Unter dem Begriff Phishing (Neologismus und Kompositum von „fishing“, engl. für „angeln“ und „phreaking“ für „hacken“) versteht man Täuschungsversuche, sich über gefälschte Webseiten, E-Mails oder Kurznachrichten als vertrauenswürdiger Kommunikationspartner in einer elektronischen Kommunikation auszugeben. Ziel des Betrugs ist es, z. B. an persönliche Daten eines Internet-Benutzers zu gelangen, etwa ihn zur Ausführung einer schädlichen Aktion wie das Anmelden bei einem gefälschten / nachgebauten Webauftritt zu bewegen, um die Zugangsdaten wie das Passwort und den Benutzernamen und gegebenenfalls auch einen 2. Faktor für die 2-Faktor-Identifizierung zu erschleichen. In der Folge werden dann beispielsweise Kontoplünderungen begangen, Bestellungen mit der Unterschlagung von Konsumgütern und der Verkauf dieser an Dritte getätigt, ein weitergehender Identitätsdiebstahl begangen oder eine Schadsoftware installiert. Es handelt sich dabei um eine Form des Social Engineering, bei dem die Gutgläubigkeit des Opfers ausgenutzt wird. Das englische Kunstwort PCWorld.com, abgerufen am 16. August 2006 verbildlicht das Angeln nach Passwörtern mit Ködern.A. Mitchell: . In: TechNewsWorld, 12. Juli 2005 Die Schreibweise mit Ph- entstammt dem Hacker-Jargon (vgl. auch Phreaking).Da Chronic episode : AOLUnderground auf reddit.com
mini|Phishing-Webseite: Sie sieht aus wie die Seite einer Sparkasse, ist jedoch eine vom Phisher präparierte Webseite. Der Klick auf die Schaltfläche in der Mitte würde den nichts ahnenden Besucher auffordern, persönliche Daten einzugeben, die der Phisher dann abfängt. Typisch ist dabei die Nachahmung des Internetauftritts einer vertrauenswürdigen Stelle, etwa der Internetseite einer Bank. Um keinen Verdacht zu erregen, wird das Corporate Design der betroffenen Stelle nachgeahmt, so werden etwa dieselben Firmenlogos, Schriftarten und Layouts verwendet. Der Benutzer wird dann auf einer solchen gefälschten Seite etwa dazu aufgefordert, in ein Formular die Anmelde-Daten oder auch Transaktionsnummern für sein Onlinebanking einzugeben. Diese Daten werden dann an den Betrüger weitergeleitet und dazu missbraucht, das Konto zu plündern.
Phishing-Nachrichten werden meist per E-Mail oder Instant-Messaging versandtK. Tan: Phishing and Spamming via IM (SPIM). Internet Storm Center; abgerufen am 5. Dezember 2006 und fordern den Empfänger auf, auf einer präparierten Webseite oder am TelefonE. Skoudis: Phone phishing: The role of VoIP in phishing attacks. In: searchSecurity, 13. Juni 2006 geheime Zugangsdaten preiszugeben. Versuche, der wachsenden Anzahl an Phishing-Versuchen Herr zu werden, setzen unter anderem auf geänderte Rechtsprechung, Anwendertraining und technische Hilfsmittel.
Der erste dokumentierte Phishing-Versuch fand am 2. Januar 1996 in der Usenet-Newsgroup alt.online-service.america-online statt,phish, v., OED Online, March 2006, Oxford University Press. Oxford English Dictionary Online Ausgewertet am 9. August 2006 der Begriff Phishing tauchte jedoch möglicherweise bereits zuvor in der Druckausgabe des Hacker-Magazins 2600 auf.G. Ollmann: The Phishing Guide: Understanding and Preventing Phishing Attacks. Technical Info. Ausgewertet am 10. Juli 2006
Geschichte Phishing ist keine neue Erscheinung. Tatsächlich gab es unter sozialen Manipulationen ähnliche Betrugsversuche, und zwar bereits lange bevor E-Mail und Internet zum alltäglichen Kommunikationsmittel wurden. Dabei versuchten Betrüger über das Telefon, sich das Vertrauen der Opfer zu erschleichen und ihnen vertrauliche Informationen zu entlocken. Durch die kostengünstige IP-Telefonie wird dieses, nun Vishing genannte, Vorgehen wieder lohnend für Betrüger. Ein Beispiel für verwendete Trickbetrügereien ist der Enkeltrick. Neu sind beim Phishing lediglich die Werkzeuge, die eine weitaus größere Verbreitung ermöglichen.
