Phisher und Spammer wollen möglichst viel über ihre potentiellen Opfer lernen, um Attacken so zielgerichtet wie möglich gestalten zu können. Websites, die E-Mail-Adressen für die Zurücksetzung von Passwörtern oder als Kennung für den Login verwenden, könnten Angreifern nach einer neuen Studie von Blue Security die Generierung von persönlichen Profilen ermöglichen.
Dazu werden bekannte E-Mail-Adressen automatisiert in Formulare eingegeben und die Antwort der Site ausgewertet. So lässt sich feststellen, ob ein Anwender bei einer Website registriert ist. Durch die Vielzahl der Versuche auf unterschiedlichsten Präsenzen können Angreifer so ein persönliches Profil erstellen. Dazu ist es für die Hacker nicht einmal notwendig, die vollständigen Daten für den Login herauszufinden.
„Stellen sie sich vor, jemand kennt alle Seiten, auf denen sie sich jemals registriert haben“, so Eran Reshef, CEO von Blue Security. „Überlegen sie sich, was man daraus ableiten kann“, erklärt Reshef die Vorgehensweise der Angreifer.
„Phishing-Attacken sind in der letzten Zeit sehr viel personalisierter und zielgerichteter geworden“, so Dave Jevans, Chairman der Anti Phishing Working Group. Solche Nachrichten enthalten laut Evers inzwischen den Namen oder weitergehende persönliche Daten. Durch die zunehmende Personalisierung steige auch die Erfolgsquote der Angriffe.
Noch ist dieses Verfahren laut Blue Security nicht sehr verbreitet und viele große US-Websites wie Ebay seien gegen die Angriffe gewappnet. So funktioniere dort die Authentifizierung und auch das Zurücksetzen von Passwörtern nicht über die E-Mail-Adresse, sondern einen frei wählbaren Nutzernamen. Dadurch wird das Profiling unmöglich gemacht. Zudem seien die Antworten beim Zurücksetzen des Passworts so formuliert, dass daraus nicht hervorgeht, ob die jeweilige ID auf der Website gültig ist oder nicht. Doch haben längst nicht alle Sites vorgebaut. Insbesondere bei kleineren Präsenzen werde häufig die E-Mail-Adresse als ID verwendet.
Trotz der noch geringen Verbreitung dieser Methode ruft Dave Jevans von der Anti Phishing Working Group zum Handeln auf. „Ich glaube die Forschungsergebnisse sind real. Sie können ihre Site entsprechend gestalten und sie sollten das auch tun“, rät Jevans.
Über drei Millionen Angriffsversuche unter Deckmantel von Minecraft / YouTube-Star Mr. Beast als prominenter Köder
Die Prognose für die Anfahrt bezieht das Verkehrsaufkommen, die Stellplatzverfügbarkeit sowie die Lenk- und Ruhezeiten…
Unternehmen können mit Casebase Portfolio an Daten- und KI-Anwendungsfällen organisieren.
Smart-TV oder Saugroboter: Nutzer schützen ihre smarten Heimgeräte zu wenig, zeigt eine repräsentative BSI-Umfrage.
Im Benchmark erreicht der neue Core Ultra 200V eine Laufzeit von 14 Stunden. Intel tritt…
Jeder dritte hält sich damit für unsichtbar. Wie widersprüchlich unser Datenschutzverhalten oft ist, zeigt eine…