Laut dem HR-Dienstleister Glassdoor ist der Januar der geschäftigste Monat, wenn es um Jobsuche geht. Das gilt sowohl für Arbeitgeber, die nach Talenten Ausschau halten, als auch für Profis die einen Job suchen und Mitarbeiter, die mit einem Wechsel liebäugeln. Das hat auch zur Folge, dass Bewerbungsschreiben und Lebenläufe fleißig über die entsprechenden sozialen Netzwerke, per E-Mail und über Webportale geteilt, verschickt und ausgetauscht werden.
Genau das versuchen Cyberkriminelle und Hacker inzwischen ganz gezielt auszunutzen, um Unternehmensnetzwerke zu infiltrieren. Welche Taktiken die Computerverbrecher dazu anwenden und wie sich Unternehmen schützen können, das erfahren Sie hier.
Foto: Ollyy - Di Studio - shutterstock.com
IT-Sicherheitsmaßnahmen greifen nicht
LinkedIn, Xing und Co. werden bei Hackern immer beliebter, denn die haben längst herausgefunden, dass man mit Hilfe der Karriere-Netzwerke relativ einfach die Schutzmaßnahmen der Unternehmen umgehen kann. Denn Portale wie LinkedIn und Xing werden von der Mehrzahl der Netzwerkfilter nicht geblockt. Schließlich soll unter anderem auch die Personalabteilung über die sozialen Netzwerke neue Fachkräfte akquirieren.
"Diese Art von Angriffen werden immer mehr zum Standard, weil sie einfach zu bewerkstelligen sind und nichts kosten", erklärt Chris Stephen vom Security-Anbieter Cylance. "Unternehmen haben eine Menge Geld in ihre Netzwerk-Sicherheit und Produkte investiert, die Webseiten mit schlechten Reputationswerten aufspüren. LinkedIn umgeht beide Maßnahmen".
In den USA nutzen laut einer Untersuchung von Jobvite aktuell bereits 87 Prozent der befragten Recruiter LinkedIn, wenn es darum geht, neue Kandidaten zu evaluieren. Und natürlich nutzen auch Profis, die einen Job suchen das Netzwerk: Im ersten Quartal 2016 verzeichnete LinkedIn nach eigenen Angaben rund 45 Milliarden Seitenzugriffe seiner Mitglieder.
- Splash Screens
Viele scheinbar normale Online-Transaktionen werden heutzutage von reißerischen Splash-Screens begleitet. Meldungen wie 'Securely getting your account details' oder 'setting up a secure connection' sollen ein Gefühl von gesteigerter Sicherheit vermitteln. Tun sie vielleicht sogar in manchen Fällen. Sicherer wird die Transaktion dadurch eher nicht. - Antivirus Software
Antivirus-Software alleine reicht heutzutage nicht mehr aus, um Unternehmensnetzwerke zu schützen, da sie gegen aktuelle Bedrohungen wie Ransomware oft nur wenig ausrichten kann. Negative Auswirkungen haben die Virenschutz-Programme hingegen oft auf die Performance. - Perimeter Security
Firewalls und sonstige Perimeter-Security-Maßnahmen können ebenfalls theatralische Qualitäten aufweisen, denn sie alleine sind der wachsenden Bedrohungslage - insbesondere im Unternehmensumfeld - ebenfalls nicht gewachsen. - Alarm-Ermüdung
Permanente Security-Alerts führen häufig dazu, dass die IT-Abteilung aufgrund hoher Fehlalarmquoten in den Ignoranz-Modus schaltet. Ohnehin können nur circa fünf Prozent der Alerts wirklich tiefgehend untersucht werden. - Ignoranz
Investitionen in Sicherheitsmaßnahmen sind eine gute Sache. Allerdings sollten Unternehmen die Daten, die ihr Security-Equipment sammelt, auch auswerten und analysieren. Ein Haken auf der To-Do-Liste reicht nicht aus. - Passwort-wechsel-dich
Ein Passwort alleine genügt nicht. Insbesondere dann, wenn es sich dabei um bewährte Security-Fails wie "123456" handelt. Und welchen Sinn macht es eigentlich, dass man sein Kennwort alle 30 Tage ändern muss? - Security Training
Die Mitarbeiter simulierten Phishing-Attacken auszusetzen, ohne ihnen vorher entsprechende Schulungsmaßnahmen zuteil werden zu lassen hat in der Regel wenig Effekt. - Harte Worte
Viele Security-Anbieter preisen ihre Lösungen mit militanten PR-Botschaften an. Ob die dadurch noch sicherer werden? Schreien hat jedenfalls noch nie viel geholfen. - Mauer-Fetisch
Wenn die IT-Abteilung lieber mauert statt Lösungen zu suchen, trägt das nicht zur Sicherheit bei. - Sharing
Der Austausch von Daten über aufgedeckte Sicherheitslücken und erfolgte Angriffe ist grundsätzlich eine gute Sache. Dennoch hilft sie Unternehmen nicht dabei, die Angriffsvektoren in ihrem Netzwerk aufzudecken. - Schadens-PR
"Uns liegt die Sicherheit unserer Nutzer am Herzen" heißt es allzu oft, nachdem Unternehmen Opfer einer Hacker-Attacke geworden sind. Gegenfrage: Wie konnte es dann überhaupt erst dazu kommen?
