Phishing-Angriffe werden immer raffinierter und gezielter. Daher ist es für Internetnutzer wichtiger denn je, schädliche Links zu erkennen. Angreifer nutzen weiterhin menschliche Fehler aus, indem sie geschickt getarnte Phishing-Links verwenden, um Nutzer zu täuschen. Nutzer, die auf diese Links klicken, geben oft vertrauliche Informationen wie Anmeldedaten, persönliche Daten und sogar Finanzdaten preis.
Lassen Sie uns in Expertentipps eintauchen, wie Sie Phishing-Links erkennen und sich davor schützen können, Opfer dieser Angriffe zu werden.
Phishing ist eine der häufigsten und effektivsten Methoden für Cyberangriffe, da sie das Vertrauen der Menschen ausnutzt. Cyberkriminelle gestalten E-Mails, SMS oder Social-Media-Beiträge so, dass sie wie legitime Mitteilungen vertrauenswürdiger Organisationen aussehen. Diese Nachrichten enthalten häufig schädliche Links, die beim Anklicken auf gefälschte Webseiten weiterleiten und Schadsoftware herunterladen oder ausnutzen. Eine weitere, viel häufiger beobachtete Angriffsmethode ist der Diebstahl von Authentifizierungstoken aus Ihrem Browser. Diese Token ermöglichen es Hackern, sich in Ihr E-Mail-Konto oder – noch schlimmer – in Ihr Bankkonto einzuloggen.
Der Verizon-Bericht zu Datenpannen aus dem Jahr 2023 untersuchte Cyberangriffe der letzten 20 Jahre und kam zu dem Schluss, dass Phishing-Angriffe über alle 20 Jahre hinweg die Hauptursache für Datenpannen geblieben sind. Phishing-Angriffe nutzen verschiedene Techniken, um uns zu täuschen, darunter Domain-Spoofing ( Typo-Squatting ), URL-Kürzer, Abmeldelinks und sogar gefälschte Sicherheitslogos, um ein falsches Gefühl von Sicherheit oder Legitimität zu erzeugen.
Eine der einfachsten Möglichkeiten, die Legitimität eines Links zu überprüfen, besteht darin, mit der Maus darüber zu fahren (auf einem Desktop-PC oder Laptop). Die echte URL erscheint dann in einem kleinen Feld unten links auf Ihrem Bildschirm. Stimmt der Link nicht mit der angeblichen Domain überein – beispielsweise eine E-Mail, die angeblich von PayPal stammt, aber auf „paypa1.com“ verweist –, ist das ein Warnsignal. Auf Mobilgeräten können Sie oft lange auf einen Link drücken, um die URL anzuzeigen, bevor Sie ihn öffnen. Überprüfen Sie vor dem Klicken immer, ob die URL korrekt aussieht. Im Zweifelsfall googeln Sie den Anbieter, um die korrekte Domain zu bestätigen.
Eine gängige Phishing-Taktik ist die Verwendung von Rechtschreibfehlern oder subtilen Änderungen in einer URL, um sie legitim erscheinen zu lassen. Beispielsweise könnte ein Phishing-Link „micros0ft.com“ anstelle von „microsoft.com“ verwenden oder Buchstaben durch ähnlich aussehende Zahlen und Symbole ersetzen. Diese geringfügigen Änderungen können leicht unbemerkt bleiben, insbesondere wenn Sie in Eile sind. Achten Sie neben ähnlichen Buchstaben in einem Domainnamen auch auf ein einzelnes „S“ am Ende der Domain. Überprüfen Sie die URL auf Richtigkeit, indem Sie zur Sicherheit eine Google- oder KI-Suche nach der korrekten Domain des Anbieters durchführen.
Die meisten seriösen Websites verwenden HTTPS (Hypertext Transfer Protocol Secure), erkennbar an einem Schloss-Symbol in der Adressleiste des Browsers, um Daten zwischen Ihrem Browser und der Website zu verschlüsseln. Cyberkriminelle haben dies jedoch erkannt, und einige Phishing-Websites nutzen HTTPS, um sich als sicher darzustellen. HTTPS ist zwar ein gutes Zeichen, aber kein absoluter Schutz. Berücksichtigen Sie immer auch andere Faktoren wie die E-Mail-Quelle, die URL und den Kontext der Nachricht.
