Im Sommer wurde bekannt, dass der börsennotierte Automobilzulieferer Leoni Opfer eines Fake-President-Betrugs geworden war. Seither haben die Medien das Thema mehrfach aufgegriffen und in vielen Finanzabteilungen ist ein Bewusstsein für die Gefahr durch diese Betrugsmasche entstanden. Dadurch sind natürlich die Chancen gesunken, dass die Kriminellen mit ihrem Konzept Erfolg haben. Erhöhte Sicherheitsmaßnahmen in den Finanzabteilungen der Unternehmen, wie beispielsweise eine mehrstufige Authentifizierung von Überweisung zusammen mit einem vier Augen Prinzip und gesteigerter Wachsamkeit der Mitarbeiter, machen den Betrügern das Leben schwer.
Jetzt haben sie sich jedoch offenbar etwas Neues einfallen lassen und die klassische Masche an das neue Gefahrenbewusstsein angepasst, wie der CEO des Kreditversicherers Euler Hermes, Ronald van het Hof, auf seinem Blog berichtet. Das Opfer ist auch diesmal wieder ein börsennotierter Konzern, die Beute ist allerdings mit 900.000 Euro deutlich geringer ausgefallen.
Die ersten Schritte verliefen auch im aktuellen Fall noch ganz klassisch: In einer E-Mail wurde eine Buchhalterin dazu aufgefordert, eine Überweisung auf ein Auslandskonto vorzunehmen. Der vermeintliche Absender, wie bei Fake-President-Angriffen üblich, war der Chef. Bis hierhin der bekannte Ablauf. Doch danach zeigte sich, wie trickreich und raffiniert die Kriminellen inzwischen vorgehen, denn im Anschluss an die E-Mail meldete sich ein weiterer Betrüger bei der Buchhalterin und gab sich als Mitarbeiter der IT-Sicherheit aus. Es wäre ein Fake-President-Angriff im Gange und die E-Mail stamme von Kriminellen. Die Geschäftsleitung habe jedoch entschieden, dass man die Hintermänner überführen wolle und daher solle sie die Überweisung auftragsgemäß ausführen. Die Bank sei informiert, es würde kein Schaden entstehen und die Polizei hätte so die Chance, die Betrüger auf frischer Tat zu ertappen. Unnötig zu sagen, dass die Buchhalterin die Überweisung nach diesem Anruf mit reinem Gewissen ausführte.
Der Fall zeigt, dass sich zwischen den Betrügern und den Finanzabteilungen ein regelrechtes Katz-und-Maus-Spiel entwickelt hat. Kaum ist die eine Vorgehensweise bekannt, lassen sie sich schon wieder etwas Neues einfallen. Einen technischen Schutz vor der Masche, die dem Social Engineering zuzurechnen ist, gibt es nicht, denn im Gegensatz zu Viren und Trojanern wird der Mensch als Einfallstor missbraucht. Hier hilft nur Aufklärung, die Schärfung des Gefahrenbewusstseins bei allen Mitarbeitern sowie mehrstufige Authentifizierungsverfahren, die es einem einzelnen Mitarbeiter unmöglich machen, derartige Summen allein zu transferieren. Darüber hinaus können Unternehmen eine sogenannte Vertrauensschadensversicherung abschließen.
Jetzt haben sie sich jedoch offenbar etwas Neues einfallen lassen und die klassische Masche an das neue Gefahrenbewusstsein angepasst, wie der CEO des Kreditversicherers Euler Hermes, Ronald van het Hof, auf seinem Blog berichtet. Das Opfer ist auch diesmal wieder ein börsennotierter Konzern, die Beute ist allerdings mit 900.000 Euro deutlich geringer ausgefallen.
Die ersten Schritte verliefen auch im aktuellen Fall noch ganz klassisch: In einer E-Mail wurde eine Buchhalterin dazu aufgefordert, eine Überweisung auf ein Auslandskonto vorzunehmen. Der vermeintliche Absender, wie bei Fake-President-Angriffen üblich, war der Chef. Bis hierhin der bekannte Ablauf. Doch danach zeigte sich, wie trickreich und raffiniert die Kriminellen inzwischen vorgehen, denn im Anschluss an die E-Mail meldete sich ein weiterer Betrüger bei der Buchhalterin und gab sich als Mitarbeiter der IT-Sicherheit aus. Es wäre ein Fake-President-Angriff im Gange und die E-Mail stamme von Kriminellen. Die Geschäftsleitung habe jedoch entschieden, dass man die Hintermänner überführen wolle und daher solle sie die Überweisung auftragsgemäß ausführen. Die Bank sei informiert, es würde kein Schaden entstehen und die Polizei hätte so die Chance, die Betrüger auf frischer Tat zu ertappen. Unnötig zu sagen, dass die Buchhalterin die Überweisung nach diesem Anruf mit reinem Gewissen ausführte.
Der Fall zeigt, dass sich zwischen den Betrügern und den Finanzabteilungen ein regelrechtes Katz-und-Maus-Spiel entwickelt hat. Kaum ist die eine Vorgehensweise bekannt, lassen sie sich schon wieder etwas Neues einfallen. Einen technischen Schutz vor der Masche, die dem Social Engineering zuzurechnen ist, gibt es nicht, denn im Gegensatz zu Viren und Trojanern wird der Mensch als Einfallstor missbraucht. Hier hilft nur Aufklärung, die Schärfung des Gefahrenbewusstseins bei allen Mitarbeitern sowie mehrstufige Authentifizierungsverfahren, die es einem einzelnen Mitarbeiter unmöglich machen, derartige Summen allein zu transferieren. Darüber hinaus können Unternehmen eine sogenannte Vertrauensschadensversicherung abschließen.
