next generation phishing: der mittelstand im...
TRANSCRIPT
Next Generation Phishing: Der Mittelstand im Fadenkreuz
Hannover Messe – 5. April 2019Dr. Niklas Hellemann
Der Weg über den Menschen
ist hierbei offensichtlich der leichteste.
Quellen: Verizon, Mimecast, WIK
Phishing-E-Mails sind das
häufigste Einfallstor
92% aller Cyberangriffe starten
mit einer Phishing-E-Mail
92%SocialEngineering ist lukrativ
und kommt daher oft vor
74% der Unternehmen weltweit
werden mindestens einmal
jährlich Opfer einer gezielten SocialEngineering-Attacke
74%Die Angreifer geben sich
immer mehr Mühe
Gezielte Attacken wie Spear-
Phishing nehmen um über 50%
pro Quartal zu
>50%
Komplexere Angriffe nehmen immer weiter zu.
Beispiel:Spear-Phishing
Beispiel:Double Barrel
Icons made by Iconnice, Gregor Cresna, Smashicons and Freepik from www.flaticon.com
Technische Barrieren sind bei der Abwehr gezielter
Angriffe immer häufiger überfordert.
Quellen: Symantec, McAfee, Verizon
156 MioPhishing-Mails werden
täglich versandt
80% aller Mitarbeiter können differenziertePhishing-Mails nicht erkennen.
16 Miokommen durch
Spam-Filter
Filter
8 Miowerden geöffnet
Nutzer
Jede zweite Phishing-Mail wird geöffnet.
Wo geht die Reise hin?
KI wird unser Leben immer weiter erleichtern.
Text-to-Speech
Google Duplex
Natural Language Processing
+
Das Problem:
Welchem Kanal können wir noch vertrauen?
Text-to-Speech
DeepFakes / Videosynthese
+
AI News Anchor
Das Problem:
Welchem Kanal können wir noch vertrauen?
Text-to-Speech
Lyrebird.ai
Trainingsinput 2016: 5h
Trainingsinput heute: 1 Minute
Beispiel CxO-Fraud: Erhöhte Legitimierung im
Rahmen einer “Double Barrel”-Attacke.
Icons made by Iconnice, Gregor Cresna, Smashicons and Freepik from www.flaticon.com
Folge-E-Mail mit schadhafter Aufforderung
Training eines Voice-Bots mit
Stimme des CEOs
Automatisierter Anruf bei einer großen Gruppe
von Mitarbeitern
Das Training von Voice-Bots
wird künftig sehr leicht möglich sein.
Icons made by Iconnice, Gregor Cresna, Smashicons and Freepik from www.flaticon.com
Was können wir nun tun?
1Technische MethodenDetektion von Artefakten (Blinzeln) und Training von Algorithmen auf die Erkennung –Lösungen sind aber noch nicht marktfähig und immer einen Schritt zurück.
2AufklärungBreite Thematisierung und Information der Bevölkerung über den technischen Stand der KI-Entwicklung.
3Mitarbeiter-SensibilisierungRealistisches Training von Mitarbeitern hinsichtlich der richtigen Reaktion auf Phishing- und Social-Engineering-Methoden.
Unsere Plattform sensibilisiert Mitarbeiter
bereits heute für komplexe Cyber-Angriffe.
SoSafe simuliert realistische Angriffe auf
Mitarbeiter und gibt diesen Echtzeit-
Feedback
Mitarbeiter erhalten Hinweise zur
Cybersicherheit durch eine interaktive eLearning-Suite mit Micro-Content-Modulen
Firmen erhalten Transparenz zur Anfälligkeit ihrer Organisation für Phishing-
Angriffe – Mitarbeiter werden motiviert durch niederschwellige Gamification
Wie läuft die Simulation einer
Phishing-Attacke ab?
Sofortiges Feedback mit
Hinweisen zur konkreten E-MailDer Nutzer erhält auf der gleichen Infoseite
auch differenzierte Hinweise (in Form sog.
„Tooltips“), woran er die E-Mail als Phishing-
Versuch hätte identifizieren können.
Versand von E-Mails mit
typischen AngriffsszenarienDie Mitarbeiter erhalten E-Mails, wie sie
auch von echten Hackern verschickt
würden – dabei werden sie zum Klicken
von Links oder dem Download von
Dateien angeregt.
Umgehende Entwarnung und
AufklärungKlickt ein Nutzer auf einen der Links,
öffnet sich ein Browserfenster. Auf der
dann erscheinenden Seite kann z.B. Ihr
Firmenlogo eingebunden werden und der
Nutzer erhält eine Info zur Simulation.
Kurze, witzige Micro-Content-Module
vertiefen die Themen laufend im Arbeitsalltag.
Module sind in eine
übergreifende Storyline
eingebettet
Wir sehen z.T. dramatische Klickraten,
die wir aber substantiell reduzieren können.
~18% durchschnittliche
Klickrate auf alle
initial versandten
Templates (5 per
Mitarbeiter)
>70% aller Mitarbeiter
klicken mindestens
auf eines der 5 initial
versandten
Templates
74% der Mitarbeiter, die auf
eine Mail geklickt
haben, geben auch
Daten auf einer Fake-
Login-Seite ein
~59% Reduktion der
Klickraten nach
initialer
Sensibilisierung
Quelle: Kundenprojekte Q1-Q3/2018
Amateurs hack systems,
professionals hack people.
“
”Bruce Schneier,
Expert on Cryptography andInformation Security,
Harvard University
SoSafe GmbHEhrenfeldgürtel 7650823 Köln