Die Anfänge des Phishings im Internet reichen bis zum Ende der 1990er Jahre zurück. Damals wurden Nutzer von Instant-Messengern wie z. B. ICQ per E-Mail aufgefordert, ihre Zugangsdaten in ein in der E-Mail enthaltenes Formular einzutragen. Mit den so erhaltenen Zugangsdaten konnten die Betrüger die Chat-Zugänge ihrer Opfer unter deren Identität nutzen.
Die ersten Phishing-Angriffe im Bereich des Online-Banking begannen damit, dass der Urheber einer Phishing-Attacke seinem Opfer offiziell wirkende Schreiben als E-Mail schickte, die ihn dazu verleiten sollen, dem Täter vertrauliche Informationen, vor allem Benutzernamen und Passwörter oder PIN und TAN von Online-Banking-Zugängen, im guten Glauben preiszugeben. Übergibt der Besucher korrekte Daten, kann der Betrüger mit der abgefangenen PIN und TAN eine Geldüberweisung zu Lasten des Opfers tätigen. Nachdem die meisten Banken ihre TAN-Systeme verbessert haben, wird diese relativ simple Methode, Kontozugangsdaten abzufangen, nur noch selten angewendet.
Neuere Methoden In der Gegenwart gelingt es Phishing-Betrügern vor allem mit Hilfe von Schadprogrammen wie beispielsweise mit trojanischen Pferden, sich in dem Kommunikationsweg zwischen Bankkunde und Bank zwischenzuschalten (Man-in-the-Middle-Angriff) und Daten abzugreifen, die dann nie bei der Bank ankommen. Der Umweg, den Bankkunden über das Versenden einer E-Mail zur Preisgabe seiner Zugangsdaten zu verleiten, ist damit nicht mehr notwendig. Diese Form des Abgreifens von Kontozugangsdaten ermöglichte es den Tätern, auch Systeme wie das iTAN-Verfahren mit indizierten Transaktionsnummern zu überlisten.
Phishing-Angriffsziele sind dabei Zugangsdaten, zum Beispiel für Onlinebanking oder Online-Bezahlsysteme (zum Beispiel PayPal), Versandhäuser, Internet-Auktionshäuser, webbasierende Onlineberatungen, Packstationen oder Singlebörsen. Mit den gestohlenen Zugangsdaten kann der Urheber der Phishing-Attacke die Identität seines Opfers übernehmen (Identitätsdiebstahl) und in dessen Namen Handlungen ausführen. Durch den Missbrauch der persönlichen Daten entstehen beträchtliche Schäden in Form von Vermögensschäden (zum Beispiel Überweisung von Geldbeträgen fremder Konten), Rufschädigung (beispielsweise die Versteigerung gestohlener Waren unter fremdem Namen bei Online-Auktionen) oder Schäden durch Aufwendungen für Aufklärung und Wiedergutmachung. Über die Höhe der Schäden gibt es nur Schätzungen. Laut dem von der NSA korrumpierten IT-Unternehmen RSA gab es allein in den USA im Jahr 2011 etwa 280.000 Phishing-Attacken und damit einen Anstieg um 37 Prozent gegenüber dem Vorjahr. Im Schnitt konnten die Täter mit jedem Angriff ungefähr 4.500 Dollar erbeuten., t3n, 12. April 2012, abgerufen am 17. April 2012.
Spear-Phishing Eine neuere Variante des Phishings wird als Spear-Phishing bezeichnet (abgeleitet vom englischen Wort für Speer), worunter ein gezielter Angriff zu verstehen ist. Dabei stimmt der Angreifer Empfängerkreis und Inhalt seiner Phishing-Mail aufeinander ab. Beispielsweise könnte ein Angreifer vorgebliche E-Mails einer lokal ansässigen Bank an die Mitglieder lokaler Vereine oder Hochschulen senden. Ein anderes Beispiel wäre eine E-Mail an sämtliche Mitarbeiter einer Firma, die möglicherweise durch die Erwähnung interner Gegebenheiten plausibler erscheint.
Die „Trefferquote“ bei dieser Art von Phishing-Attacken ist höher als bei normalen Phishing-Angriffen. Im Beispiel lokaler Vereine oder Hochschulen ist etwa die Wahrscheinlichkeit, dass ein E-Mail-Empfänger seine Bankverbindung bei dem vorgegebenen Institut unterhält, besonders hoch.
Eine Untervariante des Spear-Phishings ist das Whaling (Substantivierung des englischen Verbs „to whale“ mit der Bedeutung Walfang), bei dem sich die gezielte Attacke gegen hohe Führungskräfte richtet. Wird dabei persönliche Information über das Opfer und KI eingesetzt, spricht man auch von Harpoon Whaling (englischer Begriff für den Walfang mit Harpune).
