LinkedIn gilt als eines der größten webbasierten sozialen Netzwerke zur Pflege bestehender Geschäftskontakte. Das Business-Netz ermöglicht es seinen Nutzern, neue Geschäftsverbindungen aufzubauen unter Verwendung persönlicher Informationen, wie einem Lebenslauf mit Angaben zu beruflichen Stationen, der Ausbildung, besonderen Interessen und einem persönlichen Foto. Dadurch aber stellen Nutzer unabsichtlich eine Auswahl persönlicher und sensibler Informationen zur Verfügung, die Kriminelle zu ihrem Vorteil nutzen können. Um so schlimmer, da LinkedIn mit über 500 Millionen registrierten Nutzern in mehr als 200 Ländern zu den 50 meistaufgerufenen Websites gehört.
Kriminelle profitieren vom hohen Maß an Vertrauen, das mit der Online-Plattform verbunden ist, um böswillige Angriffe auf die Nutzer durchzuführen. Die Methode ist immer ähnlich: sie versenden gefälschte Nachrichten, die für die ahnungslosen Nutzer den echten LinkedIn Benachrichtigungen täuschend ähnlich ausschauen, da sie den offiziellen Namen und das Firmenlogo tragen. So gelangen neben den echten Nachrichten auch gefälschte mit der Betreffzeile ‚LinkedIn‘ in den Posteingang. Diese Angriffe sind auch deshalb so erfolgreich, da sie personalisiert auf das Ziel zugeschnitten sind und gestalterisch ebenfalls überzeugen. Sie enthalten in der Regel bösartige Links, die nach dem Anklicken auf gefälschte Webseiten führen, über die weitere private Daten des Opfers gestohlen werden können. Diese Phishing-Angriffe sind im Augenblick die beliebteste Angriffsmethode. Ein typischer Angriff sieht so aus.

Folgende Zeilen erreichen den LinkedIn User:

• Sie müssen Ihre LinkedIn-Profildatensätze aktualisieren, um Ihre Sicherheit bei der Nutzung des online-Dienstes zu gewährleisten. Klicken Sie Hier
• Die Nichteinhaltung kann sich auf Ihre Zukunft auswirken
• LinkedIn Online-Zugriff.

• Wir empfehlen Ihnen, die folgenden Maßnahmen zu ergreifen, um Ihr Konto zu schützen. LinkedIn Service

• Wenn dieser Prozess nicht innerhalb von 24-48 Stunden durchgeführt wird. Wir werden gezwungen, Ihren Konto Online-Zugang zu sperren, da es für betrügerische Zwecke verwendet werden kann
• @LinkedIn
  Datenschutzerklärung Für LinkedIn ™ 2019“

Im aktuellen Q2 Phishing Report von KnowBe4, dem Anbieter der größten Security Awareness Schulungs- und Phishing-Simulations-Plattform, wurde herausgefunden, dass 56 Prozent der Betreffzeilen den Begriff ‚LinkedIn‘ enthielten – mehr als alle anderen Social Media Phishing-E-Mails zusammen. Dies lässt sich im Jahr 2019 mit einer bemerkenswerten Wachstumsrate von 75 Prozent bei Social Media-Phishing erklären. Dieser Anstieg, in Kombination mit Problemen der Schatten-IT, hindern die IT-Sicherheitsabteilungen daran, von Anwendern genutzte Social Media Apps auf Smartphones zu überwachen. „Menschen lieben es, sich auf diesen Plattformen mit Kollegen oder Geschäftspartnern zu verbinden, um Ideen und Informationen auszutauschen. Dadurch lassen sich neue Jobs oder ehemalige Kollegen finden und Karriereperspektiven verbessern. Dies verdeutlicht, warum Social Media Phishing-Angriffe im Zusammenhang mit vertrauenswürdigen und geschäftsorientierten Diensten wie LinkedIn so erfolgreich sind“, erklärt Jelle Wieringa, Security Awareness Advocate bei KnowBe4. „Nutzer neigen dazu, ihren ‚verifizierten‘ Kontakten zu vertrauen, ohne darüber nachzudenken, wodurch die Chancen hoch sind, dass sie auf einen Link klicken, der angeblich von einem dieser vertrauenswürdigen Kontakte gesendet wurde.“

