Whaling

So funktioniert es

Eine Whaling-Nachricht ist recherchiert und personalisiert: Sie nimmt Bezug auf echte Deals, trifft den richtigen Ton und scheint oft von einem Vorstandsmitglied, Anwalt oder Wirtschaftsprüfer zu stammen. Da Führungskräfte große Aktionen freigeben können, lohnt sich ein einziger Erfolg, weshalb Angreifer mehr Aufwand investieren als bei Massen-Phishing.

Es geht häufig mit Impersonation von Führungskräften und einer Lookalike-Absender-Domain einher.

Bezug zur Brand-Impersonation

Whaling ist Spear-Phishing, hochskaliert auf die Personen mit der größten Autorität. Die gefälschten Identitäten und Domains dahinter sind genau die Art, auf die Monitoring und Takedowns zielen.

So hilft nebty

nebty erkennt die Lookalike-Domains und gefälschten Führungskräfte-Profile, mit denen Whaling-Angriffe gegen Ihre Führung vorbereitet werden, und entfernt sie auf Abruf.

Warum sich Führungskräfte für den Aufwand lohnen

Whaling rechtfertigt mehr Angreiferaufwand, weil der Ertrag größer ist und das Ziel ihn direkt freigeben kann. Eine hochrangige Führungskraft kann eine Überweisung genehmigen, sensible Dateien freigeben oder einen Untergebenen anweisen, der die Bitte nicht hinterfragt, daher investieren Angreifer in Recherche und Geduld, die Massen-Phishing nie aufbringt. Der Köder ist auf die Rolle zugeschnitten: eine vertrauliche Übernahme, eine Rechtssache, eine Vorstandsbitte, so formuliert, dass das Ziel davon abgehalten wird, mit jemandem Rücksprache zu halten. Dieselbe Sichtbarkeit, die Führungskräfte zu wirksamen Sprechern macht, öffentliche Profile, Konferenzvorträge, Pressezitate, liefert Angreifern auch das Material, sie überzeugend zu imitieren. Das Risiko zu senken heißt eine feste Verifizierungsregel für hochwertige Aktionen, unabhängig davon, wer zu fragen scheint, plus Monitoring der Fake-Profile und Lookalike-Domains, auf die Whaling angewiesen ist.

Ein konkretes Beispiel

Die Leiterin der Rechtsabteilung von Solara Finance erhält eine E-Mail zu einer angeblich laufenden aufsichtsrechtlichen Anfrage, mit ihrem Namen angeschrieben, mit der echten Handelsregisternummer, mit Link auf eine „Fallakte“ in einem Dokumentenportal. Die Absender-Domain imitiert eine echte Kanzlei. Das Portal verlangt die Anmeldung mit ihrem Firmenkonto: Das eigentliche Ziel ist ihr Postfach, das den Angreifern jeden vertraulichen Thread im Unternehmen öffnen würde. Sie leitet die Mail an die Security weiter, statt zu klicken; die Lookalike-Kanzlei-Domain fällt zwei Tage später.

Erkennen & Abwehren

1. Geben Sie Führungskräften dieselbe Verifizierungsregel wie allen anderen: Anfragen mit hohem Wert werden über einen bekannten Kanal bestätigt, egal wie hochrangig oder vertraulich der Rahmen wirkt.
2. Briefen Sie die Führungsebene auf das entscheidende Muster: Dringlichkeit plus Geheimhaltung plus Umgehung des normalen Prozesses ist die Signatur eines Whaling-Köders.
3. Überwachen Sie die Fake-Profile und Lookalike-Domains rund um Ihre Führungskräfte und lassen Sie sie entfernen, bevor sie einen Angriff verankern.

Häufige Fragen