Pharming Eine weiterentwickelte Form des klassischen Phishings ist das Pharming, welches auf einer Manipulation der DNS-Anfragen von Webbrowsern basiert.
Methoden der Datenbeschaffung Im Allgemeinen beginnt eine Phishing-Attacke mit einer persönlich gehaltenen, offiziell anmutenden E-Mail oder einem Massenversand von E-Mails, wobei der Empfänger stets mit „Sehr geehrter Kunde“ angesprochen wird anstatt mit dem eigentlichen Namen, welcher normalerweise der Bank bekannt ist – eine der Möglichkeiten, Phishing-Mails zu erkennen. Der Empfänger soll eine betrügerische Webseite besuchen, die mehr oder weniger täuschend echt aussieht und unter einem Vorwand zur Eingabe seiner Zugangsdaten auffordert. Die gefälschten Webseiten sind in aller Regel schon allein aus ungeschickten Formulierungen (oft Ergebnis einer Computerübersetzung), orthographischen oder syntaktischen Fehlern erkennbar. Manchmal sind Mails mit gefälschten Absendern einfach an der falschen Sprache erkennbar, wenn etwa eine angeblich deutsche Bank ihr Rundschreiben mit dem Gruß „Yours truly“ oder anderen nicht authentischen Formulierungen abschließt. Oft erkennt man Fälschungen auch daran, dass der Versender eine falsche Kodierung verwendet, sodass statt eines Sonderzeichens westlicher Sprachen (zum Beispiel deutsche Umlaute oder Buchstaben mit französischen, oder italienischen Akzenten) in einem lateinisch kodierten Text einzelne kyrillische Buchstaben erscheinen. Meistens wird das Opfer zusätzlich in falscher Sicherheit gewiegt, indem im Text das Problem des Datendiebstahls thematisiert wird und behauptet wird, dass das Ausfüllen des Formulars nötig sei, damit ein „neuartiges Sicherheitskonzept“ wirksam werden könne. Folgt er dieser Aufforderung, gelangen seine Zugangsdaten in die Hände der Urheber der Phishing-Attacke. Was dann folgt, soll nur noch nachträgliches Misstrauen des Opfers zerstreuen – eine kurze Bestätigung oder eine falsche Fehlermeldung. Betrügern ist es möglich, eine Phishing-Mail mit einer gefälschten, täuschend echten Absenderadresse zu versenden.
In den gefährlicheren Angriffsformen befindet sich die Malware auf einer infizierten Webseite. Diese wird dann allein durch den Besuch der Website auf dem Computer des Internetnutzers installiert. Hierbei ist es möglich, dass auch eine seriöse Internetseite ohne Kenntnis des Betreibers infiziert wurde. In diesem Fall ist das Versenden einer E-Mail entbehrlich.
Eine andere Variante bindet ein Formular direkt innerhalb einer HTML-E-Mail ein, das zur Eingabe der vertraulichen Daten auffordert und diese an die Urheber sendet. Auf eine Phishing-Webseite wird hierbei verzichtet.
Die Frankfurter Allgemeine Zeitung berichtete 2009 von einem Man-in-the-Middle-Angriff von Tätern aus St. Petersburg, die im Jahre 2008 430 Internetknotenrechner scannten und auf diese Weise 25 Mio. € erbeutet hatten.P. Welchering: In: FAZ, 25. August 2009, Motor und Technik, S. T1
Methoden der Verschleierung E-Mail
mini|Beispiel einer Phishing-Mail
Die E-Mail wird als HTML-E-Mail, eine E-Mail mit den grafischen Möglichkeiten von Webseiten, verfasst. Der Verweistext zeigt die Originaladresse an, während das unsichtbare Verweisziel auf die Adresse der gefälschten Webseite verweist (Link-Spoofing).
Sowohl in E-Mails wie in Webseiten kann die Mehrdeutigkeit sichtbarer Zeichen ausgenützt werden. In serifenlosen Schriften wie Calibri oder Arial sieht der Kleinbuchstabe „l“ (12. Buchstabe des Alphabets) so aus wie der Großbuchstabe „I“ (9. Buchstabe des Alphabets), auch die Null und der Großbuchstabe „O“ lassen sich leicht verwechseln, desgleichen verwenden Fälschungen bisweilen die Ziffer „1“ statt den Kleinbuchstaben „l“ (12. Buchstabe des Alphabets) und umgekehrt. Damit wird der Benutzer über die wahre Adresse des Absenders einer Mail oder die wirkliche URL einer Webseite getäuscht.