Das goldene Zeitalter der Betrüger: KI-gestütztes Phishing

Lang lebe der Prinz von Nigeria – er hatte eine gute Zeit.

Vorbei sind die Zeiten, in denen Betrüger mit den bescheidenen Mitteln eines Scharlatans arbeiteten und sich auf ihre eigene Überzeugungskraft sowie ihr Verständnis von Sprachen und Prozessen verlassen mussten. Durch generative KI steht Phishern und Spammern nun ein deutlich größeres Werkzeugarsenal zur Verfügung. Man kann mit Sicherheit sagen, dass sich die Spielregeln geändert haben. Aber gilt das auch für unsere Abwehrmaßnahmen? Lesen Sie weiter, um zu erfahren, wie Sie Ihr E-Mail-Programm vor neuartigen Angriffen schützen können.

Bevor wir mit Horrorgeschichten beginnen, lassen Sie uns zunächst die Begrifflichkeiten klären. Beim KI-Phishing wird KI-Technologie eingesetzt, die es Betrügern erleichtert, massenhaft überzeugendere Betrugsversuche durchzuführen. Und das funktioniert. In den letzten Jahren hat KI die Phishing-Taktiken optimiert und verschärft, wodurch Betrüger allein im Jahr 2022 über zwei Milliarden Dollar erbeuten konnten. Seit dem vierten Quartal 2022 (ungefähr als ChatGPT auf den Plan trat) gab es einen Anstieg bösartiger Phishing-E-Mails um 1.265 %, laut dem Cybersicherheitsunternehmen SlashNext.

Die Verfügbarkeit von KI deckt ein breites Spektrum ab – von KI-generierten Texten bis hin zu kostenlosen Hacker-Tools wie WormGPT – einer dunklen Version des OpenAI-Tools oder dessen kostenpflichtigem Gegenstück FraudGPT, das im Darknet erhältlich ist. Beide Tools sind generative KI-Systeme ohne Sicherheitsvorkehrungen. Sie generieren problemlos Anfragen zur Erstellung von Phishing-E-Mails, schreiben Code zur Fälschung bestimmter Websites oder erfüllen zahlreiche andere kriminelle Wünsche.

Um diese Macht zu verstehen, betrachten wir den Unterschied zwischen einem herkömmlichen Phishing-Betrug und einem KI-Betrug mit Tools wie WormGPT.

Ein herkömmlicher Phishing-Angriff beginnt meist mit einer irreführenden Nachricht. Die E-Mail oder SMS scheint auf den ersten Blick von einer legitimen Quelle zu stammen, wie beispielsweise Ihrer Bank oder der Post. Um Sie davon abzuhalten, genauer hinzusehen, erzeugen diese Nachrichten oft ein Gefühl der Dringlichkeit.

Die eigentliche Gefahr innerhalb der Nachricht ist ein Link oder Anhang. Sobald dieser angeklickt oder heruntergeladen wird, werden Sie auf eine gefälschte Website weitergeleitet oder es wird schädliche Software auf Ihrem Gerät installiert. Diese gefälschte Website oder Software sammelt dann die sensiblen Informationen, die Sie eingeben, wie Anmeldedaten, Finanzinformationen oder persönliche Daten.

Der Angreifer kann diese gestohlenen Informationen für verschiedene böswillige Zwecke nutzen, beispielsweise für Identitätsdiebstahl, Finanzbetrug oder unbefugten Kontozugriff. Traditionelle Phishing-Angriffe stützen sich auf Social-Engineering-Techniken, um Personen unbemerkt zur Preisgabe vertraulicher Informationen zu verleiten.

Wir möchten diesen letzten Teil noch einmal betonen: Traditionelle Phishing-Angriffe basieren auf Social-Engineering-Techniken, KI-Phishing-Angriffe hingegen auf maschinellem Lernen.