Malware per Lebenslauf
Auch E-Mail-Scanning könne dieser Art von Cyberangriffen kaum etwas anhaben, fährt der Experte fort. Schließlich logge sich die Mehrzahl der User bei LinkedIn mit ihrer privaten E-Mail-Adresse ein. Inzwischen erlaubt zwar das Gros der E-Mail-Provider keine .exe-Files mehr als Anhang, die brauchen die Hacker aber ohnehin nicht. Stattdessen verschickten sie mit Malware infizierte Word-Dokumente oder .pdf-Dateien. Die Wahrscheinlichkeit, dass diese in einem "HR-Zusammenhang" geöffnet werden, sei ohnehin viel höher, so Stephen: "Bei LinkedIn können Lebensläufe als Dateianhang versendet werden - was für Cyberkriminelle natürlich einen extrem erfolgversprechenden Angriffsvektor darstellt. Karriereseiten wie Monster oder Indeed lassen Jobsuchende vorgefertigte Formulare ausfüllen, statt eine Datei anzuhängen".
Dazu kommt, dass Hacker, die sich als ganz normale LinkedIn-User tarnen, relativ schwer von solchen zu unterscheiden sind. So besteht auch die Gefahr, dass Cyberkriminelle sich über öffentliche Diskussionen und Unterhaltungen ins Unternehmensnetzwerk schleichen - beispielsweise mit bewährten Social-Engineering-Taktiken oder indem sie Anhänge teilen, die mit Malware infiziert sind. Und je mehr "Kontakte" ein solcher Fake-Account auf sich vereint, desto unverdächtiger wirkt er auf andere User.
LinkedIn selbst äußerte sich auf Nachfrage schriftlich zum Thema: "LinkedIn-Mitglieder können sich schützen, indem sie ausschließlich Kontaktanfragen von Personen akzeptieren, die sie persönlich kennen oder die von einem anderen vertrauenswürdigen Kontakt empfohlen werden. Wir ermutigen unsere Mitglieder, alle Profile, Nachrichten oder Posts die verdächtig erscheinen, zu melden. In unserem Hilfecenter-Bereich finden sich viele hilfreiche Artikel, um auf dem Laufenden zu bleiben. Wir haben auch Teams speziell in diesem Bereich im Einsatz, die betrügerischen Aktivitäten sofort entgegentreten und einer möglichen Wiederholung in der Zukunft entgegenwirken".
Führungskräfte besonders gefährdet
Ray Kruk vom Security-Provider Proofpoint sieht in diesem Zusammenhang insbesondere Führungskräfte als gefährdet an. Eine These die von aktuellen Zahlen von LinkedIn untermauert wird: Ein CEO vereint hier im Durchschnitt 930 Kontakte auf sich. "Fake User, die sich als vertrauenswürdige Business-Partner ausgeben und Kontakt zu Entscheidern im Unternehmen suchen, stellen eine steigende Gefahr dar", so Kruk.
Ein Klick auf einen Malware-verseuchten Shortlink, der über LinkedIn, Xing oder andere soziale Netzwerke verteilt wird, genügt dann, um Rechner auf C-Level zu kapern. Wenn das passiert, haben die Hacker in der Regel auch Zugriff auf geschäftskritische Daten. Das lohne sich meist deutlich mehr, als ein Angriff auf die Personalabteilung, so Kruk.