OSINT-Threat-Simulation für High-Value Targets

Für wen es gedacht ist / häufige Auslöser

• Security Leadership und Risiko-Verantwortliche: CISOs, Produkt-Sicherheit, Unternehmens-Sicherheit sowie Betrug-/Risikoteams, die für das Management menschenzentrierter Risiken bei Führungskräften, Rollen mit hohem Zugriffsgrad und sensiblen Geschäftsprozessen verantwortlich sind. Ein aktuelles Beispiel zeigt, wie Angreifer Deepfake-Videos nutzten, um sich als Führungskräfte von Arup auszugeben, was zu einer betrügerischen Überweisung von rund 25 Millionen USD führte.
• Organisationen im Wandel oder unter erhöhter Beobachtung: Organisationen, die Transformationsereignisse wie Fusionen und Übernahmen, Umstrukturierungen, Führungswechsel, Sicherheitsvorfälle, Finanzierungsrunden, große Förderzyklen, bedeutende Spenden oder hochkarätige Produkt-, Regulierungs- oder öffentliche Offenlegungen durchlaufen.
• Hochprivilegierte und hochvertrauenswürdigere Funktionen: Teams und Rollen mit privilegiertem Zugriff, finanzieller Autorität oder Einfluss auf den Ruf, einschließlich IT und Service Desk, Cloud- und Identitätsverwaltung, Finanzen (Kreditorenbuchhaltung, Treasury und Zahlungsautorisierer), Personalwesen und Recruiting, Rechtsabteilung, Unternehmenskommunikation, Programmleitung und Executive Assistants. Ebenso die Leitung von gemeinnützigen Organisationen, Treuhänder, Verwaltung von Zuschüssen sowie Teams, die Daten von Begünstigten oder Spendern verarbeiten.
• Vermögenshaltende Personen und Gruppen: vermögende Privatpersonen, Family Offices, Asset Manager und andere Gruppen, die über Anlage-, Treasury- oder Zahlungsprozesse außerhalb traditioneller Unternehmensstrukturen verfügen.
• Betroffen von jüngster Bedrohungsaktivität: Organisationen, gemeinnützige Einrichtungen oder vermögenshaltende Gruppen, bei denen Deepfakes, phishing oder Social-Engineering-Angriffe auf Führungskräfte, Treuhänder, Finanz- und Zahlungsfunktionen oder andere Vertrauenspositionen abgezielt haben.

Beispiele für Bedrohungen

Deepfakes sind synthetische Audio- oder Videoinhalte, die darauf ausgelegt sind, die Stimme, das Gesicht oder das Verhalten einer realen Person überzeugend nachzuahmen. In der Praxis erleichtern es Angreifern erheblich, sich als vertrauenswürdige Führungskräfte, Kollegen oder öffentliche Personen auszugeben, um Dringlichkeit, exploit Autorität zu erzeugen und Menschen dazu zu bringen, Handlungen vorzunehmen. Das Kernrisiko ist einfach: Eine vertraute Stimme oder ein vertrautes Gesicht ist kein zuverlässiger Nachweis der Identität mehr. Aus diesem Grund müssen Verifizierung und Deepfake-Abwehr in vertrauenswürdige Prozesse und Systeme integriert werden.

Folgende Beispiele zeigen erfolgreiche Social-Engineering-Vorfälle in der Praxis:

• Angreifer nutzten Deepfake-Videos, um sich als Führungskräfte des Hongkonger Büros von Arup auszugeben, was zu einer betrügerischen Überweisung von rund 25 Millionen US-Dollar führte. Dieser Vorfall verdeutlicht die Eskalation von der Einzel-Personen-Impersonation hin zur Täuschung in Multi-Party-Meetings, die gezielt auf Funktionen mit Zahlungsbefugnis und organisatorischem Vertrauen abzielt.
• Kriminelle nutzten KI-generierte Voice Cloning, um einen leitenden Angestellten eines deutschen Mutterkonzerns zu imitieren und den CEO eines in Großbritannien ansässigen Energieunternehmens unter Druck zu setzen, eine dringende Lieferantenzahlung zu veranlassen, was zu einer unbefugten Überweisung von rund 220.000 € führte. Dieser Vorfall zeigt, wie überzeugende Voice Impersonation das übliche Misstrauen umgehen kann, wenn sie auf Vertrauenspositionen und zeitkritische Finanzprozesse abzielt.
• Angreifer klonen die Stimme eines Geschäftsführers und kombinieren sie mit unterstützenden Kommunikationsmitteln, um eine Bank zur Überweisung von Geldern zu bewegen; Berichte deuten auf Verluste in Höhe von rund 35 Millionen US-Dollar hin. Dies veranschaulicht, wie Threat Actors Deepfake-gestützte Identitätsanmaßung mit glaubwürdigen Geschäftskontexten kombinieren können, um Verifikationsschritte in hochpreisigen Zahlungsprozessen zu umgehen.
• Kriminelle nutzten KI-gestützte Voice Cloning, um sich als italienischer Verteidigungsminister (und andere Amtsträger) auszugeben, während sie prominente Führungskräfte mit einer dringenden Zahlungsaufforderung kontaktierten, was dazu führte, dass mindestens ein Ziel fast 1 Million € überwies, bevor die Behörden die Gelder nachverfolgen und einfrieren konnten. Dieser Vorfall zeigt, wie Bedrohungsakteure Deepfake-gestützte Social Engineering-Angriffe über traditionelle Unternehmenskommandoketten hinaus ausweiten und hochvermögenden Personen sowie deren Beratern direkt mit Dringlichkeit, Autorität und hochgradig glaubwürdigen Vorwänden auflauern.

