Betrug im Namen des Staates nimmt zu
Kriminelle tarnen sich immer häufiger als Regierungsstellen und nutzen dabei ausgefeilte Techniken. Ed Skoudis vom SANS Institute warnt vor der wachsenden Professionalität dieser Angriffe.
Betrüger geben sich zunehmend als Mitarbeiter von Regierungsbehörden, Finanzämtern oder der Polizei aus, um an Geld und persönliche Daten zu gelangen. Laut Ed Skoudis, President und Fellow beim SANS Institute, häufen sich diese Vorfälle. Die Täter setzen auf ausgeklügelte Methoden, um Menschen dazu zu bringen, ihnen Zugriff auf private digitale Geräte und Bankkonten zu gewähren oder direkt Geld zu überweisen.
Die Kriminellen manipulieren Anrufer-IDs und richten SMS-Absendernamen ein, die wie vertrauenswürdige Behörden oder Strafverfolgungsorgane aussehen, so Skoudis. Das Fälschen dieser Identitäten sei einfach. Manchmal verwenden die Täter zusätzlich Logos von Ministerien in Verbindung mit ihren Kontaktdaten, um die Täuschung zu verstärken.
Psychologische Manipulation durch glaubwürdige Szenarien
Die Angreifer beginnen oft mit glaubwürdig klingenden Geschichten. Sie sprechen von Strafverfolgungs- oder Steuerermittlungen und behaupten, das Opfer stehe unter Beobachtung oder müsse bei einem offiziellen Fall helfen. Verkehrsstrafen für Falschparken oder Geschwindigkeitsüberschreitungen sind weitere häufige Ansätze. Diese Geschichten wirken zunächst legitim.
Sobald Vertrauen aufgebaut ist, eskalieren die Forderungen schnell. Die Täter verlangen Zugriff auf Bankkonten, Einmalpasswörter oder die Einrichtung einer Fernsteuerung der Geräte. Zu diesem Zeitpunkt sei die Social-Engineering-Technik so effektiv, dass es extrem schwierig werde, sich aus dem Griff des Angreifers zu befreien.
Die Betrüger stützen ihre Szenarien oft auf populäre Medienberichte über Ministerien, neu verabschiedete Gesetze oder saisonale Aktivitäten wie Steuerstichtage, erklärt der Experte. Dadurch wirken die Szenarien glaubwürdiger und rufen eher eine Reaktion hervor. Während in der Vergangenheit die meisten dieser Aktivitäten über Spam-E-Mails erfolgten, werden laut Skoudis SMS immer beliebter.
Die Szenarien basieren auf dringenden Situationen, in denen das Opfer helfen soll. Die Täter sprechen von ausstehenden Geldstrafen oder Gebühren, die erhöht werden oder sogar zu einer Inhaftierung führen, wenn das Opfer nicht sofort reagiert. Dieser Druck, schnell zu handeln, und das Angstmachen sollen das Opfer zu einer emotionalen Reaktion veranlassen.
Inszenierte Behördenstrukturen täuschen Authentizität vor
Um die Täuschung noch überzeugender zu machen, verweisen die Angreifer die Opfer häufig an weitere falsche Regierungsmitarbeiter, um Verdachtsmomente zu zerstreuen. Das Opfer wird von einer Person zur nächsten weitergereicht, wobei jede ein wenig hilft, die Situation zu entschärfen. Alle sind jedoch darauf aus, das Vertrauen des Opfers zu gewinnen und Zugang zu seinem Geld oder seinen digitalen Geräten zu erhalten.
Die verschiedenen Personen sitzen oft nebeneinander in einem Callcenter, das sich auf diese Betrügereien spezialisiert hat. Durch die mehreren Personen, die sich um die Situation kümmern und jeweils mit dem Opfer sprechen, wirkt die Situation eher wie eine echte Behörde.
Die Angreifer geben detaillierte mündliche Anweisungen, wie die vorgetäuschte Situation entschärft werden kann, und geben vor, dem Nutzer in jedem Schritt des Prozesses per Telefon zu helfen. Sie unterstützen beim Ausfüllen gefälschter Behördenformulare und Anträge und leiten diese an andere falsche Behördenmitarbeiter weiter.
Systematischer Datendiebstahl zielt auf finanzielle Ressourcen
Die Angreifer gehen Schritt für Schritt vor, um alle sensiblen Daten des Opfers zu sammeln und Zugriff auf dessen finanzielle Ressourcen zu erhalten. Laut SANS Institute installieren sie bösartige Apps, verleiten die Benutzer zum Klicken auf Links, sammeln Benutzernamen und Passwörter, ermitteln Bank- und andere Finanzdaten und stehlen Einmalpasswörter aus Multi-Faktor-Authentifizierungslösungen.
All diese Betrugsmaschen können sich in ihrer Vorgehensweise unterscheiden, die Mehrheit folgt jedoch einem ähnlichen Muster, berichtet der Experte. Sie sind sehr zielgerichtet und sorgfältig ausgeführt und richten sich oft gegen ältere Menschen, da diese eher über entsprechende Ressourcen verfügen und der technischen Komplexität dieser Angriffe leichter zum Opfer fallen.
Skoudis betont die Wichtigkeit von Aufklärung: Sollten Betroffene einige der Anzeichen erkennen und ihre Familien oder Kollegen aufklären, kann dies den Unterschied zwischen Sicherheit und Ausbeutung ausmachen.