Schlagwort: Zugangsdaten

  • CARMAO gibt Handlungsempfehlungen: Die Identität nicht verlieren

    CARMAO gibt Handlungsempfehlungen: Die Identität nicht verlieren

    Identitätsdiebstahl nimmt zu: So kann das Risiko des Raubs von Liquidität, Ruf und Kreditwürdigkeit eingedämmt werden

    Limburg a.d. Lahn, 11. November 2021 – Die Kriminalpolizei klingelt Klaus Wilke am Morgen des 19. Juli 2018 aus dem Bett. Durchsuchungsbeschluss. Die Beschuldigung: gewerbsmäßiger Betrug. Dann geht alles ganz schnell: Die Polizei beschlagnahmt sämtliche Rechner, Telefone und Datenträger – und das für 15 Monate. Die Folge: Klaus Wilke verliert seine berufliche Existenz. Denn zuvor verlor er seine Identität. Er ist Opfer von Identitätsdiebstahl. Die CARMAO GmbH ( www.carmao.de), Spezialist für Unternehmensresilienz, gibt Handlungsempfehlungen, wie Identitätsdiebstahl vorgebeugt werden kann.

    Die Polizei beschuldigt Klaus Wilke des gewerbsmäßigen Betrugs und konfisziert bei einer nächtlichen Durchsuchung alle geschäftsnotwendigen technischen Utensilien und Kommunikationsmittel. Im Verlauf des Verhöres bei einer Vorladung wird deutlich, dass unter seinem Namen ein Konto bei der Fidor-Bank eröffnet und für den Geldfluss der betrugsmäßig eingenommenen Umsätze verwendet worden war. Damit stellt sich heraus: Klaus Wilke ist unschuldig und Opfer eines Identitätsdiebstahls. Obwohl die Kriminalpolizei ihm Glauben schenkte, reichte dies nicht aus, um die Anzeige fallen zu lassen.

    Der Vorfall bedeutete für Klaus Wilke das Worst-Case-Szenario: der Familienvater von drei Kindern hatte monatelang keinen Zugriff auf sämtliche Kunden- und Lieferantendaten. Durch die monatelange Konfiszierung seiner Utensilien durch die Staatsanwaltschaft konnte er seinem Tagesgeschäft nicht mehr nachgehen. Nach rund drei Monaten waren sämtliche Kunden abgesprungen. Die Selbstständigkeit von Klaus Wilke war zerstört. Er stand kurz vor dem wirtschaftlichen Ruin.

    Identitätsdiebstahl nimmt zu
    Klaus Wilke und das Unternehmen CARMAO beleuchten den Fall im Rahmen einer Veranstaltung am 18. November um 17 Uhr zum Thema „Identitätsdiebstahl“ ( https://www.carmao.de/kamingespraech-211118). Klaus Wilke berichtet von seinen Erfahrungen und gibt gemeinsam mit den Experten von CARMAO Handlungsempfehlungen, wie Identitätsdiebstahl vorgebeugt werden kann. Dieser Fall steht stellvertretend für zahlreiche andere dieser Art, denn Identitätsdiebstahl zählt zu größten Cybergefahren. So versuchen zum Beispiel laut dem Bundesamt für Sicherheit in der Informationstechnik (BSI) Online-Verbrecher zunehmend in sozialen Netzwerken bestehende Nutzer-Accounts zu hacken, um diese Identitäten für ihre Betrügereien zu nutzen.

    Ulrich Heun, Geschäftsführer der CARMAO GmbH, erklärt: „Straftäter, die Identitätsdiebstahl begehen, sind grundsätzlich an allen Arten von Zugangsdaten interessiert. Die Daten werden von ihnen gesammelt, um im nächsten Schritt quasi Geschäftsmodelle für deren illegale Verwendung zu entwickeln. Die Folge sind zum Beispiel unberechtigte Verfügungen und Manipulationen im Internet – natürlich zum eigenen Vorteil und zu Lasten Dritter.“

    BKA-Sicherheitsempfehlungen zur Prävention
    Wie dem Identitätsdiebstahl vorgebeugt werden kann, zeigen unter anderem Sicherheitsempfehlungen des Bundeskriminalamtes. Das BKA empfiehlt dazu verschiedene Präventationsmaßnahmen. Zu ihnen zählen unter anderem regelmäßige Aktualisierungen der Soft- und Firmware, Benutzerkonto mit eingeschränkten Rechten, Datensicherungen auf externen Datenträgern, Überprüfungen mit Anti-Viren-Software, Bank-Transaktionen mit Zwei-Faktoren-Authentifikation sowie das Öffnen von Anhängen aus ausschließlich vertrauenswürdigen Quellen.