Auch Feldbeispiele sind häufig. In einer kontrollierten Übung wurde eine Deepfake-Stimme, die einen Chief Technology Officer imitierte, verwendet, um die Identitätsverifizierung eines Helpdesk zu umgehen. Dies demonstrierte, wie öffentlich verfügbare Videos ausreichen können, um eine überzeugende synthetische Stimme zu erzeugen. Dieses Szenario deckte Schwachstellen bei Verfahren zum Zurücksetzen von Passwörtern und zur Kontowiederherstellung auf und führte zu praktischen, dokumentierten Verbesserungen der Verifizierungskontrollen und Eskalationsprozesse.

Was wir tun

Wir replizieren realistische Reconnaissance gegen nominierte, hochrangige Personen, korrelieren Daten aus Datenlecks und sozialen Medien und erstellen Angreifernarrative, die genau aufzeigen, wie ein Kompromittierungsszenario aussehen könnte. Die Bewertung ist rein beobachtend; wir kontaktieren keine Zielpersonen und führen keine Live-Angriffe durch. Die Ergebnisse umfassen individuelle Exposure-Profile, plausible Angriffsvektoren sowie klare, praxisnahe Maßnahmen zur Behebung.

Der Umfang der OSINT Threat Simulation von IOActive umfasst:

• Intelligence Collection: Zusammengeführt aus öffentlichen Quellen, Leck-Datenbanken, sozialen Plattformen, Entwickler-Ökosystemen und grundlegenden Infrastruktur-Spuren.
• Threat Modelling: Eine durch Threat Intelligence gesteuerte Analyse kartiert Ihre Gefährdung durch wahrscheinliche Ziele, Vorwände und Angriffswege von Angreifern.
• Szenario-Design: Realistische Playbooks für Spear-Phishing, Vishing und verwandte Vorwände. Optionale simulierte Medien (Audio oder Video) werden nur mit ausdrücklicher Zustimmung erstellt. Erkenntnisse und Simulationen sind auf das Engagement beschränkt und werden nicht über die vereinbarten Kanäle hinaus weitergegeben.
• Risikobasierte Behebung: Gezielte Empfehlungen für Einzelpersonen und Organisationsrichtlinien sowie optionale Schulungen zur Verbesserung von Erkennung und Reaktion.

Ergebnisse

Das Ergebnis einer Threat-Simulation-Übung ist eine Reihe von Deliverables, die Schwachstellen aufzeigen und eine Roadmap zur Stärkung der Organisation bereitstellen:

• Individuelles Expositions- & Bedrohungsprofil: Evidenzbasierte Profile für jede nominierte Person, die deren digitalen Fußabdruck dokumentieren und erklären, wie dieser ausgenutzt werden könnte (zum Beispiel für Identitätsdiebstahl, Betrug oder Zugriff).
• Narrative Attack Scenarios: Realistische Adversary-Playbooks, die veranschaulichen, wie gesammelte Informationen als Waffe eingesetzt werden könnten, und es der Führungsebene sowie den Sicherheitsteams ermöglichen, konkrete Bedrohungspfade zu visualisieren.
• Optionale simulierte Medien: Kontrollierte Beispiele für Deepfake-Audio- oder -Videoinhalte, die ausschließlich mit vorheriger ausdrücklicher Einwilligung zu Sensibilisierungs- und Schulungszwecken erstellt werden.
• Priorisierter Behebungsplan: Umsetzbare Empfehlungen, einschließlich Reduzierung des Footprints, Opt-outs bei Datenbrokern, Verbesserungen von Richtlinien und Helpdesk-Prozessen, Trennung von Identitäten sowie stärkeren MFA- und Wiederherstellungssteuerungen.