Ein KI-Phishing-Angriff nutzt künstliche Intelligenz, um Phishing-E-Mails überzeugender und personalisierter zu gestalten. Kriminelle können KI-Algorithmen nutzen, um riesige Datenmengen über ein Zielsegment zu analysieren, etwa Social-Media-Profile, Online-Verhalten und öffentlich zugängliche Informationen. So lassen sich äußerst personalisierte Kampagnen erstellen.

Die Phishing-Nachricht könnte sogar vertraute Details enthalten, wie etwa Hinweise auf kürzliche Käufe, Interessen oder Interaktionen eines Nutzers. Dieser Grad an Personalisierung erhöht die Erfolgswahrscheinlichkeit. KI kann außerdem problemlos überzeugende Nachbildungen legitimer Websites generieren, was es für Empfänger schwierig macht, zwischen gefälschten und echten Seiten zu unterscheiden.

Es gibt grundlegende Prinzipien, auf denen KI-Phishing aufbaut, und diese eröffnen schier grenzenlose Möglichkeiten.

KI-Phishing ist Dark Marketing. Es zeigt, was möglich wäre, wenn es nicht die ethischen Grundsätze und Gesetze gäbe, an die sich legitime Absender halten. Dennoch sind die grundlegenden Prozesse ähnlich, nur eben ohne jegliche Grenzen. So könnte der Einsatz eines Tools wie WormGPT aussehen:

1. Datenanalyse: Angreifer nutzen Algorithmen und Tools wie WormGPT, um das Internet nach riesigen Datenmengen über die Zielgruppe oder Einzelperson zu durchsuchen. Dazu gehören Social-Media-Profile, öffentliche Aufzeichnungen und Online-Aktivitäten. WormGPT kann diese Daten analysieren, um Interessen, Verhaltensweisen und Einstellungen der Zielperson zu verstehen.
2. Personalisierung: Mithilfe der gesammelten Daten generiert die KI hochgradig personalisierte Phishing-E-Mails. Diese E-Mails können sich auf kürzliche Einkäufe, Hobbys oder bestimmte Ereignisse im Leben der Zielperson beziehen. Durch diese starke Personalisierung wirken die E-Mails legitimer und die Wahrscheinlichkeit steigt, dass Opfer auf den Betrug hereinfallen.
3. Inhaltserstellung: Anschließend wird KI eingesetzt, um überzeugende E-Mail-Inhalte zu generieren, die den Schreibstil der Kontakte der Zielperson oder bekannter Institutionen nachahmen. Dies hilft dabei, Vertrautheit und Vertrauen aufzubauen und überwindet Hürden, die durch Sprachbarrieren entstehen.
4. Skalierung und Automatisierung: Schließlich macht es KI Angreifern leicht, ihre Operationen effizient zu skalieren. Sie können in kurzer Zeit zahlreiche einzigartige Phishing-E-Mails generieren und eine Vielzahl von Personen oder Organisationen ins Visier nehmen. Gleichzeitig nutzen sie KI, um Code zu schreiben, Automatisierungen auszulösen sowie Webhooks und Integrationen einzurichten.

KI generiert Ergebnisse schneller als Menschen. Ende der Geschichte. Wir können über die Qualität und die besten Einsatzmöglichkeiten der Ergebnisse diskutieren (und haben das in anderen Beiträgen bereits getan), aber Betrüger halten sich nicht mit solchen Diskussionen auf.

Eine Gruppe von IBM-Technikern ist kürzlich gegen eine KI angetreten, um eine Phishing-Kampagne zu erstellen.. Dabei stellten sie fest, dass die KI in unglaublich kurzer Zeit bessere Ergebnisse lieferte. Aus diesem Experiment entstand die 5/5-Regel.

Die 5/5-Regel besagt, dass es nur fünf Prompts und fünf Minuten braucht, um eine Phishing-Kampagne zu erstellen, die fast so erfolgreich ist wie eine von IBM-Fachleuten generierte Kampagne. Wofür technisch versierte Menschen 16 Stunden benötigten, erledigte generative KI in 5 Minuten – und KI-Tools werden sich weiterentwickeln, um noch schneller und effizienter zu werden, womöglich sogar exponentiell. Menschen haben ihre Grenzen.

