Amazon Phishing gehört wohl zu den beliebtesten Angriffsformen, wenn es darum geht, persönliche Daten sowie sensible Informationen von Personen in Erfahrung zu bringen. Hierbei bedienen sich Cyberkriminelle ganz unterschiedlicher Methoden, wobei diese zunehmend zielgerichteter werden. Mittlerweile hat sich in Bezug auf diese spezielle Angriffsart ein neuer Begriff namens Spear Phishing etabliert.

 

Sofern die Cyberattacken auf ein Unternehmen ausgerichtet sind, werden diese insbesondere durch Spionage-Angriffe auf einzelne Mitarbeiter geplant und durchgeführt. Dabei werden die Präferenzen und Interessen von einzelnen Mitarbeitern aus Unternehmen über Wochen, zum Teil auch über Monate beobachtet, um ein entsprechendes Profil der Zielperson erstellen zu können. Dies kann zum einen durch Social Engineering oder durch Analyse des Online-Verhaltens erfolgen.

 

Demnach erfolgen die Angriffe im Bereich der Wirtschafts- und Industriespionage nicht mehr direkt auf die geschäftlichen Accounts selbst, sondern verlagern sich zunehmend in das private Umfeld des Angegriffenen. Dabei wird z.B. überprüft, ob ein Mitarbeiter des anvisierten Unternehmens einen user account bei einem Online-Händler, wie beispielsweise Ebay oder Amazon besitzt. Diese Informationen können bei Ebay über das Bewertungsprofil von Mitgliedern und bei Amazon über die Wunschliste abgegriffen werden. Dieses Einfallstor dient dem sogenannten Amazon Phishing z.B. als Wegbereiter für einen Angriff.

 

Schon allein aufgrund dieser Schwachstellen sollten Sie und Ihre Mitarbeiter als Nutzer solcher Plattformen unbedingt darauf achten, dass es sich bei dem Nutzernamen nie um Ihren realen Namen oder den Firmennamen handelt. Es empfiehlt sich, den öffentlichen Zugriff auf die Wunschlisten in den Einstellungen bei Amazon zu deaktivieren, da Sie unter Umständen dem Amazon Phishing zum Opfer fallen könnten.

 

Doch wie funktioniert Amazon Phishing konkret?

Hat der Angreifer erst einmal in Erfahrung gebracht, dass die anvisierte Person einen Amazon Account besitzt, besteht die Möglichkeit, einen Angriff in Form einer fingierten Amazon E-Mail zu initiieren. Hierbei wird versucht Login-Daten abzugreifen, in dem der Empfänger eine E-Mail mit einem Link unter dem Vorwand erhält, sein Konto zu verifizieren. Diese angebliche Notwendigkeit wird dadurch intensiviert, dass dem Empfänger mitgeteilt wird, dass eine Sperrung des Benutzerkontos erfolgt, sollte der die Verifizierung nicht vorgenommen werden.

 

Da die Inhalte als auch der Aufbau einer solchen E-Mail zumeist äußerst professionell wirken, neigen einige der Empfänger dazu, den beigefügten Link gutgläubig aufzurufen. Was die Opfer des Amazon Phishing Angriffs nicht wissen, ist, dass sie häufig auf eine gespiegelte Copycat-Webseite gelangen, die eigens dafür konstruiert wurde, über Formularfelder Zugangsdaten abzugreifen. Exemplarisch gibt das Opfer die Daten in die Formularfelder der fragwürdigen Webseite ein und erhält z.B. die Benachrichtigung, dass die Eingabe fehlerhaft war. Zu diesem Zeitpunkt hat der Cyberkriminelle bereits die Zugangsdaten für den Amazon Account in Erfahrung gebracht.

 

Ebenfalls denkbar ist eine leichte Abwandlung des Angriffs per Amazon Phishing. So wird u.a. der Empfänger einer solchen E-Mail mit bestimmten panikauslösenden Betreffzeilen irritiert. Diese könnten z.B. lauten: „3. Mahnung: Bezahlen Sie umgehend Ihre Rechnung bei Händler XY in Höhe von 120,00 Euro“ oder „Wichtige Information: Ihr Amazon Benutzerkonto wurde gesperrt!“. Diese teilweise angsteinflößende Methode durch Amazon Phishing ist recht effektiv. Fühlen sich die Empfänger solcher E-Mails unter Druck gesetzt, klicken Sie eventuell auf den beigefügten Link zu einer Webseite und geben dort ihre persönlichen Benutzerdaten preis.

 

Was passiert durch die per Amazon Phishing in Erfahrung gebrachten Daten

Leichtfertig verwendet eine Vielzahl der Internetnutzer ein und dasselbe Passwort für verschiedene Accounts. Dies bedeutet konkret, dass z.B. die Benutzerdaten, die durch einen Cyberkriminellen über Amazon Phishing in Erfahrung gebracht wurden, u.U. auch für einen Account im Firmennetzwerk Gültigkeit besitzen können. Mitarbeiter, die folglich ein universelles Passwort verwenden, gefährden letztlich nicht nur sich selbst, sondern ebenfalls auch das Unternehmen, in welchem sie tätig sind.

 

Weiterführende Informationen

  1. Schutz vor Spear Phishing
  2. Amazon Phishing Angriff melden