Phish Scale – Eine neue Art der Gewichtung für Phishing E-Mails

Phishing ist der häufigst verwendete Angriffsvektor, den Hacker aktuell benutzen. Unter Phishing versteht man das Versenden von E-Mails, welche sensible Informationen abgreifen soll. Dazu werden diese E-Mails so getarnt, als ob sie von einer vertrauten Person kommen. Da Phishing ein bekanntes Problem ist schulen viele Unternehmen ihre Mitarbeiter mit Phishing Kampagnen. Ein Institut aus den USA hat nun eine neue Bewertungsform erstellt, die sogenannte Phish Scale, die helfen soll, die Ergebnisse solcher Phishing Kampagnen besser zu verstehen.

Phish Scale – So wird eine Phishing Mail kategorisiert

Eines der großen Probleme, die das NIST (National Institute of Standards and Technology) an herkömmlichen Phishing Kampagnen kritisiert ist, dass Auswerten der Ergebnisse. Eine „normale“ Phishing Kampagne sieht meist so aus, dass ausgewählte Mitarbeiter eine selbst erstellte Phishing Mail bekommen. Im Anschluss wird analysiert, wie viele Mitarbeiter auf einen Link in der Phishing Mail geklickt haben. So wurde nur anhand der Zahlen eingeschätzt, wie trainiert die Mitarbeiter im Umgang mit Phishing sind.

Die Phish Scale betrachtet nicht nur die reine Klickrate sondern versucht vorab die Phishing Mail zu gewichten. Es wird für jede Phishing Mail eine Einstufung durchgeführt, in der verschiedene Teile der Phishing Mail analysiert und eingeschätzt werden. Als Beispiel kann hier der Betreff der E-Mail genannt werden. Handelt es sich um einen irrelevanten Betreff der keine Informationen aus aktuellen Situationen beinhaltet, wird diese Mail schwächer eingestuft, als eine Mail, die einen Betreff verwendet, der auf die aktuelle Situation sehr gut passt. Welche Kriterien genau verwendet werden, können in der Veröffentlichung der NIST nachgelesen werden.

Einen guten Überblick, wie die Phish Scale funktioniert gibt ein Video, welches auf der Seite der NIST eingebettet ist.

Nutzen der neuen Kategorisierung

Der Vorteil der Phish Scale ist auf dem ersten Blick nicht direkt sichtbar. Grundsätzlich erhalten wir die gleichen Ergebnisse bei Phishing Kampagnen mit und ohne Phish Scale Gewichtung. Das Ergebnis beinhaltet nämlich nach wie vor die Klickrate. Durch die Phish Scale kann nun jedoch nachvollzogen werden, welche Abteilung bspw. die schwächsten Phishing E-Mails nicht erkannt hat.

Durch eine vorherige Einstufung der Phishing Nachrichten können die Ergebnisse detaillierter betrachtet werden. Durch diese detaillierte Betrachtung kann gezielt geschult werden, sodass gewisse Abteilungen anhand der Ergebnisse andere Phishing Nachrichten erhalten, bei denen Sie besondere Probleme hatten.

Phishing ist eins der größten Gebiete der aktuellen IT-Sicherheit, da der Mensch als Sicherheitslücke immer populärer wird. Jüngst hat ein Forschungsteam, indem Matteo Große-Kampmann Mitglied ist, eine Studie zu Phishing veröffentlicht.