Die fünf Prompts von IBM:

1. Erstelle eine Liste der Bedenken für eine [bestimmte Zielgruppe] in einer [bestimmten Branche]
2. Verfasse eine E-Mail unter Verwendung von Social-Engineering-Techniken
3. Wende gängige Marketing-Techniken auf die E-Mail an
4. An wen sollen wir die E-Mail senden?
5. Wer soll als Absender der E-Mail angegeben werden?

Bereits im Jahr 2024 gab es einige große KI-Phishing-Angriffe. Einige davon erinnern eher an klassische Phishing-Angriffe, andere wiederum an äußerst kostspielige Deepfakes.

Diese Nachricht aus dem Frühjahr 2024 erlangte schnell traurige Berühmtheit – aufgrund des enormen finanziellen Schadens und der Tatsache, dass es mit Video-KI-Tools gelang, eine Fachkraft aus dem Finanzwesen eines ungenannten multinationalen Unternehmens mit Hauptsitz in China vollständig davon zu überzeugen, erhebliche Geldbeträge freizugeben. Diese Person war das unglückliche Ziel eines KI-Deepfakes , bei dem Kriminelle den CFO und weitere Führungskräfte in einer Videokonferenz derart täuschend echt nachahmten, dass ein Schaden von 25 Millionen Dollar entstand.

Wir beginnen mit diesem Beispiel, da es zwei sehr wichtige Punkte veranschaulicht.

1. KI ist ein äußerst mächtiges Werkzeug für Deepfakes – nicht nur bei Videos, sondern auch bei Texten, gefälschten Websites, Telefonanrufen und SMS.
2. Es macht deutlich, wie wichtig es für Unternehmen ist, ihre Belegschaft intern darin zu schulen, diese neue Dimension von Angriffen zu erkennen und zu verhindern.

Die Wahrheit ist jedoch, dass KI-Phishing-Betrug gar nicht so aufwendig sein muss, um effektiv zu sein. Lassen Sie uns ein kurzes Spiel spielen:

Sie erhalten die folgende E-Mail:

Betreff: Passwort für Ihr Konto zurücksetzen

Guten Tag [Name],

Wir haben einen potenziell unbefugten Zugriff auf Ihr Konto festgestellt. Als Vorsichtsmaßnahme setzen wir daher Ihr Passwort zurück.

Bitte verwenden Sie diesen Link, um ein neues Passwort zu erstellen.

Unser Team setzt alles daran, Ihr Konto und Ihre Daten zu schützen. Sollten Sie Fragen haben, antworten Sie einfach auf diese E-Mail, und jemand aus unserem Team wird Ihnen weiterhelfen.

Mit freundlichen Grüßen, [Support-Team Ihres Unternehmens]

Klingt das legitim? Falls ja, klicken Sie auf den Link und gelangen auf eine Seite, die so aussieht, als stamme sie von der tatsächlichen Organisation. Sie sieht echt aus, weil es KI-Tools gibt, die Webseiten-Designs und Code mit wenig bis gar keinem Aufwand kopieren können.

Also, fassen wir zusammen: Die E-Mail enthält keine seltsamen Formulierungen oder Grammatikfehler. Tatsächlich wurden Sie sogar eingeladen, sich zu melden (und falls Sie das täten, stünde ein KI-gestützter Chatbot bereit, um Ihnen zu antworten). Die Website sieht echt aus, und Sie werden schließlich mit einigen unscheinbaren Formularfeldern begrüßt, die nur darauf warten, Ihre Zugangsdaten abzugreifen:

Es hat uns etwa 20 Sekunden gekostet, dies mit ChatGPT zu generieren:

Fallen Sie darauf herein? Wenn die gefälschte Domain für ein internes Tool gedacht wäre, würde Ihre Belegschaft darauf hereinfallen? Würden Sie die Domain überprüfen? Würden Sie die Absenderadresse überprüfen? Ist es nun Ihr Schicksal, jede E-Mail, die Sie erhalten, genauestens zu prüfen?