URL-Kürzer wie bit.ly oder tiny.url werden häufig in Social-Media-Posts oder E-Mails verwendet, um lange URLs zu verkürzen. Obwohl sie für legitime Zwecke nützlich sind, verschleiern sie auch das eigentliche Ziel des Links. Deshalb nutzen Phishing-Angreifer sie oft, um schädliche URLs zu verbergen. Wenn Sie eine gekürzte URL erhalten, insbesondere in unerwünschten Nachrichten, sollten Sie diese auf keinen Fall anklicken. Sie können URL-Expander wie CheckShortURL.com verwenden , um den vollständigen Link anzuzeigen, bevor Sie entscheiden, ob Sie die Website besuchen.
Eine weitere Methode von Phishern ist die Erstellung von URLs mit legitimen Firmennamen, die in Subdomänen eingebettet sind. Ein Phishing-Link könnte beispielsweise wie „login.microsoft.com.attacker.com“ aussehen, um Sie glauben zu machen, es handele sich um eine Microsoft-Website. Achten Sie daher immer genau auf den tatsächlichen Domänennamen (in diesem Fall „attacker.com“) und seien Sie vorsichtig bei unerwarteten Subdomänen. Seriöse Organisationen verwenden selten komplizierte Subdomänen für Anmeldeseiten oder offizielle Mitteilungen. Wenn Sie eine ungewöhnlich lange URL mit zusätzlichen Zeichen sehen, handelt es sich wahrscheinlich um einen Phishing-Versuch.
Nachrichten, die Dringlichkeit suggerieren – etwa die Drohung, Ihr Konto zu schließen, oder die Warnung vor einem Datenleck – sollen Sie zu unüberlegten Handlungen verleiten. Auch emotionale Appelle, die Sie direkt ansprechen, können eine perfide Methode sein, Sie zu einer unüberlegten Reaktion und einem Klick zu bewegen. Selbst ein „Gefällt mir“-Button in einer E-Mail kann Schadcode enthalten. Dasselbe gilt für Abmeldelinks. Reagieren Sie niemals überstürzt auf E-Mails. Überprüfen Sie immer die Seriosität des Absenders, bevor Sie auf einen Link in solchen Nachrichten klicken.
Wenn Sie eine unerwartete E-Mail mit Anhang oder Link erhalten, selbst von einem bekannten Kontakt, kontaktieren Sie den Absender, bevor Sie darauf klicken. Dessen E-Mail-Konto könnte kompromittiert worden sein, und Sie könnten Opfer eines beliebten Hackerangriffs werden – dem Business Email Compromise (BEC) -Angriff. Kontaktieren Sie den Absender nicht per E-Mail, sondern rufen Sie ihn an oder schreiben Sie ihm eine SMS. Versuchen Sie alles, um ihn zu erreichen, außer per E-Mail, da der Hacker möglicherweise Zugriff auf sein E-Mail-Postfach hat.
Phishing-E-Mails verwenden oft vage Begrüßungen wie „Sehr geehrter Kunde“, anstatt Sie mit Namen anzusprechen. Dies ist ein Warnsignal dafür, dass der Absender wahrscheinlich keinen Zugriff auf Ihre persönlichen Daten hat.
Denken Sie daran: Phishing-E-Mails sind die bevorzugte Angriffsmethode von Hackern. Es kostet sie wenig, unglaublich komplizierte und überzeugende E-Mails an Millionen von Menschen zu versenden. Sie hoffen inständig darauf, dass Sie unüberlegt und schnell auf ihre Angriffe reagieren. Seien Sie wachsam, misstrauisch und prüfen Sie immer die Links und Absender von E-Mails, bevor Sie etwas anklicken. Was aber, wenn Sie versehentlich geklickt haben? Da dies vorkommen kann, erfahren Sie hier, was Sie in diesem Fall tun sollten.
Wenn Sie versehentlich auf einen Phishing-Link klicken, handeln Sie schnell, um den möglichen Schaden zu minimieren:
Wenn Malware heruntergeladen wird, kann das Trennen der Internetverbindung die Kommunikation mit einem Remote-Server verhindern. Dadurch wird verhindert, dass Ihr infizierter Computer Anweisungen des Hackers ausführt, wie z. B. Dateien verschlüsseln, Dateien an den Hacker senden oder Malware herunterladen. Das Herunterfahren Ihres Computers verhindert weitere Verschlüsselungsroutinen. Dadurch kann die IT-Abteilung im abgesicherten Modus oder von einem bootfähigen Laufwerk booten, um den Computer zu überprüfen und möglicherweise weiteren Schaden zu verhindern und die Infektion zu entfernen.
