Steuerdaten im Darknet – my personal Rocky Horror Show

Für viele kleine Firmen ist es ein Horrorszenario: Ein Hackerangriff und sensible Daten von Kunden werden gestohlen. Mit dem Fall der Schwyzer Treuhandfirma hat die Cyberkriminalität eine neue Dimension erreicht (PilatusToday berichtete). 

Hier meine Medienbeiträge vom 10.11.21 zum Thema:

Schon angemeldet für die Online Infoveranstaltung am 23.06.2021?

Online Infoveranstaltung

Genaue Informationen über das CAS Digital Healthcare erhalten Sie am 23.06.2021 in einer Online Infoveranstaltung.
Sind Sie schon bereit für grössere Menschenansammlungen und Meetings nach der Aufhebung der Home-Office-Pflicht des Bundes? Oder haben Sie vielleicht auch so ein kleines Gefühl, dass die eigene Kommunikationsfähigkeit unter den Pandemiebedingungen ein wenig eingerostet ist? Auch bei uns innerhalb der Hochschule tasten wir uns an das kommunikative Miteinander heran.

Unser CAS Digital Healthcare musste aufgrund der Gegebenheiten im März online starten. Anfang Juni konnten wir dann den ersten ersehnten Ausflug an das Luzerner Kantonsspital durchführen. Dieser Ausflug ermöglichte den Teilnehmenden endlich auch wieder den persönlichen Austausch untereinander.

Aber wie sieht es aus, wenn zwei unterschiedliche Arbeitswelten, wie z.B. die Pflege und die Spital-IT, in unserer Gesundheitsbranche in einem Meeting aufeinandertreffen? Sicherlich können Sie sich in diese Situation gut einfühlen und merken wahrscheinlich, dass es dabei leicht zu Missverständnissen oder sogar Konflikten kommen könnte.

Und genau hier möchten wir Sie unterstützen!

Als Hochschule Luzern haben wir uns es zur Aufgabe gemacht, Sie und Ihre Mitarbeitenden auf dem Weg der Kommunikation und einer möglichen Transformation unterstützen. Unsere speziellen Weiterbildungsangebote helfen Ihnen sofort!

Vakanz: Senior Incident Response Analyst und weitere bei InfoGuard AG in Baar ZG

  • Unterstützung des Cyber Defence Center (CDC) bei Eskalationen von Sicherheitsvorfällen
  • Verantwortlich für Untersuchungen, Kommunikation und Koordination bei Kunden als Incident Responser (Tier 3 Analyst CSIRT) und bei der Durchführung von Compromise Assessments und Threat Huntings
  • Training, fachliche Führung und Weiterentwicklung der Tier 2 Analysten bei forensischen Untersuchungen
  • Weiterentwickeln der Detection & Response Services, Threat Hunting Methoden und der Angriffserkennung
  • Validieren und Anpassen der Quellen für die Threat Intelligence
  • Mitarbeit bei Red / Blue und Purple Teamings

Alle Details

Alle offene Stellen bei InfoGuard AG

Banking-Trojaner und Money Mules

Die Sendung Patti chiari berichtet über einen Vorfall, bei welchem von einem gehackten Mobiltelefon nicht legitimierte Zahlungen ausgeführt wurden.

Die betroffenen Finanzinstitute PostFinance und die Raiffeisen reagieren unterschiedlich. Während erstere umgehend und erfolgreich einen Rückerstattungsantrag auslöst, bewertet letztere die Transaktion als legitim und sieht die Verantwortung bei der Geschädigten.

Durch Nachforschungen von Patti chiari kann die Inhaberin eines der Zielkonten der Überweisungen identifiziert werden. Die Frau wurde selbst Opfer eines Scharlatans und von diesem als so genannter Money Mule rekrutiert.

