Eine Phishing-Nachricht kann es auf ein Passwort, eine bereits geöffnete Sitzung oder die einer Anwendung erteilten Berechtigungen abgesehen haben. Solche Zugänge können den Angriff mitunter über die erste Anmeldung hinaus verlängern. Der von Proofpoint am 12. November vorgestellte europäische Bericht weist einen starken Anstieg der Erkennungen aus. Seine Zahlen geben jedoch Beobachtungen eines Anbieters wieder und sind keine umfassende Erfassung der Cyberkriminalität.
Ein gemessener Anstieg, keine Zählung der Opfer
Proofpoint berichtet, dass sich die Zahl seiner Phishing-Erkennungen in Europa innerhalb eines Jahres vervierfacht hat (Faktor 4,5), weltweit dagegen um den Faktor 1,5 gestiegen ist. Diese Multiplikatoren beschreiben die Entwicklung der Erkennungen in den Beobachtungen des Unternehmens, messen aber nicht unmittelbar die Zahl der Opfer.
Eine weitere Zahl beschreibt das Verhalten gegenüber zugestellten Nachrichten: Europäische Nutzer klickten auf 8,3 schädliche Nachrichten je 100 zugestellte Bedrohungsnachrichten, weltweit waren es 2 je 100. Der Nenner ist hier die Zahl der zugestellten Nachrichten, nicht die Zahl der Einwohner oder Beschäftigten. Es handelt sich also nicht um 8,3 % der Europäer, die Opfer eines Hackerangriffs wurden. Die Zahl veranschaulicht einen möglichen Schritt des Angriffs, sagt für sich genommen aber nicht aus, ob ein Klick zu einer Kompromittierung geführt hat.
Proofpoint zufolge zeigten auch 64 % der europäischen Organisationen, die von sogenannten gezielten Cloud-Angriffen ins Visier genommen wurden, Anzeichen einer Kompromittierung. Dieser Anteil bezieht sich auf Organisationen, die von dieser Angriffskategorie betroffen waren, und nicht auf alle europäischen Unternehmen. Bei solchen gezielten Angriffen werden bestimmte Nutzer oder Konten ins Visier genommen; dabei können Phishing und die Übernahme von Sitzungen kombiniert werden.
Vom Konto zur Sitzung: ein weiterer Zugang
Ein Konto ist die digitale Identität einer Person bei einem Dienst. Nach der Authentifizierung kann der Dienst eine Sitzung eröffnen: einen Zustand, der die weitere Nutzung ermöglicht, ohne bei jeder Aktion erneut nach dem Passwort zu fragen. In einem Browser basiert eine solche Sitzung häufig auf einem von der Anwendung gespeicherten Token, zum Beispiel in Form eines Cookies. Erlangt ein Angreifer ein gültiges Sitzungstoken, kann er daher mitunter auf den Dienst zugreifen, ohne den üblichen Anmeldeprozess erneut zu durchlaufen.
Dieser Unterschied erklärt, warum das Passwort nicht die gesamte Sicherheit eines Kontos abbildet. In seiner Dokumentation zu Microsoft Entra unterscheidet Microsoft unter anderem zwischen Zugriffstoken, Erneuerungstoken und von einer Anwendung ausgegebenen Sitzungstoken. Ein Zugriffstoken berechtigt während seiner Gültigkeitsdauer zum Zugriff auf eine Ressource; mit einem Erneuerungstoken kann ein weiteres Token angefordert werden. Webanwendungen können ihrerseits ihre eigene Sitzung verwalten. Die Kontrolle endet daher nicht immer bei dem Identitätsanbieter, der das Passwort überprüft hat.
Die Sperrung eines Zugriffs beendet nicht zwangsläufig alle Sitzungen gleichzeitig. Microsoft erklärt, dass die Verzögerung vom Tokentyp und davon abhängt, wie die Anwendung Änderungen umsetzt. Eine Anwendung muss den Zugriff möglicherweise neu bewerten oder den Kontostatus synchronisieren; sie kann eine Sitzung aber auch nach ihren eigenen Regeln aufrechterhalten. Bei Verdacht auf eine Kompromittierung muss das IT-Team deshalb das Konto, aktive Sitzungen und die betreffenden Berechtigungen überprüfen, statt eine Passwortänderung als universelle Lösung anzusehen.