Kommen wir nun zur Milliarden-Dollar-Frage (über 2 Milliarden um genau zu sein): Was können Sie tun, um Ihr Unternehmen und Ihr E-Mail-Programm vor dieser neuen Art des Phishings zu schützen? tun, um Ihr Unternehmen und Ihr E-Mail-Programm vor dieser neuen Art des Phishings zu schützen?

Als Absender müssen Sie zwei Ziele verteidigen. Ihre eigene Reputation und Sicherheit sowie die Sicherheit und den Datenschutz Ihrer Kundschaft. Und es gibt nur eine einzige Abwehrmaßnahme für E-Mails: DMARC.

Bevor wir uns also mit Best Practices befassen, werfen wir einen Blick darauf, was mit DMARC im Zeitalter der KI passiert.

DMARC (Domain-based Message Authentication, Reporting, and Conformance) hat von der Entstehung bis zur Implementierung eine beachtliche Entwicklung durchlaufen. Überraschenderweise war die Akzeptanz bisher eher gering. Möglicherweise, weil der Prozess technischer ist als bei anderen Standardauthentifizierungen. Oder vielleicht aufgrund der damit verbundenen Kosten. Trotzdem ist DMARC gekommen, um zu bleiben. Hier ist der bisherige Weg:

• 2007–2008: Die Notwendigkeit eines robusteren E-Mail-Authentifizierungssystems wurde erkannt, da E-Mail-Phishing-Angriffe immer ausgefeilter wurden. SPF (Sender Policy Framework) und DKIM (DomainKeys Identified Mail) bereits im Einsatz waren, um die Authentizität von E-Mail-Absendern zu überprüfen, wiesen sie dennoch Einschränkungen auf.
• 2011: Eine Gruppe von Unternehmen, darunter Google, Microsoft, Yahoo und PayPal, schloss sich zusammen, um an einem neuen Standard zu arbeiten, der die Einschränkungen von SPF und DKIM beheben sollte. Diese Zusammenarbeit führte zur Entwicklung von DMARC.
• 2012: DMARC wurde im Januar 2012 veröffentlicht. Es bot E-Mail-Absendern die Möglichkeit, Richtlinien dafür festzulegen, wie ihre E-Mails authentifiziert und behandelt werden sollen, falls die Authentifizierung fehlschlägt.
• 2018: Das Department of Homeland Security verpflichtete alle Bundesbehörden, DMARC bis Oktober 2018 zu implementieren, um die unrechtmäßige Nutzung von E-Mails von Organisationen einzudämmen.
• 2018–2023: Die Akzeptanz von DMARC war nicht so weit verbreitet, wie von seinen Entwicklern erhofft. Ohne eine breite Akzeptanz ist die Durchsetzung von DMARC-Richtlinien für Anbieter problematisch. Laut Spamresourcehatten von den Top 10 Millionen Domains nur etwa 1,23 Millionen Domains einen DMARC-Eintrag implementiert bis Ende 2023. Das wird sich ändern.
• 2024: Im Oktober 2023 Gmail und Yahoo kündigten würden sie einige strenge Absenderanforderungen durchsetzen, um die Kontrolle über Posteingangsstandards zurückzugewinnen und sowohl diejenigen, die E-Mails nutzen, als auch Absender gleichermaßen zu schützen. Eine Anforderung ist, dass DMARC mit einer Mindestrichtlinie von p=none implementiert wird. Diese Verschiebung der Verantwortlichkeit wird dazu beitragen, das Gleichgewicht in den Posteingängen wiederherzustellen.

Gut, nachdem wir unseren Ausflug zum Thema DMARC beendet haben, kommen wir nun zurück zum Phishing. Während DMARC die wichtigste Verteidigungslinie darstellt, gibt es noch weitere Best Practices, die Ihnen zu einer umfassenden Abwehrstrategie verhelfen.

