Darknet Diaries Deutsch: Die Kunst der Manipulation

Dies ist der zweite Teil von „Die Kunst der Manipulation“. (Wenn Ihr Teil eins noch nicht gehört habt, fangt am besten da an.) Im Englischen Original von Jack Rhysider trägt diese Episode den Namen „Rachel“.

Die deutsche Produktion verantworten Judith Hohmann, Isabel Grünewald und Marko Pauli von heise online. Der Podcast erscheint wöchentlich auf allen gängigen Podcast-Plattformen und kann hier abonniert werden.

JACK: Dies ist der zweite Teil von „Rachel – und die Kunst der Manipulation“. Rachel Tobac ist eine der bekanntesten Expertinnen für Social Engineering – also für Angriffe, die nicht Computer, sondern Menschen ins Visier nehmen. In der ersten Hälfte der Episode haben wir von ihrem ungewöhnlichen Karriereweg gehört und davon, wie sie sich darauf spezialisiert hat, menschliches Verhalten und Vertrauen zu verstehen. Sie hat beeindruckend gezeigt, dass eine freundliche Stimme, glaubwürdige Geschichten und psychologisches Geschick oft ausreichen, um Sicherheitsbarrieren zu überwinden. Tja, der Mensch auf der anderen Seite ist häufig die größte Schwachstelle in der IT-Sicherheit. Verfolgen wir nun weitere spektakuläre Social-Engineering-Einsätze von Rachel.

JACK: Bei einem anderen Auftrag wurde Rachel von einem Unternehmen angeheuert, um ihnen bei einem Problem zu helfen, das immer wieder auftauchte. Es war ein großes Technologieunternehmen, das manchmal kleinere Unternehmen kaufte oder übernahm. Wenn man ein anderes Unternehmen kauft, will man das normalerweise bis zur offiziellen Ankündigung geheim halten. Es könnte den Aktienkurs beeinflussen oder Unruhe in den Unternehmen verursachen, wenn die Dinge nicht richtig kommuniziert werden. Aber aus irgendeinem Grund kam es immer wieder vor, dass, sobald dieses Technologieunternehmen eine Fusion oder Übernahme plante, bestimmte Nachrichtenagenturen dem Unternehmen zuvorkamen. Die Meldung tauchte auf Nachrichtenseiten auf, lange bevor das Unternehmen eigentlich bereit war, die Öffentlichkeit darüber zu informieren. Also wandte sich das Unternehmen an Rachel mit der Bitte: „Kannst du uns vielleicht dabei helfen, herauszufinden, warum diese Nachrichten immer wieder vorzeitig an die Öffentlichkeit gelangen?“

RACHEL: Also kamen sie auf mich zu, um einen Pen-Test zu machen, und herauszufinden, wie diese M&A-Infos durchsickern, wo sie möglicherweise ihr Training, ihre Kommunikation, ihre internen Protokolle verbessern könnten, um herauszufinden, warum das passiert. Warum werden Leute dazu gebracht, darüber zu reden, und was können wir dagegen tun?

JACK: Was kommt dir als Erstes in den Sinn, wenn du sowas hörst? Sowas wie: „Ah, da gibt es irgendwo nen Maulwurf, da liegt ne Sicherheitsverletzung vor.“

RACHEL: Ja, also Insider-Bedrohungen passieren, aber was normalerweise am häufigsten ist, ist, dass Leute einfach einen Fehler machen. Ich lebe irgendwie in dieser Welt, in der ich davon ausgehe, dass Leute Fehler machen, und ich versuche ihnen zu helfen. Also kamen wir mit ein paar verschiedenen Angriffsmethoden raus, die funktionieren könnten, um herauszufinden, wo das passiert. Nummer eins: Ich wollte versuchen, mich als Journalistin auszugeben und verschiedene Teammitglieder über Social-Media-Nachrichten, E-Mail, Textnachricht usw. zu kontaktieren und sie nach ihrer Erfahrung in der Tech-Branche zu fragen und zu sehen, ob ich Übernahme-Infos raussaugen könnte und einfach schauen, wohin es geht. Nummer zwei: Ich wollte mich auf ihre Produktmanager-Rolle bewerben, den gesamten Einstellungsprozess durchlaufen und sehen, ob ich Übernahme-bezogene Infos im Fragenteil des Bewerbungsgesprächs rausziehen könnte. Ich wusste nicht, was funktionieren würde und was nicht, aber ich wollte einfach beides versuchen.