Sie verfügen über die Tools und die Überwachung, um zu untersuchen, was nach Ihrem Klick passiert ist. Sie können Ihren Computer auch auf Malware scannen, alle Beteiligten von Ihrem E-Mail-Konto abmelden, Ihre Authentifizierungsdaten zurücksetzen und vieles mehr. Genau für diesen Fall sind sie da!
Verwenden Sie Antiviren- und Antimalwaresoftware, um Ihr Gerät auf verdächtige Aktivitäten oder möglicherweise heruntergeladene Dateien zu scannen.
Wenn Sie Anmeldeinformationen eingegeben haben, ändern Sie sofort Ihre Passwörter für das kompromittierte Konto und alle anderen Konten, die dieselben Anmeldeinformationen verwenden.
Aktivieren Sie, wo immer möglich, 2FA, um Ihren Konten eine zusätzliche Sicherheitsebene hinzuzufügen und es Angreifern so zu erschweren, Zugriff zu erhalten.
Passkeys sind einzigartige kryptografische Schlüssel, die nur zum Entsperren Ihres Kontos auf einer Website funktionieren. Dadurch sind sie noch besser als herkömmliche komplexe Passwörter und Multifaktor-Authentifizierung, die gestohlen bzw. umgangen werden können. Das macht Passkeys zu einem leistungsstarken Werkzeug zur Abwehr von Hackerangriffen.
Nachdem Sie nun wissen, wie Sie Phishing-Angriffe erkennen und vermeiden, sollten Sie diese Fähigkeiten mit Phishing-Simulationen üben. Jeder Wissensarbeiter in Ihrem Unternehmen sollte diese Fähigkeiten trainieren. Wie bei der körperlichen Fitness müssen Sie und Ihre Mitarbeiter diese Tipps kontinuierlich üben, um ein gutes Muskelgedächtnis aufzubauen. Wer nicht trainiert, verliert die Form. Wer nicht mehr Phishing-Simulationen übt, wird einen schwerwiegenden Fehler begehen – oder einer Ihrer Mitarbeiter. Melden Sie sich für eine positive, lehrreiche Phishing-Simulation an, die gutes Verhalten wie das sorgfältige Prüfen von E-Mails und das Nichtreagieren darauf lehrt und belohnt. Vermeiden Sie Phishing-Tests, die schlechtes Verhalten wie das Klicken auf gefälschte Links bestrafen, aber die Endbenutzer nicht ausreichend darüber aufklären, worauf sie achten sollten.
CyberHoot bietet Ihnen genau die Lösung, die Sie benötigen, um die Cyberkompetenz Ihrer Mitarbeiter zu stärken. Wir schulen sie, testen ihre Leistungen und belohnen sie quartalsweise und jährlich für vorbildliches Inspektionsverhalten.
Phishing-Angriffe entwickeln sich ständig weiter, und Cyberkriminelle werden immer besser darin, schädliche Links als legitim erscheinen zu lassen. Mit den Ratschlägen und Expertentipps in diesem Artikel können Sie jedoch das Risiko, Opfer eines Phishing-Betrugs zu werden, deutlich verringern. Seien Sie wachsam und schützen Sie sich besser.
Sie möchten sich noch nicht anmelden, aber mehr erfahren? Nehmen Sie an unserem monatlichen Webinar teil, um eine Demo von CyberHoot zu sehen, Fragen zu stellen und Neuigkeiten zu erfahren.
Entdecken und teilen Sie die neuesten Trends, Tipps und Best Practices zur Cybersicherheit – sowie neue Bedrohungen, vor denen Sie sich in Acht nehmen sollten.
Autorin: Katie Boquetti | Leitartikel: Craig Taylor Leitartikel von Craig Taylor: „Macht korrumpiert oft …“
Weiterlesen
Autorin: Katie Boquetti | Redaktion: Craig Taylor Redaktionelle Mitteilung von Craig Taylor: Seit Jahren trainieren wir...
Weiterlesen
Die meisten Phishing-Tests täuschen Ihre Mitarbeiter. Dieser hier begrüßt Sie zuerst! HootPhish sagt gleich zu Beginn: Das ist...
WeiterlesenBehalten Sie die menschlichen Risiken im Blick – mit dem positiven Ansatz, der herkömmlichen Phishing-Tests überlegen ist.
