Phishing ist seit Jahren eine der bekanntesten Cyberbedrohungen. Beim Email-Phishing versucht der Angreifer durch das Versenden einer gefälschten Email sensible Daten zu stehlen. Durch den Einsatz entsprechender technischer Maßnahmen und Schulung der Beschäftigten im Umgang und Erkennen dieser Emails können Unternehmen ein wirksames Schutzschild gegen Phishing etablieren.
Doch was passiert, wenn ein Mitarbeiter einen Anruf des vermeintlichen Vorgesetzten erhält, mit der expliziten Anweisung, beispielsweise eine dringende Überweisung durchzuführen oder am Telefon sensible Informationen wie Zugangsdaten zu privilegierten Konten zu teilen? Ist das Telefon als traditionellste aller Kommunikationskanäle anfällig für Cybercrime?
Beschäftigen wir uns mit der Beantwortung dieser Frage im späteren Verlauf des Artikels und gehen zunächst auf den Begriff des Vishings ein. Vishing bezeichnet eine Kombination aus „Phishing“ und „Voice“. Betrüger verwenden für ihre Angriffe gestohlene Sprachaufzeichnungen, welche unter Verwendung von künstlicher Intelligenz so manipuliert werden, dass menschliche Sprache erzeugt und täuschend echt imitiert wird. Sprachmuster einer vertrauten Person können so durch maschinelles Lernen einfach analysiert und, was das ganze besonders gefährlich macht, reproduziert werden.
Unter Verwendung neuronaler Netzte können Akzente, Sprachgeschwindigkeit, die Klangfarbe einer bekannten Stimme, Intonation bei Fragestellungen, ja sogar emotionale Nuancen in die synthetisierte Sprache eingebaut werden, die diese für das menschliche Empfinden und Gehör nahezu ununterscheidbar von echter Stimme machen.
Angreifer können so mit Deepfake-KI Audioaufnahmen erstellen und automatisiert Anrufe durchführen, die sogar eine Konversation mit dem potentiellen Opfer ermöglichen. Wer an dieser Stelle denkt, dass er vorsichtig genug ist, wenn man bei „unbekannter Anrufer“ auf ablehnen drückt oder man auf der sicheren Seite ist, wenn der Name des Anrufers erscheint und somit die Identität des Anrufers zweifelsfrei nachgewiesen ist – dem ist nicht so.
Hier gilt die Devise TRUST NO ONE (Zero Trust) : Denn beim sogenannten Caller ID Spoofing manipuliert der Angreifer die Anrufer Informationen wie Nummer oder Anrufer Name. Der Angreifer kann dabei jede beliebige Nummer, sei es die 110 oder die Nummer des Vorgesetzten in die Software moderner PBX Systeme eintragen.
Am Anfang des Vishing Angriffs steht oft der Diebstahl von Sprachdaten. Diese finden sich öffentlich zugänglich in den sozialen Netzwerken oder in aufgezeichneten Telefonaten. Diese Daten werden dann unter Verwendung genannter Technologien für den Betrug verwendet.
Für Hacker ist es heutzutage verhältnismäßig einfach an verwertbare Daten zu kommen. Auf Firmenhomepages finden sich oft ganze Organigramme mit Namen der Beschäftigten, Position und den dazugehörigen Fotos. Menschen teilen auf Social Media Plattformen Videoposts, die Sprachdaten enthalten, welche oft öffentlich zugänglich sind. Anwender verschicken Sprachnachrichten möglicherweise über kompromittiere Accounts. Diese Daten werden von den Kriminellen beispielsweise für CEO Fraud verwendet. Mit ca. 100 Wörtern, was weniger als einer Minute Sprachmaterial entspricht, können State-of-the-Art Sprachmodelle bereits genaue Imitationen erzeugen.
