Profiling soll Phishern noch gezieltere Angriffe ermöglichen

Phisher und Spammer wollen möglichst viel über ihre potentiellen Opfer lernen, um Attacken so zielgerichtet wie möglich gestalten zu können. Websites, die E-Mail-Adressen für die Zurücksetzung von Passwörtern oder als Kennung für den Login verwenden, könnten Angreifern nach einer neuen Studie von Blue Security die Generierung von persönlichen Profilen ermöglichen.

Dazu werden bekannte E-Mail-Adressen automatisiert in Formulare eingegeben und die Antwort der Site ausgewertet. So lässt sich feststellen, ob ein Anwender bei einer Website registriert ist. Durch die Vielzahl der Versuche auf unterschiedlichsten Präsenzen können Angreifer so ein persönliches Profil erstellen. Dazu ist es für die Hacker nicht einmal notwendig, die vollständigen Daten für den Login herauszufinden.

„Stellen sie sich vor, jemand kennt alle Seiten, auf denen sie sich jemals registriert haben“, so Eran Reshef, CEO von Blue Security. „Überlegen sie sich, was man daraus ableiten kann“, erklärt Reshef die Vorgehensweise der Angreifer.

„Phishing-Attacken sind in der letzten Zeit sehr viel personalisierter und zielgerichteter geworden“, so Dave Jevans, Chairman der Anti Phishing Working Group. Solche Nachrichten enthalten laut Evers inzwischen den Namen oder weitergehende persönliche Daten. Durch die zunehmende Personalisierung steige auch die Erfolgsquote der Angriffe.

Noch ist dieses Verfahren laut Blue Security nicht sehr verbreitet und viele große US-Websites wie Ebay seien gegen die Angriffe gewappnet. So funktioniere dort die Authentifizierung und auch das Zurücksetzen von Passwörtern nicht über die E-Mail-Adresse, sondern einen frei wählbaren Nutzernamen. Dadurch wird das Profiling unmöglich gemacht. Zudem seien die Antworten beim Zurücksetzen des Passworts so formuliert, dass daraus nicht hervorgeht, ob die jeweilige ID auf der Website gültig ist oder nicht. Doch haben längst nicht alle Sites vorgebaut. Insbesondere bei kleineren Präsenzen werde häufig die E-Mail-Adresse als ID verwendet.

Trotz der noch geringen Verbreitung dieser Methode ruft Dave Jevans von der Anti Phishing Working Group zum Handeln auf. „Ich glaube die Forschungsergebnisse sind real. Sie können ihre Site entsprechend gestalten und sie sollten das auch tun“, rät Jevans.