Klicken Sie nicht auf diesen Link!

Nachdem jedem Internetnutzer wiederholt mitgeteilt wurde, dass das Klicken auf Links in E-Mail-Nachrichten eine schlechte Idee ist, haben die Betrüger und Gauner das Senden dieser Nachrichten aufgegeben, da sie nicht mehr funktionieren. Richtig? Nun, nein. Betrugsnachrichten, die auf schädliche Websites verweisen, sind genauso weit verbreitet wie je zuvor, und Sie sind schuld. Warum klickst du auf diese Links? Dr. Zinaida Benenson von der Universität Erlangen-Nürnberg wollte es herausfinden und stellte ihre Ergebnisse auf der Black Hat-Konferenz in Las Vegas vor. Die Ergebnisse waren nicht ermutigend.

"Als wir anfingen, über Forschung in diesem Bereich nachzudenken, fragten wir, was wir noch nicht wissen", sagte Benenson. "Gibt es einen Unterschied, ob Sie die verdächtige Nachricht per E-Mail oder Facebook senden? Wir wollten die Leute fragen, warum sie auf einen Link geklickt haben oder nicht, um zu wissen, wie sie über Sicherheitsentscheidungen argumentieren."

Auf der letztjährigen Black Hat-Konferenz schlug die Forscherin Laura Bell vor, die Benutzer zu scannen, anstatt PCs auf Sicherheit zu prüfen. Benenson nahm einen vorsichtigen Ton an. Sie erwähnte das Problem, Menschen ohne deren Zustimmung zu testen. "Manchmal geschieht dies in Organisationen", sagte sie, "und es kann sehr schief gehen. Aber wir können nicht sagen, hey, wir werden Ihnen ein paar Phishing-Nachrichten senden. Stellen Sie also sicher, dass Sie so reagieren, wie Sie es normalerweise tun würden."."

Benenson holte Freiwillige für eine Studie über "Online-Aktivitäten", in der versprochen wurde, dass einige Teilnehmer Geschenkkarten gewinnen würden. Sie benutzte E-Mail und Facebook, um 1.600 Studenten eine Nachricht zu schicken, die einen Link zu "Bilder von der Party letzte Woche" enthielt. Diejenigen, die auf den Link geklickt haben, konnten keine scharfen Fotos sehen. Sie erhielten einfach die Nachricht "Zugriff verweigert". Natürlich zeichnete Berensons Experiment auf, wer auf das Schachspiel hereinfiel.

Es stellt sich heraus, dass die Verwendung Ihres Vornamens eine gute Möglichkeit ist, den Empfänger davon zu überzeugen, dass die Nachricht echt ist. Über die Hälfte (56 Prozent) der E-Mail-Empfänger und 38 Prozent der Empfänger einer Facebook-Nachricht klickten auf den Link, als die Nachricht sie namentlich ansprach. Ohne den Vornamen nahmen nur 20 Prozent, die die Nachricht per E-Mail erhielten, und 42, 5 Prozent der Facebook-Nutzer den Köder an.

Leicht zu täuschen

Die wirklich interessanten Statistiken kamen herein, als Benenson die Klicker fragte, welchen Impuls sie dazu veranlassten, den gefährlichen Schritt des Klickens auf den Link zu unternehmen. Der Hauptgrund, den 34 Prozent der Befragten angaben, war die Neugier auf den Inhalt der Fotos. Weitere 27 Prozent vertrauten der Nachricht, weil sie ihrer Erfahrung entsprach, da sie kürzlich an einer Party teilgenommen hatten. Obwohl die Nachricht von einem erfundenen Namen stammte, hielten 16 Prozent sie für jemanden, den sie kannten. Umgekehrt taten dies 51 Prozent derjenigen, die auf das Klicken verzichteten, weil sie den Absender nicht erkannten, und 36 Prozent, weil sie in letzter Zeit keine Partys besucht hatten.

Aufgrund dieser Ergebnisse gelangte Benenson zu dem Schluss, dass mit einer von mehreren Techniken nahezu jeder zum Klicken auf einen gefährlichen Link veranlasst werden kann. Das Opfer mit seinem Namen ansprechen, die Nachricht so gestalten, dass es neugierig wird, einen bekannten Absender fälscht und den Inhalt der Nachricht an die jüngsten Erfahrungen des Opfers anpasst - dies sind die bewährten Techniken.

Bond James Bond

Was wollen Unternehmen von einem Sensibilisierungstraining? "Wenn wir wollen, dass sie sich selbst schützen", sagte Berenson, "müssen sie misstrauisch sein, auch wenn sie den Absender kennen, auch wenn die Nachricht Ihren aktuellen Erwartungen entspricht. Sie müssen misstrauisch gegenüber allem sein! Psychologen nennen diesen Täuschungsmodus. Immer wenn sie." Wenn Sie eine Nachricht sehen, können Sie davon ausgehen, dass es sich um eine Fälschung handelt. " Sie erwähnte genau einen Angestellten, der gerne die ganze Zeit im Täuschungsmodus arbeiten würde; James Bond.

"Wenn wir wollen, dass Mitarbeiter die ganze Zeit im James Bond-Modus sind", fuhr sie fort, "ist das möglich. Aber Sie müssen es in die Stellenbeschreibung aufnehmen und sie angemessen bezahlen." Sie berichtete über ihren eigenen Versuch, den Täuschungsmodus die ganze Zeit in ihrer eigenen Handlung zu halten, mit einigen amüsanten Beispielen.

Benenson wies darauf hin, dass das Phishing-Sensibilisierungstraining in der Geschäftswelt nach hinten losgehen kann. Das Senden von Spear-Phishing-E-Mails von Mitarbeitern, die angeblich von einem Kollegen stammen, kann die Arbeitseffizienz verringern, indem Mitarbeiter sogar gültigen E-Mails misstrauen. Sie schloss mit einer Anfrage für Unternehmen, die bereit wären, an ihrer weiteren Forschung teilzunehmen.

Was ist mit dem Heimanwender? Sie (oder Ihre Kinder) werden sicherlich früher oder später auf den falschen Link klicken. In diesem Fall sollten Sie sicherstellen, dass Ihre Antiviren- oder Security Suite-Lösung einen wirksamen Schutz gegen Malware-Hosting-URLs bietet. In meinen eigenen praktischen Tests haben sich Avira Antivirus Pro 2016, McAfee AntiVirus Plus (2016) und Symantec Norton Security Premium als besonders effektiv erwiesen.