Google tut sehr viel für den Schutz der eigenen Nutzer und hat nicht nur unzählige Maßnahmen für die eigene Infrastruktur, sondern auch auf Nutzerebene umgesetzt. Dazu gehört auch, dass die Sicherheitssysteme vermeintliche Angriffe erkennen und den Nutzer vor einer Unachtsamkeit bewahren. Doch das ist nicht ganz so leicht, denn die gesamte Philosophie hinter diesen Angriffen hat sich mittlerweile geändert, wie ein hochrangiger Google-Produktmanager nun in einem Interview erklärt.
Die Posteingänge der Nutzer werden tagtäglich mit Milliarden von Spam E-Mails bombardiert, die zu einem großen Teil allerdings von den Spamfiltern der diversen Mail-Anbieter herausgefiltert werden und so für die meisten gar nicht erst sichtbar sind. Doch dieses seit langer Zeit lohnenden Geschäftsmodell ist mittlerweile ein Auslaufmodell und wird zunehmend durch lohnendere Modelle ersetzt – die für den einzelnen Nutzer aber sehr viel schwerer zu durchschauen sind.
Ein hochrangiger Produktmanager aus Googles Sicherheitsabteilung hat in einem Interview sehr interessante Einblicke in das Geschäftsgebaren der Spam- und Phishing-Branche gegeben. Der Versand von Millionen E-Mails ist zwar noch immer lohnenswert, aber die Effektivität hat längst abgenommen. Auch Phishing-Mails dürften bei dieser Masse noch immer zu Erfolgen führen, müssen aber auch immer aufwendiger gestaltet werden, damit die durch die starken Filter der Mailprogramme kommen.
Mittlerweile sind vor allem die Phisher dazu übergegangen, einzelne Personen zielgerichtet anzusprechen. Durch einfache Recherchen in den Sozialen Netzwerken können im Handumdrehen Informationen ermittelt werden, die dann in den E-Mails verwendet werden, um das Vertrauen des Nutzers zu gewinnen. Dadurch wird zum einen eine Vertrauensbasis und zum anderen vielleicht auch noch ein Grund für die Freigabe der Daten geliefert – inklusive natürlich des gefälschten Absenders.
What does work is taking your name out of a hat wherever I find it, going to your LinkedIn page, and finding a few facts about you, maybe doing a little search and getting some other information, and then saying, “Dear Casey, you may remember that we met a few weeks ago at Vox Media, and at the time you had promised to tell me your Social Security number and then it just slipped your mind. Can you please remind me?” I take it to the absurd, but you can imagine how you could do something that’s much closer, like, “Hey, I’m going to meet up with you. Remind me your mother’s maiden name?”
Das klingt nun sehr aufwendig, aber diese 10 Minuten Arbeit für die Recherche und das Anpassen der E-Mail ist sehr viel lohnenswerter als der Versand von Hunderttausenden E-Mails. Dazu kommt, dass diese Art von E-Mails nur sehr schwer bis gar nicht von den Spam- und Phishing-Filtern erkannt werden können. Der Absender ist unbekannt, der Text ist für jeden Nutzer separat angepasst und die Informationen werden direkt per E-Mail und nicht über eine gefälschte Webseite abgefragt.
Problematisch wird das vor allem dann, wenn solche E-Mails auf geschäftlicher Ebene kursieren. Wer eine E-Mail mit dem Absender aus der Chef-Abteilung bekommt, wird das Abfragen von Daten vielleicht nicht so sehr hinterfragen wie bei privaten E-Mails – der Schaden kann aber ungleich größer werden. Durch die gezielte Recherche nach Personen ist auch schon vor dem Versand eine Wahrscheinlichkeit zu ermitteln, wie viel bei einer Person zu holen ist. Die vielen Social Network-Beiträge machen das leicht.
Ich persönlich bin zwar noch nicht von solch einem Angriff betroffen gewesen und kenne auch sonst niemanden, aber mir fällt schon seit längerer Zeit auf, dass die Anzahl der Spam-Mails sehr stark zurückgegangen ist. Könnte wohl an der hier angesprochenen Änderung des „Geschäftsmodells“ liegen.
Das vollständige Interview mit weiteren Einblicke findet ihr in der Quelle bei The Verge.