Plattformen wie Linkedin oder Xing ermöglichen den Austausch mit Berufskolleginnen und -kollegen aus dem gleichen Arbeitsbereich. Sie ermöglichen aber auch das Knüpfen neuer Kontakte, und sogar Stellenangebote lassen sich über diese Portale abonnieren. Doch wo Menschen nach dem nächsten Karriereschritt suchen, wittern auch Angreifer ihre Chance. In den letzten Wochen wurden dem schweizerischen Bundesamt für Cybersicherheeit (BACS) gleich zwei Fälle gemeldet, bei denen Angreifer die Hoffnung auf einen neuen Job als Köder missbrauchten und versucht haben, auf Geräten von Stellensuchenden Schadsoftware zu installieren.
Im ersten Fall erhielt ein Software-Entwickler eine direkte Linkedin-Nachricht, angeblich von einer renommierten Personalberatung. Der Kommunikationsstil wirkte kompetent und unterschied sich kaum von einem echten Bewerbungsprozess. Nach einigen harmlosen Fragen folgte die Bitte, ein kurzes Vorstellungsvideo aufzunehmen und hochzuladen. Beim Hochladen des Videos trat dann aber ein technisches Problem auf. Um dieses zu lösen, wurde anschliessend vorgeschlagen, dass der Kandidat in der Kommandozeile seines Computers einen bestimmten Befehl ausführen solle. Der Befehls-Code wurde von den Angreifern entsprechend verschleiert ("obfuskiert"), so dass der eigentliche Befehl nicht mehr erkennbar war und so auch keine Skepsis erwecken konnte. Der Domain-Name, über den die eigentliche Schadsoftware ausgeliefert wurde, sah dem eines bekannten Technologieunternehmens täuschend ähnlich. Das System des Opfers wurde nach dem Ausführen des Befehls auf diese Weise vollständig kompromittiert: Dateien waren nicht mehr zugänglich. Im weiteren Verlauf wurden sogar Daten aus der iCloud gelöscht, damit das Opfer nicht auf sein Backup zugreifen konnte.
Auch im zweiten Fall nutzten die Täter Linkedin als Einstiegspunkt. Ein erfahrener IT-Spezialist wurde nach einer kurzen Kontaktphase zu einem Interview eingeladen, bei dem er seine Programmierfähigkeiten unter Beweis stellen sollte. Diese Vorgehensweise ist in dieser Branche durchaus üblich. Um die geforderte Testaufgabe zu bearbeiten, musste der Bewerber zunächst ein Paket mit Programmcode herunterladen, das angeblich zur Lösung der Aufgabe notwendig war. Was zunächst wie ein harmloses Testprojekt wirkte, entpuppte sich dann aber als raffinierte Angriffsmethode: In den bereitgestellten Dateien versteckte sich Programmcode, der darauf ausgelegt war, vertrauliche Daten vom Rechner des Opfers zu stehlen. In diesem Fall bemerkte der Software-Entwickler die Unregelmässigkeiten rechtzeitig und brach den Vorgang ab. Dadurch konnte eine Kompromittierung verhindert werden.
In solchen Betrugsvorfällen spielt Technologie eine sehr wichtige Rolle, doch der eigentliche Erfolgsfaktor ist der psychologische Aspekt. Betrüger nutzen bewusst die typische Dynamik eines Bewerbungsprozesses aus, um ihre Opfer zu täuschen. Attraktive Stellenangebote wirken wie der perfekte Einstiegspunkt. Dadurch, dass auf Plattformen wie Linkedin sehr viele persönliche Informationen einsehbar sind, haben die Angreifer ein leichtes Spiel. Durch die persönlichen Informationen können die Betrüger gezielt Fachkräfte anvisieren und scheinbar massgeschneiderte Positionen anbieten. Die Aussicht auf eine vielversprechende Karrierechance senkt die Wachsamkeit bei den Opfern.
Durch die geschickte Nachahmung der Websites bekannter Firmen, Personalvermittler oder Marken entsteht zudem der Eindruck einer legitimen Gesprächssituation. Häufig sind die Angreifer auf Plattformen wie Linkedin verifiziert. Dadurch steigt die Glaubwürdigkeit des Stellenangebots zusätzlich. Die Opfer befinden sich automatisch in der typischen hierarchischen Rollenverteilung. Die Betrüger instrumentalisieren berufliche Normen und nutzen die Dynamik zwischen Bewerber und Interviewer.
Während eines Interviews möchten Bewerbende den besten Eindruck erwecken und kooperativ wirken. Dadurch steigt die Wahrscheinlichkeit, ungewöhnliche und gefährliche Anweisungen ungeprüft auszuführen. Ein angeblicher technischer Fehler erscheint in diesem Moment nachvollziehbar und man wagt nicht, zu widersprechen.
Empfehlungen:
-- Bei Ungereimtheiten oder einem Verdacht abwägen, ob die Firma, von der die Ausschreibung angeblich stammt, tatsächlich Stellen zu besetzen hat. Gegebenenfalls nachfragen, z. B. telefonisch, über die auf der Homepage angegebene Nummer.
-- Sofort ab, sobald der Virenscanner anschlägt oder eine Browser-Warnung eingeblendet wird.
-- Datenschutz- und Privatsphäre-Einstellungen der sozialen Medienaccounts überprüfen und festlegen, welche persönlichen Informationen man teilen möchte.
-- Daten von einem selber nicht zu früh preisgeben. Kontodaten für Lohnzahlungen sind z. B. erst nach einer Zusage relevant.
