Vishing ist eine besondere Form des Phishings. Auch hier ist es Ziel, Menschen dazu zu bringen, sensible oder vertrauliche Informationen preiszugeben. Im Gegensatz zum „herkömmlichen“ Phishing-Angriff, bei dem die Opfer per E-Mail kontaktiert werden, erfolgt die Kontaktaufnahme per Telefon. Daher auch der Name „Vishing“. Hier werden die englische Bezeichnung für Stimme (Voice) und Phishing kombiniert.
Wie andere Phishing-Methoden ist auch Vishing eine Form des Social Engineerings. So wird auch hier an die Emotionen der Zielperson appelliert – sowohl im positiven als auch im negativen Sinne. Emotionen wie Angst, Zweifel, Neugier und Scham werden gezielt angesprochen, um Menschen dazu zu bringen, im Sinne der Angreifer zu handeln.
Warum ist Vishing besonders gefährlich?
Der direkte Kontakt, der sich aus dem Telefongespräch ergibt, kann die eben erwähnten Gefühle der Betroffenen noch verstärken. In der direkten Konfrontation trauen sich die Menschen noch weniger, der anderen Person zu widersprechen oder Aufforderungen nicht nachzukommen. Sie können sich auch weniger auf ihr eigenes Bauchgefühl verlassen, sodass Handlungen unüberlegt ausgeführt werden.
Ein weiterer Grund, warum Vishing für Cyberkriminelle sehr lukrativ sein kann, ist, dass einer menschlichen Stimme eher geglaubt wird als einer digitalen E-Mail eines unbekannten Absenders. Das Bewusstsein, dass Mitarbeitende auch über das Telefon ausgetrickst werden können, ist teilweise noch nicht weit verbreitet.
Wo begegnet mir Vishing im Alltag?
Vishing-Angriffe können jedes Unternehmen treffen. Auch wenn sie – anders als herkömmliche Phishing-Angriffe – nicht im Gießkannenprinzip verbreitet und daher nicht in großem Stil durchgeführt werden, greifen Bedrohungsakteure zunehmend zum Telefon, um ihre potenziellen Opfer direkt zu kontaktieren. Dabei stehen folgende Motivationen im Vordergrund.
Mögliches Motiv Nummer 1 – Abgreifen von Informationen
Sie oder eine oder einer Ihrer Angestellten wird von Cyberkriminellen angerufen – oft unter einem sehr trivialen Vorwand. Der Angreifende kann sich beispielsweise als Mitarbeitende einer bekannten Organisation (z. B. einer Bank) ausgeben, im Namen eines Lieferanten anrufen oder Ihrem Unternehmen etwas verkaufen wollen. Die Fragen werden im Gespräch so geschickt platziert, dass der Gesprächspartner oder die Gesprächspartnerin ohne zu zögern und Verdacht zu schöpfen Auskunft gibt. Die Antworten können anschließend vom Angreifer genutzt werden, um Spear-Phishing-Angriffe oder CEO-Fraud-Angriffe durchzuführen.
Mögliches Motiv Nummer 2 – Manipulation am Telefon
Von Vishing spricht man auch, wenn Mitarbeitende eine gefälschte Telefonnummer anrufen und so nichtsahnend Cyberkriminelle kontaktieren. Stellen Sie sich vor, Sie haben ein Computerproblem und sind auf der Suche nach einem Dienstleister, der Ihnen bei dem Problem helfen kann. Sie landen Sie auf einer Homepage und wählen die dort angegebene Nummer. Leider meldet sich am anderen Ende des Dienstes nicht der erhoffte Support, sondern ein Täter. Hier werden Ihnen Lösungen gegen Bezahlung angeboten. Möglicherweise müssen Sie diese direkt begleichen. Den erhofften Service bekommen Sie danach aber nicht.
Mögliches Motiv Nummer 3 – Konkrete Aufforderungen zum Handeln
Das nächste Beispiel ist sehr direkt. Der Angreifer kontaktiert Sie oder einen Ihrer Mitarbeitenden per Telefon und fordert den- oder diejenige zu konkreten Handlungen auf. Beispielsweise kann gefordert werden, bestimmte Informationen weiterzugeben, z. B. die Login-Daten zu einem Online-Dienst. Oder es kann eine bestimmte Tätigkeit gefordert werden, wie z.B. die Überweisung einer Geldsumme und das Begleichen einer angeblich offenen Rechnung. Wenn die Person zögert, wird Druck auf sie ausgeübt oder sie wird mit positiven Angeboten (Sonderpreise, bessere Konditionen) gelockt.
Wie kann man Vishing erkennen?
Heutzutage ist es schwer, Phishing-Angriffe zu erkennen. Auch Cyberkriminelle entwickeln sich weiter und werden bei ihren Angriffen immer professioneller. Das gilt auch für Vishing-Angriffe. Um Vishing-Angriffe zu erkennen, müssen die Mitarbeitenden wachsam sein. Bei neuen Kontakten, mit denen man bisher keinen Kontakt hatte, ist es ratsam, eine kurze Internetrecherche durchzuführen, um Details zu bestätigen. Existiert das genannte Unternehmen? Existiert die angegebene Adresse? Finden Sie die Person, die Sie kontaktiert hat? Wenn sich Ihr Gesprächspartner auf Kollegen von Ihnen bezieht, fragen Sie gegebenenfalls kurz bei der betreffenden Person nach, ob die Situation oder der Austausch tatsächlich stattgefunden hat. Eine gewisse Grundskepsis sollte auch während des Gesprächs vorherrschen. Beantworten Sie keine Fragen, die Ihnen zu vertraulich oder detailliert erscheinen. Kein seriöses Unternehmen wird Sie nach Passwörtern, Tan-Nummern, Personalnummern usw. fragen.
Wie können sich die Mitarbeitenden schützen?
Um Vishing-Angriffe zu bekämpfen und langfristig zu vermeiden, ist es ratsam, die Mitarbeitenden zu sensibilisieren. Durch intensive Schulungen können Sie Ihre Mitarbeitenden auf die Gefahren aufmerksam machen und sie für die Angriffsmethoden sensibilisieren. Dies kann entweder durch Schulungsvideos geschehen oder durch einen Workshop, in dem Vishing-Anrufe veranschaulicht werden und die Mitarbeitenden den Umgang mit dieser Angriffsart trainieren können.