Verbundene Anwendungen übernehmen Berechtigungen
Dieselbe Überlegung gilt für Anwendungen, die mit einem Arbeitsbereich verbunden sind. Eine Berechtigung ermöglicht einem Tool den Zugriff auf bestimmte Ressourcen, etwa Dokumente, E-Mail oder interne Dienste. In seiner Mitteilung erwähnt Proofpoint insbesondere Anwendungen, die über OAuth – einen Autorisierungsmechanismus – mit diesen Diensten verbunden sind. Entscheidend ist dann, wie weit die einzelnen Tools Zugriff erhalten.
Bevor eine Organisation einen Assistenten oder eine Anwendung verbindet, kann sie prüfen, ob die angeforderten Berechtigungen der vorgesehenen Aufgabe entsprechen und ob frühere Zugriffsrechte noch benötigt werden. Werden unnötige Berechtigungen reduziert, kann ein Tool weniger einsehen oder ausführen, falls sein Konto, seine Integration oder seine Sitzung übernommen wird. Diese Prüfung verhindert Phishing nicht von sich aus; sie begrenzt vielmehr die möglichen Folgen eines erlangten Zugriffs.
Der Bericht verzeichnet außerdem, dass sich der Anteil der europäischen Sensoren, die Angriffe auf Open-Source-Technologien der künstlichen Intelligenz erkannt haben, zwischen zwei aufeinanderfolgenden Zeiträumen von 90 Tagen um den Faktor 4,6 erhöht hat. Diese Messung bezieht sich auf den Anteil der betroffenen Sensoren innerhalb dieser Zeitfenster, nicht auf das weltweite Volumen der Angriffe auf KI im Laufe eines Jahres. Ebenso lässt sich daraus nicht schließen, dass KI den Anstieg des Phishings verursacht. Sie zeigt, dass auch Infrastrukturen im Zusammenhang mit diesen Technologien in den Beobachtungsbereich von Proofpoint fallen.
Die Reaktion ist auch nach der Anmeldung entscheidend
Für Privatpersonen wie für Organisationen gilt: Eine erhaltene Nachricht sollte nicht den Weg zu einem Dienst vorgeben. Bei einer unerwarteten Aufforderung lässt sich vermeiden, dem mitgelieferten Link zu vertrauen, indem man den Dienst direkt über die gewohnte Anwendung oder Website aufruft. In einer beruflichen Umgebung müssen Reaktionsmaßnahmen berücksichtigen, was nach der Anmeldung möglicherweise freigegeben wurde: Sitzungen, Token und Anwendungsberechtigungen – mit Unterstützung des IT-Teams.
Ein Klick und eine Kompromittierung sind zwei unterschiedliche Ereignisse. Auch die Schutzmaßnahmen für das Konto, die verfügbaren Berechtigungen und die Verwaltung der Sitzungen bestimmen, worauf ein Angreifer anschließend zugreifen kann. Der praktische Punkt ist genauer gefasst: Den ursprünglichen Zugriff abzusichern, bleibt notwendig; eine umfassende Reaktion muss aber auch prüfen, was nach der Anmeldung des Nutzers weiterhin zugänglich ist.
Quellen
- Proofpoint, über GlobeNewswire verbreitete Mitteilung
- Microsoft Learn, Widerruf von Zugriffsrechten in Microsoft Entra ID
- Clubic, Phishing, Cloud und KI in Europa
Ein Hardware-Authentifizierungsschlüssel, aufgenommen 2009. Symbolfoto: Er steht für den Schutz des ursprünglichen Zugriffs, der sich von der Verwaltung der Sitzungen und Berechtigungen unterscheidet.