    Ulrich Heun sagt: „Digitale Endgeräte sollten möglichst nicht mit öffentlichen Hotspots verbunden werden. Darüber hinaus empfiehlt es sich, bei Nicht-Nutzung drahtlose Verbindungen und GPS zu deaktivieren. Auch Websites unseriöser Anbieter sowie das Anklicken von Werbebannern sollte vermieden werden. Und durch den konsequenten Gebrauch effektiver Passwörter können Geräte und Nutzer-Accounts für Außenstehende und damit auch für potenzielle Straftäter gesperrt werden.“

    CARMAO ist darauf spezialisiert, Unternehmen durch Beratung, Projektdurchführungen, Dienstleistungen und Seminare zu Resilienz und Sicherheit zu verhelfen.

    Die 2003 gegründete CARMAO GmbH mit Hauptsitz in Limburg a. d. Lahn bietet Beratung, Projektdurchführungen, Dienstleistungen und Seminare an. Die Schwerpunkte liegen dabei in den Bereichen Unternehmensresilienz bzw. organisationale Resilienz nach ISO 22316, Informationssicherheit, Risikomanagement, Business Continuity Management (BCM), Datenschutz und Compliance, Sicherheit im Datacenter u. v. m. Der Leistungsumfang erstreckt sich von der Business-Analyse und Marktforschung über die Lösungsentwicklung und -implementierung bis zum Kompetenztransfer durch die Schulungsangebote „CARMAO Qualifications“.

    CARMAO befähigt Unternehmen unter anderem dazu, eine organisationale Widerstandsfähigkeit aufzubauen und dabei die Möglichkeiten der Digitalisierung sicher und flexibel zu nutzen. Zum Kundenstamm gehören öffentliche Verwaltungen, Konzerne, kleine und mittelständische Unternehmen unterschiedlicher Branchen. www.carmao.de

    Firmenkontakt
    CARMAO GmbH
    Ulrich Heun
    Walderdorffer Hof / Fahrgasse 5
    65549 Limburg
    +49 (0)6431 2196-0
    kontakt@carmao.de
    http://www.carmao.de

    Pressekontakt
    punctum pr-agentur GmbH
    Ulrike Peter
    Neuer Zollhof 3
    40221 Düsseldorf
    +49 (0)211-9717977-0
    pr@punctum-pr.de
    http://www.punctum-pr.de

    Die Bildrechte liegen bei dem Verfasser der Mitteilung.

  • 15 Milliarden Zugangsdaten frei im Netz zugänglich

    15 Milliarden Zugangsdaten frei im Netz zugänglich

    Zahl der exponierten Benutzer-Passwort-Kombinationen hat sich in den letzten zwei Jahren verdreifacht

    Frankfurt, 8. Juli 2020 – Ein neuer Report von Digital Shadows hat die Ausmaße von geleakten Logindaten im Zusammenhang mit Kontoübernahmen (ATO) untersucht. Dabei fanden die Threat Intelligence-Experten mehr als 15 Milliarden Benutzer-Passwort-Kombinationen, die auf cyberkriminellen Marktplätzen gehandelt werden – viele davon im Dark Web.

    Damit ist die Zahl der gestohlenen und offengelegten Zugangsdaten seit 2018 um rund 300% gestiegen. Die kompromittierten Daten stammen aus mehr als 100.000 unterschiedlichen Verstößen gegen Datenschutzbestimmungen, Cyberhacks und anderen Datenleaks. Insgesamt 5 Milliarden der aufgedeckten Logindaten sind als „unique“ eingestuft und wurden damit erstmals und einmalig auf einem Marktplatz zum Verkauf angeboten.

    Die Mehrzahl der exponierten Daten betrifft Privatpersonen und Verbraucher und umfasst Benutzernamen und Passwörter von diversen Kundenaccounts – angefangen bei Bankkonten bis hin zu Streamingdiensten wie Netflix oder Spotify. Viele der Kontodaten sind kostenlos auf einschlägigen Foren erhältlich oder werden zu Spottpreisen verkauft. Durchschnittlich kostet der Zugang zu einem Konto 13,68 Euro. Bei Konten von Banken, Bezahldiensten und anderen Finanzdienstleistern, die bei einem erfolgreichen Zugriff mit einem höheren Gewinn winken, liegt der Preis mit 62,86 Euro deutlich höher. Über dem Durchschnittspreis liegen auch Zugangsdaten für Antivirenprogramme mit 19,21 Euro. Für unter 10 Euro können Cyberkriminelle auf fremde Konten bei Streamingdiensten, Social Media-Profilen, virtuelle private Netzwerke (VPNs) und Webseiten mit pornographischen Inhalten zugreifen.

