Thought Leadership
Cyberkriminelle nutzen vielfältige und immer ausgefeiltere Methoden, um an sensible Daten zu gelangen oder Malware einzuschleusen. Vor allem durch die steigende Nutzung von Online-Banking eröffnen sich Betrugsmöglichkeiten, die einen hohen finanziellen Schaden anrichten können. Herkömmliche Sicherheitsmaßnahmen bieten dafür keinen ausreichenden Schutz. Abhilfe schaffen Lösungen, die das Verhalten von Bankkunden während einer Online-Session analysieren und betrügerische Aktivitäten schnell erkennen können.
Die globale COVID-19-Pandemie hat die Nutzung von Online-Bankgeschäften deutlich gefördert. Viele ältere Menschen, die bislang für die Tätigung einer Transaktion in die Filiale kamen, stiegen auf Online-Banking um – aus Angst vor einer Infektion. Dadurch hat auch die Zahl der Cyber-Angriffe auf Bankkunden zugenommen. Vor allem Social-Engineering-Attacken in Echtzeit, mobile Malware und Kontoeröffnungen mit falschen Identitäten sind auf dem Vormarsch.
1. Personalisierte Betrugsversuche: Voice Scams und Authorized-Push-Payment-Betrug
Die meisten Cyber-Betrugsversuche beginnen mit Social Engineering: Die Kriminellen geben sich als Vertreter einer seriösen Organisation aus. Dann versuchen sie, ihr Opfer dazu zu bringen, persönliche Informationen preiszugeben, eine bestimmte Malware herunterzuladen oder einen einmaligen Passcode einzugeben, mit dem die Täter die Multi-Faktor-Authentifizierung umgehen können.
Die Täuschung per E-Mail (Phishing) oder SMS (Smishing) ist eigentlich nichts Neues. Untersuchungen zufolge haben solche Methoden in den letzten Jahren aber stark zugenommen. Das gilt vor allem für Voice Scams (Authorized Payment Scams): Der vermeintliche Bankberater ruft den Kunden an und verschafft sich durch gezielte Manipulation in Echtzeit Zugriff auf dessen Endgerät oder persönliche Daten. Beim sogenannten Authorized-Push-Payment-Betrug (APP) haben die Täter bereits vorab persönliche Informationen von dem Social-Media-Profil des Angerufenen oder aus dem Darknet gesammelt, um ihn leichter manipulieren zu können. Nicht selten gelingt es ihnen auf diese Weise, ihr Opfer dazu zu bringen, sich in sein Bankkonto einzuloggen und den genannten Betrag auf ein bestimmtes Konto zu überweisen.
Social-Engineering-Attacken in Echtzeit werden oft zu spät erkannt, da die Überweisung durch einen echten Nutzer erfolgt. Herkömmliche Sicherheitskontrollen wie die Identifizierung des Endgeräts, des Standortes oder der IP-Adresse reichen hier nicht mehr aus. Sogar die Multi-Faktor-Authentifizierung (MFA) können heutige Hacker umgehen.
2. Mobile Malware und RAT
Mit der wachsenden Verbreitung von Smartphone-Apps ist auch die Zahl der Cyber-Angriffe auf mobile Geräte gestiegen. Die Methoden dabei sind vielfältig. Neben Social-Engineering-Attacken, die den Anwender dazu verleiten, Malware auf sein Smartphone zu laden, stehen auf offiziellen und inoffiziellen App-Marktplätzen immer mehr gefälschte mobile Apps zum Download bereit. Wird eine solche Anwendung heruntergeladen, installiert sich automatisch ein Trojaner und beginnt, Informationen auszuspionieren oder weitere Schadsoftware nachzuladen. Besonders gefährlich sind Remote Access Trojaner (RAT). Sie können über Fernzugriffsprotokolle die administrative Kontrolle über das Smartphone übernehmen und Anmeldedaten für eine Banking-App oder auch Einmal-Passwörter abfangen. Zudem sind sie in der Lage, aktive Komponenten herkömmlicher Anti-Malware-Systeme auszuschalten.
3. Kontoeröffnung mit falscher Identität
Besonders seit der Corona-Pandemie sind Cyberkriminelle auf dem Vormarsch, die mit falschen oder gestohlenen persönlich identifizierbaren Informationen (PII) ein Konto eröffnen, etwa um einen Kredit zu beantragen. PII-Daten wie Sozialversicherungsnummern, E-Mail-Adressen und Telefonnummern wurden meist vorher bei Phishing-Angriffen entwendet. Auch ausspionierte Geräte- und Netzwerkattribute eignen sich, um betrügerische Konten einzurichten. Besonders beliebt ist die Kombination von gefälschten Daten mit echten Informationen, aus der sich eine synthetische Identität ergibt, mit der das Konto eröffnet wird. Da kein vorheriges Profil des Antragstellers vorliegt, werden solche Vorfälle häufig erst spät erkannt.
4. Mule Accounts
Bei Mule Accounts handelt es sich um Konten, die gezielt eröffnet werden, um gestohlene Gelder zu waschen. Dabei nimmt ein sogenannter Money Mule auf Anweisung eines Kriminellen das von Betrugsopfern erbeutete Geld entgegen und verschiebt es auf ein anderes Konto. Mule Accounts sind ein wichtiges Bindeglied in der Infrastruktur von kriminellen Geldwäschern, da sie den Aufsichtsbehörden die Nachverfolgung des Kapitalflusses extrem erschweren. Gerade in der Pandemie hat die Beauftragung von sogenannten Geldeseln stark zugenommen. Vor allem Jugendliche und junge Erwachsene sind anfällig für die Rekrutierungsversuche der Geldwäscher.
5. Biometrische Verhaltensanalysen
Die zunehmende Cyberkriminalität im Finanzwesen stellt die Banken vor große Herausforderungen. Sich und ihre Kunden gegen die vielfältigen Betrugsversuche abzusichern, ist eine Gratwanderung: Sind die Maßnahmen zu strikt, kann dies zulasten der Customer Experience gehen und die Bankkunden abschrecken. Sind sie zu lax, drohen Betrugsfälle, die hohe Kosten verursachen. Denn die herkömmlichen Systeme zur Überwachung von Transaktionen reichen nicht mehr aus, um die Betrugsmethoden aufzudecken.
Einen wesentlich besseren Schutz von Bankkunden und ihrem Vermögen bieten Lösungen auf Basis von Verhaltensbiometrie. Eine Lösung kann auf Basis von Verhaltensbiometrie während einer Kontositzung sofort erkennen, ob es sich um einen nicht-legitimen Nutzer handelt, der beispielsweise eine Zahlung durchführt oder ein Konto eröffnet. Auch nicht-menschliche Angriffe wie Bot-Aktivitäten, Trojaner und andere Malware-Operationen werden erfasst.
www.biocatch.com
