Social Engineering: Angriff auf Mitarbeiter-Konten

Noch nie war es so leicht, sich über Personen Informationen zu beschaffen. Kostenlose Personensuchmaschinen durchforsten das Internet nach digitalen Spuren, die User in Blogs, Foren, Social-Media-Diensten oder auf eigenen Webseiten interlassen. Beispiele dafür sind 123people.de, pipl.com, yasni.de und webmii.com.

Die Resultate, die solche Dienste liefern, sind erstaunlich: Fotos, E-Mail-Adressen, Links zu Facebook-Profilen und Beiträgen in Onlineforen, Telefonnummern – eine ganze Reihe von persönlichen Daten lassen sich bereits mithilfe solcher frei zugänglichen Tools ermitteln. Auf den ersten Blick mag das nicht sonderlich gefährlich erscheinen.

Doch solche Services, ebenso wie Social-Media-Plattformen, dienen nicht nur neugierigen Zeitgenossen oder Bekannten als Informationsquelle, sondern auch Cyber-Kriminellen. Sie nutzen Dienste dieser Art, um Angriffe auf Unternehmen vorzubereiten. Experten bezeichenen dieses Vorgehen als „Social Engineering“. Das Ziel ist in den meisten Fällen, an firmeninterne Daten heranzukommen.

„Eine gut geplante und umgesetzte Social-Engineering-Attacke ist heutzutage kaum zu stoppen“, sagt Kevin Hogan, Senior Director von Symantecs Security Response Center in Dublin. Die IT-Sicherheitsfirma stellt in ihrem Internet Security Threat Report für 2010 fest, dass im vergangenen Jahr die Zahl von gezielten Angriffen auf Unternehmen mithilfe von Social-Engineering-Techniken drastisch zugenommen hat. „Eine maßgeblich Rolle spielen dabei Social-Media-Plattformen wie Facebook, Twitter oder vergleichbare Services“, so Hogan.

Social-Media-Plattformen: Hinweise für Angreifer

Ein Grund dafür, dass sich solche Angriffe einfacher durchführen lassen, ist der Erfolg von Social-Networking-Plattformen wie Facebook, Twitter oder StudiVZ. Alleine Facebook hatte nach Angaben des Portals Allfacebook Mitte Mai 2011 in Deutschland 18 Millionen Nutzer. Die Social-Web-Beratungsgesellschaft Compass Heading taxierte Ende 2010 die Zahl der Facebook-Profile deutscher Nutzer gar auf 23 Millionen. Schüler- und StudiVZ kamen im Dezember 2010 zusammengenommen auf 6,4 Millionen Nutzer, Twitter erreichte 2,9 Millionen.

Eine Attacke auf ein Unternehmen mit dem Ziel, vertrauliche Informationen zu entwenden, kann folgendermaßen ablaufen: Der Angreifer verschafft sich Zugang zu den Profildaten von Nutzern einer Social-Networking-Plattformen. Wie einfach das ist, zeigt die Test-Applikation „Snapper“. Sie wurde von Fachleuten von Symantec des Security Response Center entwickelt.

Snapper ist eine Zusatz-Applikation für Facebook. Sie lässt sich beispielsweise als scheinbar harmloses Umfrage-Tool tarnen. Solche Apps tauchen immer häufiger auf Social-Media-Plattformen auf. Der Trick bei Snapper: Die Software verlangt bei der Installation, dass der Nutzer ihr Zugriff auf die Daten des Users gibt. Snapper erhält dadurch Zugang zur „Freundesliste“ des Betreffenden und zu weiteren Informationen, inklusive der Account-Daten.

Ein Kernproblem ist laut Orla Cox, Security Operations Manager bei Symantec in Dublin, dass viele Nutzer von Facebook nicht wissen, wie sie mit Anfragen umzugehen haben, die auf die Installation von Apps abzielen. „Hier ist ein gesundes Misstrauen angesagt“, so die IT-Security-Spezialistin.