JACK: Okay, aber wenn du dich als eine der Personen ausgeben willst, bräuchtest du ja wahrscheinlich ein LinkedIn-Konto oder zumindest irgendeine Online-Präsenz, oder? Du kannst da ja nicht einfach so aus dem kompletten Nichts auftauchen. Oder zumindest würde es bestimmt helfen, da'n Hintergrund und Deckmantel zu haben. Hast du da ein bestimmtes Framework, ne Methodik, mit der du eine Geist in der Welt installierst?

RACHEL: Ja. Also wir nennen diese Geister, wir nennen sie SOC-Konten. Manchmal sind sie echte Leute, und so gestalten wir sie, indem wir vorgeben, eine echte Person zu sein. Manchmal sind sie gefälschte Leute und sie haben einfach dieses komplette Leben online. Bei der gefälschten Journalistin dachte ich, es würde viel einfacher sein, vorzugeben, eine echte Journalistin zu sein, als dagegen eine ganze Persona einer gefälschten Journalistin zu erstellen und echten Content zu bevölkern. Also hab ich einen gefälschten Journalisten-Pretext aufgebaut – E-Mail, Hintergrund und soziale Medien – basierend auf einer echten Journalistin, die ich natürlich nicht nennen werde.

JACK: Interessant. Rachel hat also versucht, sich als eine tatsächlich existierende Journalistin auszugeben – möglicherweise, indem sie eine ähnliche E-Mail-Adresse oder ein ähnliches Social-Media-Konto verwendet hat. Aber wie geht's weiter? Woher weiß man, an wen man sich in einem Unternehmen wenden muss, um Informationen über bevorstehende Fusionen und Übernahmen zu erhalten? Das sind ja in der Regel streng gehütete Geheimnisse.

Tja, es gibt ja diese eine Website, die nicht nur für Social-Engineers äußerst hilfreich ist. Auf der so gut wie jedes Unternehmen und die meisten der dort Mitarbeitenden aufgelistet sind, die einem auch die Berufsbezeichnung, die Position, den Aufgabenbereich und den vollständigen Namen verrät. Ihr ahnt es vielleicht, die Website heißt LinkedIn. Ich persönlich halte LinkedIn für ein echtes Sicherheitsrisiko für die meisten dort vertretenen Unternehmen. Sie macht es für jemanden wie Rachel wirklich einfach, die Mitarbeiterinnen und Mitarbeiter eines Unternehmens zu identifizieren und genau die richtige Person als Ziel auszuwählen. Sobald man den Namen kennt, lässt sich die E-Mail-Adresse meist leicht erraten - Vorname.Nachname@firmenname.com oder .de.

Auf LinkedIn geben die Mitarbeitenden wie gesagt auch gerne ihre Kompetenzen an. Wenn jemand da zum Beispiel schreibt, dass sie seit zehn Jahren als Datenbankadministratorin für ein Unternehmen arbeitet, und dabei dann ausdrücklich erwähnt, dass sie sich hervorragend mit Microsoft SQL Servern auskennt, kann man ziemlich sicher davon ausgehen, dass dieses Unternehmen intern Microsoft SQL Server einsetzt und diese Person wahrscheinlich über das Administratorpasswort dafür verfügt. Wenn man solche Informationen veröffentlicht, stellt man sich quasi selbst ins Schaufenster mit: „Ja, ich bin genau die Person, die ihr hacken müsst, wenn ihr an die Datenbank dieses Unternehmens herankommen wollt. Nur zu, legt los!“

Im Grunde werden private Informationen, die eigentlich nur innerhalb des Unternehmens bleiben sollten, auf LinkedIn öffentlich gepostet, sodass sie jeder sehen kann. Wenn sich dieses Unternehmen fragt, wie's kommt, dass die Öffentlichkeit von einem der eigentlich nur internen Memos weiß, dann sage ich: Fangt damit an, zu überprüfen, was eure Mitarbeitenden auf LinkedIn posten. Wenn das Unternehmen völlig damit einverstanden ist, dass all diese internen Informationen öffentlich gepostet werden, dann fördert das vielleicht ja auch eine Unternehmenskultur, in der es okay ist, spannende Neuigkeiten an jeden weiterzugeben, der danach fragt.

