Die Deepfake-Videokonferenz

MITRE beschreibt Phishing als Social Engineering, das auf elektronischem Weg übermittelt wird. Richtet es sich gegen eine bestimmte Person, ein bestimmtes Unternehmen oder eine bestimmte Branche, spricht man von Spear-Phishing². Die Sprachvariante nutzt einen Anruf oder eine andere Form mündlicher Kommunikation, um den Nutzer dazu zu bringen, Zugang zu Systemen zu geben³.

Spear-Phishing setzt oft auf zwei Hebel: sich als vertrauenswürdige Quelle auszugeben und bei der Zielperson ein Gefühl von Dringlichkeit oder Alarm zu erzeugen³. Für das Sammeln von Informationen nennt MITRE außerdem den Versand mehrerer scheinbar dringender Nachrichten⁴.

Das NCSC sieht den wichtigsten Nutzen der KI für Angreifer im Social Engineering¹. Es geht außerdem davon aus, dass KI die Aufklärung verbessert, also die Suche nach Informationen über ein Ziel, um einen Zugangsweg zu finden, und dass sie diesen Schritt und das Social Engineering wirksamer und schwerer erkennbar macht¹.

Der hier beschriebene Fall ist ein Szenario ohne Quelle. Eine Nachricht trifft ein, unterzeichnet von einem Vorgesetzten, und schlägt eine Online-Besprechung vor. Auf dem Bildschirm wirken die Teilnehmer wie bekannte Kollegen und sprechen wie sie. Die Bitte ist dringend und vertraulich: Eine Zahlung soll ohne Verzögerung angestoßen werden.

MITRE nennt Dringlichkeit unter den Hebeln des Angreifers³. Das NCSC warnt, dass Sprachfehler, an denen man lange eine Fälschung erkannte, nicht mehr ausreichen¹.

Illustration (fiktive, neutralisierte Nachricht):
[Ein „Direktor“ bittet, dringend einer vertraulichen Besprechung
beizutreten über hxxps://reunion-exemple[.]invalid/salle-12
und kündigt an, dass noch heute eine Zahlung zu bearbeiten ist.]

Die Quellen erlauben es, folgende Elemente zu benennen.

• Der erste Kontakt ist eine Phishing-Nachricht. MITRE präzisiert, dass sie über E-Mail, über Dienste Dritter wie soziale Netzwerke oder über Kalendereinladungen laufen kann².
• Die Identitätsvortäuschung macht den Absender glaubwürdig: MITRE nennt das Fälschen der Absenderadresse, das sowohl die Person als auch automatische Sicherheitswerkzeuge täuschen kann².
• Die Aufklärungsphase bereitet das Ziel vor. MITRE ordnet Phishing zur Informationsbeschaffung der Taktik Aufklärung zu, mit dem Ziel, Daten zu sammeln statt Schadcode auszuführen⁴.
• Generative KI kann Texte, Bilder oder Videos erzeugen¹.
• MITRE nennt unter den Hebeln des Spear-Phishing die vorgetäuschte vertrauenswürdige Quelle und die Dringlichkeit³.

Das NCSC geht davon aus, dass die anspruchsvollsten Einsatzformen der KI auf Akteure mit hochwertigen Trainingsdaten, Fachwissen und Mitteln beschränkt bleiben¹. Es fügt hinzu, dass die Verbreitung dieser Fähigkeiten auf den Märkten der Kriminellen sie für alle erreichbar macht, die zu zahlen bereit sind¹.

Auf der Seite der Abwehr hat das NIST ein freiwillig anwendbares Rahmenwerk zum Management von KI-Risiken veröffentlicht, erschienen am 26. Januar 2023, und am 26. Juli 2024 ein Profil zur generativen KI, das Organisationen hilft, die spezifischen Risiken generativer KI zu erkennen⁵.

Scattered Spider: falsche IT-Mitarbeiter am Telefon

MITRE gibt an, dass sich die Gruppe Scattered Spider in der Kampagne C0027 am Telefon als legitimes IT-Personal ausgab. So brachte sie ihre Opfer dazu, ein Werkzeug zur Fernwartung herunterzuladen, mit dem sie deren Rechner steuern konnte³. Die Seite nennt kein Datum für diese Kampagne. Sie zeigt aber das Muster, das mit einer gefälschten Videokonferenz übereinstimmt: eine vertraute Stimme, die zu einer Handlung auffordert.

Storm-1811: falscher technischer Support

Laut MITRE rief Storm-1811 an und gab sich als IT-Support aus, um Nutzer dazu zu bringen, Skripte und andere Werkzeuge herunterzuladen und auszuführen³. Die Referenzen der Seite nennen unter anderem einen Bericht von Microsoft Threat Intelligence vom 15. Mai 2024³.

Die Kontrolle, auf die es ankommt

MITRE empfiehlt für diese Technik, die Identität des Anrufers zu überprüfen³. Bei einer Zahlung heißt das: die Person über einen Kanal zurückrufen, den Sie schon kennen, und nichts allein auf Grundlage einer Online-Besprechung ausführen. Die doppelte Freigabe von Überweisungen ist eine organisatorische Maßnahme, die die Geschäftsleitung einführt. Die Quellen beschreiben sie nicht.