Phishing, die Kunst vertrauliche Daten durch Täuschung zu ergaunern -- beispielsweise mit E-Mails -- ist immer wieder in der Presse. Gestern auch im Fernsehen am Beispiel der Migros Bank, welche nach Aussage von 10vor10 das E-Banking prompt abstellte um ihre Kunden zu schützen.
Anbieter von Online-Dienstleistungen müssen sich wohl an die folgenden zwei Sachen gewöhnen. Erstens wird es immer weniger zeitlich abgegrenzte Phishing-Attacken geben, da diese dauernd laufen. Und zweitens werden die Angriffe noch raffinierter -- ich warte auf dem Tag an welchem eine installierte, in krimineller Absicht geschriebene Browser Erweiterung, sich in den Dialog mit der Bank einschaltet.
Bevor wir uns in die Diskussion der Abwehr stürzen (die ziemlich offensichtlich ist), lege ich den folgenden Artikel von auf Rachna Dhamija, J. D. Tygar und Marti Hearst auf den Tisch: "[pdf, 870KB] Why Phishing Works"
Mit der Hilfe von Test realer Phishing-Attacken wurde empirisch festgestellt, auf was User achten und auf was nicht. Sehr spannend und hier ein drei zentralen Punkte:
- 5 von 22 Testern schauen nie auf die Adresszeile oder auf den Rest des Browsers
- 13 von 22 Testern achten nie auf https/SSL
- eine gut gemachte Phishing-Site eines Bank-Logins (mit zwei "v" anstelle eines "w" im Domänennamen) wurde von über 90% der Tester als vertrauenswürdig eingestuft (darunter User die 90 Std. pro Woche mit Computer arbeiten)
Eine spannende Realität.