Gegenmassnahmen Banking-Trojanern:

  • Nutzen Sie ein Virenschutzprogramm, aktivieren Sie dessen automatische Update-Funktion und prüfen Sie Ihr Gerät regelmässig auf Schädlingsbefall.
  • Installieren Sie nur nötige Programme und Apps und laden Sie diese immer von der Herstellerseite oder einem offiziellen Store herunter.
  • Aktivieren Sie die automatische Update-Funktion für das Betriebssystem und alle installierten Programme und Apps.
  • Schützen Sie Ihren Computer und mobilen Geräte mit einem Sicheren Passwort und nutzen Sie wenn möglich die Zwei-Faktor-Authentifizierung
  • Seien Sie beim Surfen im Internet stets misstrauisch und überlegen Sie sich gut, wo und wem Sie Ihre persönlichen Informationen preisgeben.
  • Finanzinstitute, Telekommunikations- und sonstige Dienstleistungsunternehmen fragen nie nach einem Passwort
  • Holen Sie sich bei Unsicherheit oder Verdacht auf einen Angriff Unterstützung.

Gegenmassnahmen Money Mule:

  • Bei lukrativen Jobangeboten mit raschen Verdienstmöglichkeiten ohne entsprechenden Arbeitsaufwand grundsätzlich misstrauisch sein.
  • Ihre Bankkonten nie Dritten zur Verfügung stellen.
  • Ihre Bankangaben und persönliche Angaben nur an Personen weitergeben, die Sie kennen und denen Sie vertrauen.
  • Niemals Geld von Ihrem Konto abheben oder weiterleiten, dessen Herkunft Sie nicht zweifelsfrei kennen. Lassen Sie solche Gelder durch Ihre Bank an den Absender zurücküberweisen.
  • Niemals Geld im Auftrag von Dritten an Empfänger versenden, die Ihnen nicht näher bekannt sind – erst recht nicht per Postsendung oder mittels Geldtransfer-Services.
  • Vertiefte Abklärungen zum vermeintlichen Arbeitgeber tätigen und sich im Detail darüber informieren, was von Ihnen erwartet wird.
  • Anfragen, bei denen Sie auf Ihrem Bankkonto Gelder empfangen und in irgendeiner Form weiterleiten müssen, umgehend der Polizei melden.

Quelle: “e-Banking – aber sicher!” per Newsletter

Live-Übung mit 360inControl von CISS

Als Hochschule bieten wir praxisnahen Unterricht und bereiten unsere Studierenden auf die Erfordernisse des Berufseinstiegs vor. Dazu sind wir auf Kooperationen mit uns wohlgesonnenen Unternehmen angewiesen. Für den Unterricht im Kernmodul “Information Security Management” des Bachelor-Studiengangs “Information & Cyber Security” der Hochschule Luzern – Informatik haben wir dies mit Andreas von Grebmer und Heike Klaus von der Firma CISS Ltd. gefunden. Deren Produkt “360inControl®” dient uns als professionelles Online-Assessment-Tool für zwei Gruppenübungen pro Semester.

360inControl ist eine “Software as a Service” (SaaS), die webbasiert ein Assessment oder Audit der firmeneigenen Zustände im Bereich der Informationssicherheit und des Datenschutzes dient. Als GRC-Lösung (Governance, Risk & Compliance) ist es damit Teil des Internal Control System (ICS) und dient dem Aufbau eines Information Security Management Systems (ISMS). Es sind vielfältige passende Standards (wie z.B. ISO 27001) als “Controls” hinterlegt, die dann für ein Assessment sehr intuitiv und spezifisch selektiert werden können. Diese Prüfpunkte werden dann schrittweise abgearbeitet, die Findings eingetragen und die nötigen Massnahmen ebenfalls in 360inControl eingetragen.

Im Frühjahrssemester 2021 haben wir zwei Übungen mit Studierendengruppen durchgeführt. Nach einer gekonnten Einführung in das Tool haben die Studierenden eine Liste von häufigen Schwachstellen in einer virtuellen Firma mit den im 360inControl hinterlegten Controls verglichen, verletzte Controls rapportiert und passende Massnahmen definiert und im Tool hinterlegt. Dies geschieht sehr intuitiv und benötigt keine Einarbeitungszeit.