Der erste Schritt besteht darin, die Anzeichen zu erkennen. Wir können uns nicht mehr auf die Spuren von schlechter Grammatik und fehlerhafter Personalisierung verlassen. Die Erkennung von KI-Phishing-Versuchen erfordert einen Perspektivenwechsel. Angesichts der Geschwindigkeit, mit der sich KI weiterentwickelt und integriert wird, ist ein Perspektivenwechsel tatsächlich eine Fähigkeit, die Sie perfektionieren sollten.

Die üblichen Erkennungsmerkmale wie schlechte Grammatik und holprige Satzstrukturen gelten nicht mehr. Nun sollte der erste Schritt darin bestehen, die Quelle direkt zu überprüfen. Cousin-Domains (auch als Look-alike-Domains bekannt) können immer noch als legitime Domains registriert werden, aber der Name wäre nicht exakt derselbe. Gleichen Sie die URL und Domain mit der tatsächlichen Unternehmensdomain ab. Bei einem unbekannten Absender, ist es ratsam, die Nachricht Ihrem internen Sicherheitsteam zu melden oder sie bei Ihrem E-Mail-Anbieter als Spam zu markieren.

KI-Phishing ist buchstäblich intelligent. Es spielt keine Rolle, ob Sie glauben, dass KI empfindungsfähig ist oder sein kann, denn sie besitzt die Fähigkeit zu „denken“ und auf Basis der gesammelten Daten iterativ dazuzulernen. Prozesse des maschinellen Lernens können nun so automatisiert werden, dass sie systematisch nach Angriffspunkten suchen. Um Ihr Unternehmen und Ihre Daten zu schützen, bedarf es robuster Firewalls, aktueller Antivirensoftware und kontinuierlicher Schulungen für die Belegschaft.

Phishing ist nicht nur ein Sicherheitsrisiko, sondern auch eine Bedrohung für Ihre Reputation. E-Mail-Anbieter wie Gmail und Yahoo blicken vorausschauend in die Zukunft, indem sie Anforderungen an Massenversender durchsetzen, einschließlich der Implementierung von DMARC. Dies wird maßgeblich dazu beitragen, Phishing-Betrug abzuwehren, bei dem Domains und Marken gefälscht werden.

DMARC ist die beste Abwehrmaßnahme, die E-Mail-Anbietern zur Verfügung steht, um ihre Nutzerbasis vor raffinierten E-Mail-Phishing-Versuchen zu schützen. So lässt sich verhindern, dass diese bösartigen Nachrichten jemals in den Posteingängen landen. DMARC funktioniert jedoch nur, wenn E-Mail-versendende Organisationen die Spezifikation einrichten und durchsetzen.

Wenn DMARC im Einsatz ist, verfügen empfangende Server über ein Framework und (vom Absender festgelegte) Richtlinien zur Authentifizierung von Nachrichten. Gefälschte Domains werden angewiesen, abgewiesen oder unter Quarantäne gestellt zu werden (abhängig von Ihrer DMARC-Richtlinie) aus dem Posteingang entfernt und an Sie, den rechtmäßigen Absender, zurückgemeldet.

KI ist ein ganz eigenes, komplexes Universum an Themen, Vorteilen und Herausforderungen. Bleiben Sie auf dem Laufenden und erhalten Sie Einblicke von unseren Fachleuten, wie Sie sich an neue Bedrohungen durch aufstrebende Technologien anpassen können. Abonnieren Sie unseren Newsletter und bleiben Sie informiert über allgemeine Best Practices für die Zustellbarkeit rund um Authentifizierung und Sicherheit.

Autor: Nick Lafferty Nick Lafferty was a Team Lead for our Growth team at Sinch Mailgun. An avid blogger himself, he focused on sharing strategies and initiatives to help businesses grow their reach and make the most of their email program.