KI-gestützter Cyberbetrug: Fake-Websites täuschend echt

Cyberbetrug – Angreifer setzen zur Erstellung professioneller Fake-Websites auf KI.

Vor kurzem hat Malwarebytes in einem Blogbeitrag vom Fund einer Fake-Website berichtet. Diese ist dem Kundenportal des bekannten Anbieters von Cybersicherheits- und Antivirenschutzsoftware Avast nachempfunden. Eine nähere Untersuchung des Quellcodes der Website ergab, dass Kriminelle sie mit hoher Wahrscheinlichkeit unter Zuhilfenahme einer KI erstellt haben.

Zusammenfassung (TL; DR):

• Cyberkriminelle nutzen zunehmend künstliche Intelligenz, um ohne tiefes Fachwissen täuschend echte Fake-Websites für Phishing-Angriffe zu erstellen.
• Der geplante Angriffsmodus basierte auf gefälschten Abo-Verlängerungen. Hier sollen Opfer über ein Kündigungsformular sensible Daten eingeben.
• Da klassische Merkmale wie Grammatikfehler durch die KI-Unterstützung entfallen, müssen Unternehmen auf moderne Sicherheitssysteme und ein geschärftes Bewusstsein ihrer Mitarbeiter setzen.

Überzeugender Online-Auftritt

Besuchern wurde auf dem Fake-Kundenportal erklärt, dass sie ihr Avast Premium Security-Abonnement für 129,99 € verlängert haben. Der Auftritt der Website war überzeugend. Layout, Grafiken und Aufbau sahen professionell aus. Die Besucher erfuhren, dass ihr Account derzeit fünf Endgeräte abdeckt. Und: dass sich ihr Abonnement im kommenden Februar automatisch verlängert.

Wollten die Betroffenen das Abonnement nun beenden, konnten sie hierzu auf der Fake-Website einen Cancel-Link anwählen. Diese leitete sie zu einem Kündigungsformular weiter. Hier sollten sie ihren Namen, ihre E-Mail-Adresse und ihre Mobilfunknummer eingeben.

Vermutungen zum Angriffsplan

Der wahrscheinliche Angriffsplan der Angreifer: zunächst sollten ausgewählte Opfer, zum Beispiel über eine E-Mail, einen Link zur Webseite erhalten. Klickten sie auf den Link, leitet man sie zum Fake-Kundenportal weiter. Hier sehen sie, dass für sie – ohne ihr Wissen – ein Abonnement abgeschlossen haben. Möchten sie das Abonnement kündigen, müssen sie hierzu das Kündigungsformular ausfüllen und absenden. Die Angreifer informieren dann von der Website über den Besucher, erhalten die Kontaktdaten erhalten und rufen das Opfer, getarnt als Support-Mitarbeiter von Avast, an. In dieser Rolle verleiten sie ihr Opfer dann dazu, Malware – etwa eine getarnte Fernwartungssoftware – zu installieren, Finanzdaten preiszugeben oder betrügerische Finanztransaktionen durchzuführen.

Zunächst die gute Nachricht: die Website wurde wohl nie fertig gestellt, scheint also nie für einen Angriff eingesetzt worden zu sein.

Aber: Eine technische Analyse des Quellcodes der Webseite ergab, dass sie mit hoher Wahrscheinlichkeit unter Zuhilfenahme einer KI erstellt worden war. Im HTML-Code der Webseite stießen die Forscher von Malwarebytes auf Höflichkeitsformeln und Anweisungen, die typisch für KI-Assistenten sind. Weitere Indizien, wie ungenutzte Formatierungsreste und syntaktisch fehlerfreie, aber inhaltlich vage Formulierungen ohne konkrete Funktionen, erhärteten ihren Verdacht.

Cyberkriminelle greifen auf vorgefertigte KI-Templates zurück

Immer häufiger greifen Cyberkriminelle auf vorgefertigte KI-Templates zurück – die rasch und immer rascher skaliert und angepasst werden können. Früher erforderte die Erstellung solcher Fake-Websites noch ein erhebliches Maß an Fachwissen und Arbeitszeit, was ihrem Einsatz enge Grenzen setzte – quanti- wie qualitativ. KI hat diese Hürden erheblich gesenkt. Spezialisiertes Fachwissen ist kaum noch erforderlich, um eine qualitativ hochwertige Fake-Webseite, zum Beispiel für einen Phishing-Angriff, zu erstellen. Und die Arbeitszeit, die in ihren Aufbau investiert werden muss, ist ebenfalls deutlich zurückgegangen.

Die Professionalität mit der Fake-Websites, wie die kürzlich von Malwarebytes aufgespürte, mittlerweile erstellt werden können, zeigt deutlich, dass traditionelle Sicherheitspraktiken, wie sie in den vergangenen Jahren und Jahrzehnten Gang und gäbe waren, an ihr Ende gekommen sind. Das klassische Prüfen verdächtiger Websites auf Rechtschreib-, Grammatik- und Satzbaufehler, auf unbekannte oder gefälschte Logos allein genügt nicht mehr. Anwender müssen geschult und trainiert werden, nicht mehr das Erscheinungsbild einer Nachricht zu bewerten, sondern stattdessen den Prozess, den die Nachricht anstoßen soll, gezielt zu hinterfragen.

Fake-Websites: So schult man Mitarbeiter

Um die eigenen Mitarbeiter effektiv vor solchen und ähnlichen KI-gestützten Betrugsversuchen zu schützen, ist deshalb nicht allein ein Ausbau der technischen Schutzmaßnahmen, sondern auch und gerade der Ausbau des Sicherheitsbewusstseins der gesamten digitalen Belegschaft zwingend erforderlich.

Am effektivsten – da umfassendsten – helfen kann ihnen hier der Einsatz eines modernen Systems zur Absicherung der gesamten Digital Workforce. Seine Phishing-Trainings, -Schulungen und -Tests lassen sich, KI sei Dank, mittlerweile personalisieren und automatisiert – kontinuierlich – zum Einsatz bringen, um Mitarbeiter zu stärken. Seine modernen Anti-Phishing-E-Mail-Technologien kombinieren KI mit Crowdsourcing, um neueste Zero Day-Bedrohungen frühzeitig aufzuspüren und rechtzeitig abzuwehren. Mit solchen und ähnlichen Systemen ist es Unternehmen möglich, Risiken signifikant zurückzufahren und Mitarbeiter zur besten Verteidigung im Kampf gegen Cyberbedrohungen zu machen.

Häufige Fragen (FAQ)