Stellen Sie sich vor, Sie suchen nach einer bekannten Plattform und landen stattdessen auf einer Website, die Ihr Geld stiehlt – genau das passiert täglich tausenden Nutzern durch Suchmaschinen-Phishing. Suchmaschinen sind ein unverzichtbares Werkzeug für die Informationssuche. Allein Google verarbeitet pro Tag mehr als 8,5 Milliarden Suchanfragen weltweit. Doch während Sie Suchmaschinen selbstverständlich nutzen, um Antworten auf Ihre Fragen zu erhalten, lauern im Hintergrund Gefahren für Ihre Cybersicherheit.
Eine dieser Bedrohungen ist das sogenannte Suchmaschinen-Phishing. Diese Form des Cyberangriffs nutzt die Vertrauenswürdigkeit und hohe Reichweite von Suchmaschinen aus, um ahnungslose Nutzer auf betrügerische Websites zu locken. In diesem Artikel werfen wir einen genaueren Blick auf die Mechanismen hinter Suchmaschinen-Phishing, aktuelle Entwicklungen und welche Maßnahmen zur Erkennung und Prävention beitragen können.
Was ist Suchmaschinen-Phishing?
Suchmaschinen-Phishing, auch bekannt als „Search Engine Phishing“ oder „SEO Poisining“, ist eine Form des Cyberangriffs, bei dem Angreifer manipulierte Websites erstellen und diese so optimieren (SEO), dass sie in den Suchergebnissen von Google und Co. weit oben erscheinen. Neben SEO setzen Hacker auch auf klassische Werbeanzeigen, um ihren Websites ein hohes Ranking zu ermöglichen.
Das Ziel ist es, Nutzer dazu zu bringen, auf diese betrügerischen Links zu klicken, in der Annahme, dass es sich um legitime Websites handelt. Sobald die Nutzer auf diese Links klicken, können sie auf gefälschte Seiten weitergeleitet werden, die darauf abzielen, persönliche Informationen wie Passwörter, Kreditkartendaten oder andere sensible Daten zu stehlen.
Aktuelle Trends und Entwicklungen
Phishing, wozu neben Suchmaschinen-Phishing auch das Anklicken von manipulierten Links in E-Mails gehört, ist eine der Hauptgefahren im Bereich IT-Sicherheit. Die Attacken richten sich dabei gegen Privatpersonen und Unternehmen. Trotz vieler aufmerksamkeitsstarker Phishing-Vorfällen in den vergangenen Jahren ist die Methode weiterhin sehr erfolgreich und ermöglicht Cyberkriminellen Daten oder Geld zu ergattern.
Eine Studie des Sicherheitsunternehmen Netskope zeigt, dass in 2024 Mitarbeitende in Unternehmen fast dreimal so häufig auf Phishing-Links geklickt haben als noch 2023. Fast jeder fünfte Klick auf einen Phishing-Link erfolgte von einer Suchmaschine. Der „Erfolg“ dieser Cyberattacken wird mit dem Ermüdungs-Phänomen und der neuen Kreativität der Hacker begründet. Mitarbeitende sind durch die hohe Anzahl an Phishing-Versuchen kognitiv ermüdet und dadurch verleitet Links anzuklicken, obwohl sie es besser wissen.
Zudem werden die E-Mails und Suchmaschineneinträge durch den Einsatz von Künstlicher Intelligenz immer professioneller. Für die Adressaten werden die Phishing-Attacken dadurch schwerer erkennbar. Die Studie zeigte außerdem, dass die Hacker vor allem Zugangsdaten von Cloud-Diensten abfragten. Mehr als ein Viertel der angeklickten Phishing-Links führten laut Netskope auf gefälschte Login-Seiten von Cloud-Diensten wie Microsoft, Adobe Cloud oder DocuSign.
Der Krypto-Coup
Ein konkretes Beispiel für eine Suchmaschinen-Phishing-Attacke wurde im September 2024 aufgedeckt. Bei der Suchmaschine DuckDuckGo wurden bei der Suche nach dem beliebten Ethereum-Block-Explorer „Etherscan“ Phishing-Websites angezeigt. Beim Aufruf dieser gefälschten Websites genehmigten die Nutzer unwissentlich den Hackern Geld aus ihrem Krypto-Wallet abzuheben. Laut der Ermittlungen wurden allein im August 2024 9.100 Personen Opfer dieser Cyberattacke und verloren etwa 63 Millionen US-Dollar.
Dieses Beispiel zeigt, wie professionell Suchmaschinen-Phishing ist und welche Folgen ein solcher Angriff mit sich bringen kann. Für Unternehmen könnte ein solcher Vorfall schnell existenzbedrohend werden, wenn unwissentlich Daten freigegeben oder Überweisungen getätigt werden.
Schutzmaßnahmen gegen Suchmaschinen-Phishing
- Vorsicht bei Suchergebnissen: Achten Sie darauf, nur auf vertrauenswürdige Links zu klicken und überprüfen Sie die URL sorgfältig.
- Verwendung von Sicherheitssoftware: Nutzen Sie aktuelle Sicherheitssoftware, die Phishing-Websites erkennen und blockieren kann.
- Schulung und Sensibilisierung: Unternehmen sollten ihre Mitarbeitenden regelmäßig über die Gefahren von Phishing und die neuesten Methoden der Angreifer informieren.
- Zwei-Faktor-Authentifizierung: Aktivieren Sie die Zwei-Faktor-Authentifizierung, um zusätzlichen Schutz für Ihre Konten zu gewährleisten.
Reagieren im Ernstfall
Falls die präventiven Maßnahmen im Ernstfall nicht gegriffen haben und Ihr Unternehmen Opfer einer Suchmaschinen-Phishing-Attacke geworden ist, sollten Sie schnellstmöglich ein Antiviren- oder Anti-Malware-Programm starten. Nur so kann gewährleistet werden, dass die Malware entfernt wird und keinen weiteren Schaden anrichtet. Außerdem sollten Sie alle Passwörter ändern und Ihr Team über den Vorfall transparent informieren. Dadurch können die Mitarbeitenden für die Zukunft aus dem Angriff etwas lernen.
Suchmaschinen-Phishing zeigt, wie weit Cyberangriffe in unseren digitalen Alltag eingreifen und zu einer ernsthaften Bedrohung geworden sind. Aufklärung innerhalb des Unternehmens ist das A und O, um sich gegen die neuen Formen von Hackerattacken zu schützen. Die Mitarbeitenden sollten in regelmäßigen Abständen Schulungen besuchen können, um über die aktuellen Gefahren und Entwicklungen informiert zu werden. Zudem sollten die genannten technischen Vorkehrungen getroffen werden, die Ihr Unternehmen vor Cyberangriffen besser schützen und im Ernstfall greifen.
Mit unseren Materialien und Veranstaltungen stehen wir Ihnen gerne zur Seite und unterstützen Sie dabei, die Cybersicherheit in Ihrem Unternehmen voranzutreiben!
Verfasst von Johanna Baldus
Projektmanagerin Kommunikation
