Cybersecurity Phishing-Angriffe: Sicherheitslücke in Schulungs-Programm von Microsoft entdeckt

Anbieter zum Thema

CADFEM Germany GmbH

Kendox AG

Esker Software Entwicklungs-und Vertrieb

Die Software „Attack Simulation Training“ von Microsoft soll Mitarbeiter von Unternehmen darin schulen, Phishing-Angriffe zu erkennen. Ein Fehler führte zu einer schwerwiegenden Sicherheitslücke. Ein ernsthaftes Risiko, tausende Nutzer der Gefahr von Phishing-Angriffen durch Cyberkriminelle auszusetzen.

Die Software „Attack Simulation Training“ von Microsoft wurde entwickelt, Mitarbeiter von Unternehmen zum Thema Phishing-Angriffe zu schulen. Das Programm hätte Anwender beinahe erheblichen Sicherheitsrisiken ausgesetzt. Eigentlich dient das Programm als Übungsfeld für Mitarbeiter, um potenzielle Bedrohungen wie Phishing-Angriffe zu erkennen sowie auf sie zu reagieren. Der Fehler, der zur Sicherheitslücke führte, stellte ein ernsthaftes Risiko dar sowie hatte das Potenzial, tausende ahnungsloser Nutzer Cyberkriminellen auszusetzen.

Aufgedeckt wurde diese schwerwiegende Sicherheitslücke von Vaisha Bernard, Chef-Hacker des Cybersicherheits-Anbieters Eye Security. Dieser spielte eine entscheidende Rolle dabei, Microsoft bei der Behebung der Schwachstelle zu unterstützen. Ursprünglich wollte Bernard das „Attack Simulation Training“ ins Portfolio von Eye Security für Kunden aufzunehmen, weshalb er das Programm testete. Dabei entdeckte er eine Sicherheitslücke durch eine Phishing-E-Mail-Vorlage innerhalb des Programms.

Anti-Phishing-Schulungsprogramm könnte Phishing-Angriffe starten

Ein Link in der Vorlage führte ihn zu einer nicht existierenden Confluence-Seite. Bernard registrierte die Seite auf seinen Namen und erhielt daraufhin E-Mails von Benutzern aus der ganzen Welt, die Zugriff auf die Seite forderten. Dabei bemerkte Bernard folgendes Problem: Die Vorlagen enthielten nicht nur Links zu nicht registrierten Seiten und Domänen. Auch die von Microsoft verwendeten E-Mail-Adressen für das Versenden von Phishing-Simulationen waren mit nicht registrierten Domänen verknüpft.

Das bedeutete: Jeder konnte sich für zehn US-Dollar ganz einfach für die Domäne registrieren. Bernard registrierte einige Domänen. Daraufhin erhielt er Antworten auf die Phishing-Simulationen von Mitarbeitern in Unternehmen weltweit. Neben Mitarbeitenden, die wussten, dass es sich um eine Betrugsmasche handelte, gab es viele, die darum baten, eine PDF-Datei der simulierten Malware erneut zu senden. 

Sicherheitslücke hätte die Schutzmechanismen umgangen

„Natürlich habe ich Microsoft sofort informiert, und gemeinsam haben wir das Problem inzwischen behoben. Wäre ein Cyberkrimineller mir zuvor gekommen, hätten tausende ahnungsloser Mitarbeiter von Unternehmen, also Microsoft-Kunden, auf verdächtige Links geklickt und wären Opfer von Attacken wie Phishing-Angriffe geworden. Ironischerweise hätte sich das „Attack Simulation Training“ selbst in ein echtes Phishing-Angriffsprogramm verwandelt, das alle Schutzmechanismen umgangen hätte”, erläutert Bernard.

Eye Security wurde 2020 von Job Kuijpers, Vincent van de Ven und Piet Kerkhofs gegründet. Die ehemaligen Mitarbeiter des Nachrichten- sowie Sicherheitsdienstes der Niederlande stellen hochwertige Sicherheitslösungen für KMU in Euroa in einem Komplettpaket zur Verfügung. (sg)

Lesen Sie auch: IT-Security-Trends: Auf was sich die Unternehmen 2024 einstellen sollten