    „Allein in den letzten 18 Monaten hat das Photon Research Team von Digital Shadows etwa 27,3 Millionen Benutzer-Passwort-Kombinationen bei unseren Kunden identifiziert“, erklärt Stefan Bange, Country Manager DACH von Digital Shadows. „Natürlich folgt nicht auf jedes geleakte Login auch ein erfolgreicher Cyberangriff. Trotzdem enthalten viele dieser Konten personenbezogene und sehr sensible Informationen, die von Cyberkriminellen ausgenutzt werden können – sei es für Phishing, Social Engineering, Extortion oder das Infiltrieren des Netzwerks. Das Risiko für den Einzelnen ist groß, aber auch Organisationen und Unternehmen sind direkt und indirekt über ihre Mitarbeiter und Kunden betroffen.“

    Die Analysten fanden insgesamt zwei Millionen E-Mail-Adressen und Benutzernamen, die mit Schlüsselabteilungen von Unternehmen (z. B. „Buchhaltung“, „Controlling“) in Verbindung stehen. Darüber hinaus entdeckte Digital Shadows zu Verkauf stehende Domain Admins, die je nach Unternehmensgröße und Branche einen Preis zwischen 500 und 120.000 Euro erzielen. Inwiefern diese sicherheitskritischen Zugangsdaten aktuell und valide sind, lässt sich schwer beurteilen. Auf der Liste der Domain Admins finden sich jedoch sowohl große Konzerne und Global Player als auch unterschiedliche staatliche Behörden und Regierungsstellen.

    „Die Wahrheit ist, dass es für Cyberkriminelle noch nie so einfach war, das Konto von Anwendern zu hacken. Brute-Force-Cracking-Tools und Account Checker sind im Dark Web schon ab 4 Euro erhältlich. Zudem beobachten wir seit geraumer Zeit eine Zunahme von sogenannten „as-a-Service“-Angeboten, bei denen Kriminelle gar nicht mehr selbst tätig werden müssen, sondern sich den Zugang zu einem Konto und damit die Identität des Anwenders für weniger als 10 Euro einfach mieten können“, so Bange. „Multi-Faktor-Authentifizierung (MFA) macht ATO-Angriffe zwar schwieriger, aber nicht unmöglich. Hier sehen wir immer wieder neue Methoden, die 2FA umgehen und auf cyberkriminellen Foren diskutiert und gehandelt werden.“

    Um das Risiko von Account Takover Fraud (ATO) auf ein Minimum zu reduzieren, sollten Unternehmen bestimmte Sicherheitsmaßnahmen implementieren und eine umfassende Threat Intelligence aufbauen. Dazu gehört:

    1. Monitoring von Zugangsdaten von Mitarbeitern (z. B. über HaveIBeenPwned) sowie das Einrichten von Alerts, die über aktuellen Daten-Hacks informieren.

    2. Monitoring des Unternehmens- und Markennamens in gängigen Foren. Google Alerts beispielsweise können richtig konfiguriert Indikatoren für drohende für drohende ATO-Versuche liefern.

    3. Monitoring von Zugangsdaten von Kunden.

    4. Umfassende Abdeckung von Quellen im Open, Deep und Dark Web. In Code-Repositories wie GitHub beispielsweise finden sich öffentlich zugängliche technische Daten, die von Cyberkriminellen ausgenutzt werden können – darunter Authentifizierungsschlüssel, hartcodierte Passwörter, Code Snippets oder API-Schlüssel.

    5. Implementierung einer Online-Firewall für Webanwendungen. Kommerzielle und Open-Source-Firewalls, wie ModSecurity, helfen, Angriffe auf Zugangsdaten zu identifizieren und zu blockieren.

    6. Sicherheitsbewusstsein bei Anwendern schärfen, um das Nutzen der unternehmenseigenen E-Mail für private Konten und die Wiederverwendung von Passwörtern zu unterbinden.

    7. Beobachten von Credential Stuffing Tools. Einige Lösungen sind mittlerweile in der Lage, CAPTCHAs zu umgehen.

    8. Implementierung von Multi-Faktor-Authentifizierung ohne SMS-Token. Dabei gilt es, zwischen der höheren Sicherheit durch 2FA und eventuellen Reibungen sowie Kosten abzuwägen.

    ÜBER DIGITAL SHADOWS:
    Digital Shadows spürt ungewollt öffentlich gewordene Daten im Open, Deep und Dark Web auf und hilft so Organisationen, die hieraus resultierenden digitalen Risiken externer Bedrohungen auf ein Minimum zu reduzieren. Mithilfe von SearchLight™ können Unternehmen Datenschutzvorgaben einhalten, den Verlust von geistigem Eigentum verhindern und Reputationsschäden vermeiden. Die Lösung hilft, digitale Risiken zu minimieren, die Angriffsfläche zu reduzieren und Marken- und Unternehmensnamen zu schützen. Weitere Informationen finden Sie im Internet unter www.digitalshadows.com/de

    Firmenkontakt
    Digital Shadows
    Stefan Bange
    c/o Lucy Turpin Communications GmbH, Prinzregentenstr. 89
    81675 München
    089 417761 0
    Stefan.Bange@digitalshadows.com
    https://www.digitalshadows.com/

    Pressekontakt
    Lucy Turpin Communications GmbH
    Sabine Listl
    Prinzregentenstrasse 89
    81675 München
    089 41776116
    digitalshadows@lucyturpin.com
    http://www.lucyturpin.com

    Die Bildrechte liegen bei dem Verfasser der Mitteilung.