Sicherheitsexperten haben gewarnt, dass legitime Microsoft SharePoint-Benachrichtigungen selbst die technisch versiertesten Mitarbeiter täuschen, da Bedrohungsakteure versuchen, Phishing-Betrügereien einzurichten, um mehr Unternehmen anzugreifen.
Ein Bericht von Kaspersky (öffnet in neuem Tab) entdeckte zwischen Dezember 2022 und Februar 2023 mehr als 1.600 böswillige Benachrichtigungen, als Cyberkriminelle Unternehmen in Österreich, Frankreich, Indien, Italien, Japan, den Niederlanden, Russland, Singapur, Südkorea, Spanien und den USA ins Visier nahmen.
Trotz der irreführenden E-Mail-Benachrichtigungen gibt es jedoch einige klare Anzeichen, die Unternehmen dabei helfen, potenzielle Betrugsaktivitäten zu erkennen.
SharePoint-Phishing-Betrug
Legitime E-Mails mit freigegebenen Dateien werden von Unternehmen empfangen, die Microsoft 365 verwenden Online-Tools für die Zusammenarbeitohne dass ein dubioser Link in Sicht ist, und hilft E-Mails, die Sicherheitsfilter zu umgehen, die Benutzer normalerweise daran hindern, solche E-Mails zu erhalten.
Die freigegebene OneNote-Datei enthält dann eine weitere Benachrichtigung über eine freigegebene Datei, diesmal in eine Datei wie eine PDF.
Wenn ein Benutzer auf dieses Symbol klickt, nimmt der Phishing-Betrug an Fahrt auf, da ein zwielichtiger Link geöffnet wird, der den Benutzer auffordert, sich bei seinem Microsoft-Konto anzumelden. An diesem Punkt gibt ein bescheidener Benutzer seine Anmeldeinformationen weiter und gefährdet damit seine eigenen und die Unternehmensdaten. Yahoo, AOL, Outlook und Office 365 werden alle als Anmeldemethoden angeboten und von Kaspersky als anfällige Konten gekennzeichnet.
Einige Ratschläge, die der Spam-Analyse-Experte der Sicherheitsfirma teilt, beinhalten, dass Sie der ersten E-Mail überdrüssig sind, da offensichtlich der Name oder die E-Mail-Adresse eines Kollegen und eine Nachricht im Text fehlen. Später zeigt die Webadresse des Phishing-Links keine Anzeichen einer Verbindung zu Servern von Microsoft oder des Unternehmens, was Warnsignale auslöst.
Letztendlich bleibt trotz des geringen Schutzes gegen solche ausgeklügelten Angriffe im Vergleich zu rudimentäreren Phishing-E-Mails regelmäßiges Training und Auffrischung seitens des Unternehmens eine der besten Waffen gegen Angriffe.