmäßigkeiten in der Mailadresse: Der Anzeigename im Mailclient ist zwar korrekt, die eigentliche E-Mail-Adresse stimmt bei einer Kontrolle der vollständigen Header jedoch nicht überein.
• Scheinweiterleitung: Eine scheinbar weitergeleitete Mailkonversation, die bei einer Prüfung der Header jedoch tatsächlich von einer externen Domain stammt, nicht vom eigenen Mailsystem.
• Ungewöhnliche Anmeldungen: Anmeldungen von einem neuen Gerät, aus einem neuen Land oder von einer unbekannten IP-Adresse oder eine unerwartete Zurücksetzung eines Account-Passworts (insbesondere kurz vor einer Zahlungsanweisung) sind starke Indizien für illegitime Vorgänge.

Gegenmaßnahmen

Im Gegensatz zu vielen anderen Angriffsarten sind die Schutzmaßnahmen gegen BEC primär auf Policy-Ebene angesiedelt:

• Für Finanztransaktionen und Änderungen von Daten von Dienstleistern und Zulieferern sollten gut dokumentierte, feste, nicht verhandelbare Abläufe existieren. Es ist besonders wichtig, dass sich Mitarbeiter:innen bewusst sind, dass diese nicht durch vermeintliche Dringlichkeit, Hierarchie und / oder Vertraulichkeitsforderungen außer Kraft gesetzt werden können.
• Jede Bitte um Änderung von Zahlungs-/Bankdaten oder jede dringende Überweisungsanfrage sollte telefonisch über eine bereits bekannte, hinterlegte Nummer verifiziert werden - niemals über eine in einer "anweisenden" E-Mail selbst angegebenen Nummer.
• Für Finanztransaktionen sollte das Vier-Augen-Prinzip gelten, wobei eine Person eine Überweisung niemals sowohl freigeben als auch ausführen darf.
• Awarenesschulungen sollten das Thema BEC explizit abhandeln, da die Vorgehensweise hier von der abweicht, die Nutzer:innen von "klassischen" Phishingmails kennen.

Dennoch gibt es auch auf der technischen Ebene Maßnahmen, die zwar allgemein empfehlenswert und gültig sind, Betrugsversuche dieser Art aber besonders erschweren:

• Wo technisch und organisatorisch machbar moderne Multi-Faktor-Authentifizierung (MFA) für alle E-Mail und Fernzugriffskonten durchsetzen. Ausnahmen von diesen Authentifizierungsmaßnahmen sollten im Rahmen des organisationseigenen Risikomanagements höchst kritisch betrachtet werden und so weit als möglich vermieden werden.
• Conditional Access Policies anwenden (Sperrung des Zugriffs bei ungewöhnlicher örtlicher Herkunft / ungewöhnlichem Gerät) und ein entsprechendes Alerting einrichten.
• SPF, DKIM und DMARC einführen und auch entsprechend "scharf schalten", mit DMARC auf "reject" für die Domains der eigenen Organisation
• Das Anlegen von automatischen Weiterleitungsregeln einschränken und protokollieren sowie Weiterleitungen an externe Domains per Richtlinie blockieren.

Sollte Ihre Organisation oder Ihr Unternehmen Ziel eines solchen Angriffsversuchs geworden sein zögern Sie bitte nicht uns zu kontaktieren.