Executive Readout und optionales Training: Ein abschließendes Briefing, zugeschnitten auf Senior-Stakeholder, mit der Möglichkeit gezielter Schulungssitzungen zur Stärkung des Bewusstseins und der Resilienz.

Funktionsweise

Eine Übung umfasst folgende Schritte:

1. Kickoff und Zielnominierung. Nach der Nominierung von fünf bis 25 Personen für die Bewertung einigen wir uns vor Beginn der Arbeiten auf rechtliche Grenzen, die Zustimmungslage und die Empfänger der Berichte.
2. Sammlung und Mapping der öffentlichen Präsenz. Dieser Schritt umfasst die Zusammenstellung von Namensvarianten, beruflichen und privaten E-Mail-Adressen, Benutzernamen und Social-Media-Handles. Wir aggregieren zudem Treffer aus Datenlecks, öffentliche Assets und Domains, Entwickler- und Cloud-Spuren, Anbieteraufzeichnungen, Medienauftritte sowie weitere öffentlich verfügbare Informationen.
3. Bedrohungsmodellierung und Szenarioentwicklung. Wir analysieren die Gefährdungslage aus der Perspektive eines Angreifers und erstellen realistische Szenarien, die auf gängigen Taktiken, Techniken und Vorgehensweisen (TTPs) wie Reconnaissance und phishing basieren. Zudem kartieren wir wahrscheinliche Ziele des Gegners und plausible Angriffswege.
4. Erstellung von Entwürfen und Überprüfung. Wir erstellen individuelle Profilentwürfe mit unterstützenden Nachweisen, überprüfen diese anschließend gemeinsam mit Ihren Stakeholdern, bestätigen deren Richtigkeit und einigen uns auf Prioritäten für die Behebung.
5. Finaler Bericht, Präsentation und Remediation-Sitzung. Zum Abschluss der Übung liefern wir einen konsolidierten Threat Simulation Report mit einer Executive Summary, zusammengefassten Themen, priorisierter Remediation und Anhängen. Eine Präsentation für das Management und eine Remediation-Arbeitssitzung unterstützen dabei, die Erkenntnisse in praktische Maßnahmen umzusetzen.

Ergebnisse und Kennzahlen

Diese Übung bietet mehrere Sicherheitsvorteile:

• Reduzierte OSINT-Exposition: Messbare Verringerung des öffentlichen Fußabdrucks jedes Ziels, einschließlich bestätigter Löschungen bei Datenbrokern, gehärteter sozialer Privatsphäre und minimierter Verfügbarkeit personenbezogener Daten.
• Stärkere Prozesskontrollen: Verbesserungen an geschäftskritischen Prozessen mit hohem Risiko, die häufig von Angreifern ins Visier genommen werden, wie etwa Helpdesk-Verifizierung, Zahlungs-genehmigungen, Erstellung von Gastkonten und Workflows zur Passwortwiederherstellung.
• Erweiterte Erkennung und Reaktion: Schnellere Identifizierung und Eskalation von Social-Engineering- oder Impersonation-Versuchen, basierend auf maßgeschneiderten Bedrohungsszenarien für Ihre Umgebung.
• Leadership Alignment: Klare, evidenzbasierte Narrative, die die Gefährdungslage mit konkreten geschäftlichen Auswirkungen verknüpfen, um das Engagement der Geschäftsführung und fundierte Entscheidungsfindung zu fördern.

Rechtliche und ethische Grenzen

• Simulation Only: Alle Aktivitäten sind beobachtend und simuliert. Es erfolgt keine direkte Interaktion mit Zielen, und es werden keine Live-Angriffe durchgeführt.
• Kontrollierte Mediennutzung: Jede Verwendung von simulierten Sprach- oder Gesichtsinhalten erfordert eine vorherige ausdrückliche Zustimmung, bleibt vollständig innerhalb der Übung enthalten und wird niemals außerhalb des vereinbarten Rahmens verteilt.
• Governance und Compliance: Alle Arbeiten werden unter strengen ethischen Standards und in voller Übereinstimmung mit den Bedingungen des Master Services Agreement (MSA) und des Statement of Work (SoW) durchgeführt.

Häufig gestellte Fragen