Smart Insurtech warnt vor massiven Phishing-Attacken
Nach dem Hackerangriff auf Smart Insurtech hat das Unternehmen erneut schlechte Nachrichten: Demnach gebe es aktuell „massive Phishing-Attacken“, warnt der Maklerdienstleister auf seiner Website. Dabei handelt es sich um den betrügerischen Versuch über gefälschte E-Mails an persönliche Daten der Adressaten zu kommen oder diese zu bestimmten Handlungen zu bewegen.
Smart Insurtech rät seinen Kunden deswegen zur äußersten Vorsicht im Umgang mit E-Mails und E-Mail-Anhängen, insbesondere auch OneNote-Dateien und anderen Office-Dokumenten. „Aus gegebenem Anlass haben wir die Zustellung über den Exchange von OneNote-Dateien gegenwärtig deaktiviert“, erklärt der Anbieter.
Aber wie kommen Betrüger überhaupt an die E-Mail-Adressen der Kunden, wenn doch, wie das Unternehmen erklärt hat, keine Daten abgeflossen seien? „Die mutmaßlichen Täter des Cyberangriffs vom 09.02.2023 behaupten inzwischen, im Besitz von Daten zu sein, die aus dem Cyberangriff herrühren“, erklärt Ute Gombert, Smart-Insurtech-Pressesprecherin.
Allerdings sei nach gegenwärtigem Stand der forensischen Untersuchungen und im Rahmen der Analyse von Dateizugriffen weiterhin kein erfolgter Datenabfluss belegt. „Die Untersuchungen werden fortgesetzt“, so Gombert.
Seit Wochen gezielte Phishing-Angriffe
Zwar seien bisher keine Phishing-Attacken bekannt, die auf dem Cyberangriff vom 09.02.2023 beruhen. Allerdings liegen dem Unternehmen erste Hinweise dafür vor, dass der Cyberangriff durch eine Phishing-E-Mail ausgelöst worden sein könnte. Das würde bedeuten, dass ein Mitarbeiter von Smart Insurtech zum Opfer einer betrügerischen E-Mail geworden ist.
Die Information an die Kunden, aufmerksam in Hinblick auf Phishing-E-Mails zu sein, sei aus rein präventiven Gründen erfolgt. „Es gibt aber unserer Auffassung nach am Markt seit Wochen gezielte Phishing-Angriffe auf Versicherer und Makler“, so Gombert. Dem stimmt Datenschutzexperte Harald Müller-Delius zu: „Ich kann mir vorstellen, dass auch Trittbrettfahrer die Informationssituation ausnutzen und vom Leid der Betroffenen profitieren wollen.“ Es muss sich also nicht um die gleichen Angreifer handeln, so Müller-Delius.
Schließlich könnten sich Betrüger auch über andere Wege Zugang zu den Daten verschaffen: „Es gibt natürlich alle Möglichkeiten der Google-Recherche und der Informationen aus den sozialen Netzwerken, um schnell eine Anzahl an potenziell möglichen Empfänger-Adressen zu recherchieren. Benutzergruppen auf Xing, Angaben im Maklervertrag oder in der Datenschutzerklärung auf der Website. Auch Social Hacking wäre denkbar“, vermutet er.
In seinem Alltag als externer Datenschutzbeauftragter erlebt er sehr häufig Phishing- und Pharming-Attacken, die über manipulierte Links vorgenommen werden. Auch die Fake-President-Masche und CEO-Fraud-Attacken seien bei Betrügern beliebt.
Ein halbe Stunde Aufwand für eine Cyberattacke
Grundsätzlich könne jeder mit minimalen Kenntnissen E-Mail-Adressen mit falschem Absender verschicken. Dafür benötigte Tools wie telnet seien auf jedem Windows-Rechner verfügbar. Eine HTML-E-Mail mit exakt gleicher Optik lasse sich sehr leicht von seriösen Anbietern kopieren: „Dann nur noch ein geschickt manipulierter Link mit kopierter Website des Anbieters (bspw. OneDrive, Post, Office365, ...) und fertig. Mit entsprechenden Tools sind das 30 Minuten Aufwand“, so der Datenschutzexperte.
Schutz können Mitarbeiterschulungen bieten, denn das Problem sitzt häufig vor den Computern. Allerdings sind offenbar selbst sogenannte Awareness-Aktionen, bei denen Angestellte trainiert werden, betrügerische Mails zu erkennen, nicht der Weisheit letzter Schluss. „Auch nach erfolgter Mitarbeitersensibilisierung klicken über 30 Prozent auf manipulierte Links. Über zehn Prozent geben Zugangsdaten preis.“ Der erfolgreiche Angriff auf Smart Insurtech wäre – so sich die ersten Hinweise bewahrheiten – ein erneuter Beweis dafür, dass selbst fachkundiges Personal nicht vor Cyber-Angriffen geschützt ist.
Entsprechend warnt der vom Cyberangriff gebeutelte Maklerdienstleister, dass Kunden genau auf die E-Mail-Adresse des jeweiligen Absenders achten sollten. „Auch sollten keine Anhänge geöffnet werden, die man nicht erwartet“, rät das Unternehmen eindringlich.