In der ersten Übung ging es darum, Schwachstellen im Grundschutz zu finden, zu dokumentieren auszumerzen. Für den Grundschutz wurden die Controls vor allem aus ISO 27002 abgeleitet. Für die zweite Übung wurden diverse Standards (wie z.B. ISO 27001, ITIL und Cobit) herangezogen, um Defizite in einem Information Security Management System (ISMS) zu finden. Die online erfassten Findings und die definierten Massnahmen hat 360inControl in einen automatisch generierten Rapport gefasst, den die Studierenden anschliessend im pdf-Format zur Bewertung eingereicht haben.

Wir danken Andreas von Grebmer und Heike Klaus von CISS Ltd. für die ausgezeichnete Zusammenarbeit und die grosse Unterstützung, die sie durch die kostenlose Bereitstellung von 360inControl und ihrer Zeit erbringen.

Drei Argumente für “BCC” (Blindkopie)

Immer wieder erlebt man, dass eine ganze Liste von Adressaten im “An” / “To” oder “Kopie” / “CC” Feld stehen. Der Unterschied ist nicht technisch (es geht an alle und alle sehen die anderen Adressaten), sondern nur zur Unterscheidung, für wen das Mail “nur zur Information” und nicht “zu erledigen” ist. Technisch wird eine Mail abgesandt, die dann vom Mailserver (MX) an alle Adressaten gleich kopiert und versandt wird.

Dageben werden bei “Blindkopie” / “BCC” bereits vom Absender-Mailprogramm einzelne, separate Mails an jeden Empfänger gesandt, OHNE dass die anderen Adressaten bekanntgegeben werden. Dies hat, bei Rundmails, sehr viele Vorteile – oder anders gesagt: Rundmails per “An” oder “Kopie” haben massive Nachteile:

  1. Bei Verteilern via “An” oder “Kopie” funktioniert “Allen antworten” / “Reply-to-all” und führt zu in den meisten Fällen unerwünschten Mail-Lawinen mit meist irrelevanter Information, die eigentlich nur der ursprüngliche Absender als Antwort benötigt. Dies ist äusserst lästig und führt zu SPAM.
  2. Die E-Mail-Adressen werden allen Adressaten offengelegt. Dies verstösst gegen geltende Datenschutzgesetze. So ist es z.B. in einem Verein (der über alle E-Mail-Adressen aller Mitglieder verfügen darf, wenn die Mitglieder eingewilligt haben) strikt verboten, diese Adressen den anderen Mitgliedern zur Verfügung zu stellen, wenn diese nicht explizit auch dazu eingewilligt haben. Dies macht man aber wenn schon geschickter über ein Adressverzeichnis, das auch die Namen explizit erwähnt, so dass die Mail-Adressen eindeutig zugeordnet werden können.
  3. Am schlimmsten ist jeoch, dass bei einem Rundmail ohne BCC alle Adressen in jedem Mail enthalten sind und so jedem Hacker zur Verfügung stehen, der auch nur ein Mail abfängt. Zusätzlich zu der wertvollen Liste gültiger E-Mail-Adressen sind dadurch auch die soziale Beziehung der Adressaten und des Absenders bekannt und können für SPAM, Phishing und Social Engineering verwendet werden.

BITTE DAHER GRUNDSÄTZLICH ALLE MAILS (mit typisch mehr als fünf Empfängern) NUR PER “BLINDKOPIE” / “BCC” VERSENDEN!!! Danke!

Awareness ist s-u-p-e-r !

Cyber-Attacken haben in der Schweiz seit Beginn von Corona stark zugenommen. Eine nationale Aktionswoche zum Thema «Sicherheit im digitalen Raum» vom 3. bis 7. Mai 2021 macht auf die Gefahren aufmerksam. Die Kampagne zeigt, wie man sich schützen kann.

Die Aktionswoche wird von der Schweizerische Kriminalprävention in Kooperation mit dem Nationales Zentrum für Cybersicherheit NCSC, der Plattform eBanking – aber sicher! der Hochschule Luzern, der Plattform für Internetsicherheit iBarry.ch – by Swiss Internet Security Alliance sowie den kantonalen und städtischen Polizeikorps lanciert.

www.s-u-p-e-r.ch