Außer der Untersuchung von Phishing-E-Mails mit Social Media-Betreffzeilen, sind auch Phishing-Tests, die sich auf Passwortverwaltung konzentrierten, sehr erfolgreich. Immerhin 35 Prozent der Benutzer klickten die Links in den Test-E-Mails an. Darüber hinaus hatten ‚In-the-Wild-Angriffe‘ – also echte Phishing-E-Mails statt simulierten – den größten Erfolg, wenn sie den Empfänger um konkrete Maßnahmen baten, wie die Freigabe eines Outlook-Kalenders oder die Zuweisung einer Aufgabe auf einer Microsoft-Plattform.

Die von KnowBe4 identifizierten Social Media Phishing-Tests mit den höchsten Öffnungsraten sind:

• LinkedIn: 56%
• Anmeldealarm für Chrome auf Motorola Moto X: 9%
• Jahrestag und Pizza-Party: 8%
• Dein Freund hat ein Foto von dir markiert: 8%
• Facebook Passwort-Rückstellungs-Verifizierung: 8%
• Dein Passwort wurde erfolgreich zurückgesetzt: 6%
• Neue Sprachnachricht um 1:23 Uhr: 5%

Die Angriffe auf Social-Media-Accounts sind im vergangenen Jahr um 43 Prozent gestiegen, wobei Social-Media-Phishing-Angriffe sogar um 75 Prozent zugenommen haben. Es ist offensichtlich, dass Unternehmen dies ernst nehmen und einen Abwehrmechanismus gegen diese Angriffe installieren müssen. Neben der Standard-Firewall, sind Mitarbeiter die letzte Verteidigungslinie eines Unternehmens und sie sind dann am erfolgreichsten, wenn sie kontinuierlich geschult und auf die neuesten Phishing-Bedrohungen vorbereitet werden. Sie bilden eine sogenannte ‚Human Firewall‘, die das Sicherheitssystem des Unternehmens weiter unterstützt.

Beispielsweise sollten die Angestellten wissen, wie sie Social Engineering und Phishing erkennen können, was sie tun müssen, falls sie darauf stoßen, und welche Gegenmaßnahmen einzuleiten sind. Unternehmen sollten überlegen, wie sie Mitarbeiter bezüglich dieser Bedrohungen und Risiken kontinuierlich sensibilisieren können. Es gibt spezielle Antiphishing-Programme, die Unternehmen zur Beseitigung dieser Sicherheitsrisiken und Bedrohungen nutzen können, wie simulierte Phishing-Emails, PhishER, PhishML usw. Bei PhishML handelt es sich um ein Modul innerhalb der PhishER-Plattform von KnowBe4. Es setzt maschinelle Lernverfahren und Algorithmen ein, vereinfacht, beschleunigt und erhöht zugleich die Präzision bei der Priorisierung verdächtiger Nachrichten. Darüber hinaus ist der neue Social Media Phishing Test (SPT) ein kostenloses IT-Sicherheits-Tool, mit dem Unternehmen feststellen können, welche Benutzer in ihrer Umgebung anfällig für diese Art von Phishing-Angriffen sind. SPT gibt Firmen einen schnellen Überblick, wie viele Benutzer zum Opfer werden könnten, damit sie Maßnahmen ergreifen können, um die Mitarbeiter zu schulen und das Unternehmen besser vor Social Media Phishing-Angriffen zu schützen.

Fazit

Viele Nutzer sind auf Social Media-Plattformen (Facebook, LinkedIn und Twitter) aktiv. Kriminelle nutzen diese wiederrum, um Profilinformationen der Benutzer und der Unternehmen zu sammeln, damit jene gezielte Speer-Phishing-Kampagnen erstellen können, um Konten zu übernehmen, den Ruf des Unternehmens zu schädigen oder Zugang zu dessen Netzwerk zu erhalten. Deshalb ist bei E-Mails von LinkedIn besonders große Vorsicht angebracht.