Neulich hat mir jemand auf LinkedIn eine Nachricht geschickt und gefragt: „Hey, wie kann ich meine Daten aus dem Internet entfernen lassen?“ Ich dachte nur: „Was? Ist das dein Foto? Arbeitest du dort? Hast du dort die Schule besucht? Ist das dein richtiger Name?“ Du hast all das auf LinkedIn gepostet und fragst dich nun: „Wie kommt es, dass das Internet all diese Informationen über dich hat?“

Die Sache ist die: Vieles, was Datenhändler über uns wissen, stammt aus den Inhalten, die wir öffentlich posten. Datenhändler durchforsten unsere Social-Media-Profile, unsere Blogbeiträge und jede Erwähnung von uns im Internet. Anschließend speichern sie all diese Informationen über dich, die du selbst gepostet hast.

RACHEL: Es ist gruselig, und die Realität ist, dass jeder in weniger als fünf Minuten eine vollständige Hintergrundsuche über die meisten Leute in den USA machen kann, und Leute wissen nicht, dass diese Informationen über sie da draußen sind. Sie haben keine Ahnung, dass sie verkauft werden. Sie googeln sich einfach nicht selbst.

JACK: Ich finde ja, wir sollten uns vielmehr um unsere Privatsphäre kümmern, denn je weniger wir uns um die kümmern, desto weniger werden sich auch Unternehmen darum scheren. Wie auch immer – Rachel war also mit diesem Unternehmen beschäftigt und konnte dann relativ schnell erraten, wer möglicherweise über bevorstehende Fusionen und Übernahmen Bescheid wusste. Diese Personen nahm sie dann gezielt ins Visier, sie führte umfassende Hintergrundrecherchen durch, sammelte ihre Daten und nahm dann einfach Kontakt auf – sie gab sich als Journalistin aus, schickte ihnen E-Mails, um so herauszufinden, ob sie diese Art Informationen leicht von den Leuten bekommen könnte.

RACHEL: Genau, oder wir können sie über Social-Media-Direktnachricht kontaktieren, eine Nachricht auf LinkedIn oder Twitter oder Instagram. Das ist die Sache – Journalisten kontaktieren wirklich mit all diesen Methoden, also ist es manchmal schwer zu wissen, was echt und was gefälscht ist.

JACK: Aber es hat nicht geklappt. Egal wen sie kontaktierte oder wie überzeugend ihre Hintergrundgeschichte auch war, die Leute gaben ihr nicht frei Informationen über bevorstehende Fusionen und Übernahmen. Diese Methode funktionierte also nicht.

RACHEL: Sie ließen mich einige kleinere Details wissen, aber sie bestätigen keine interessanten Details. Ich versuche, Leute ans Telefon zu bekommen, um mit mir zu reden, aber ich denke, es gibt einfach inhärentes Misstrauen gegenüber diesem speziellen Pretext. Also denk ich, okay, ich muss wirklich die großen Geschütze auffahren. Ich will über den Einstellungsprozess angreifen.

JACK: Ein Angriff über den Einstellungsprozess? Was für ein interessanter Gedanke. Ich glaube nicht, dass Vielen die Idee kommt, dass Bewerber oder Bewerberinnen eventuell böswillige Absichten haben könnten.

Dabei lassen sich allein durch die Lektüre einer Stellenanzeige so viele Informationen gewinnen. Wenn ein Unternehmen beispielsweise die Aufgaben des Stellenprofils aufführt, verrät es damit möglicherweise, welche Projekte als Nächstes anstehen, oder gibt Aufschluss darüber, welche Technologien im Unternehmen zum Einsatz kommen – und diese Informationen können bei Social-Engineering-Angriffen gegen das Unternehmen sehr nützlich sein. Ich glaube, wenn man genug Stellenanzeigen liest, könnte man wahrscheinlich einen Lageplan des Rechenzentrums erstellen.

Sich jedenfalls über den Einstellungsprozess in das Unternehmen zu hacken, ist tatsächlich ein guter Angriffsvektor. Wie gesagt, ich glaube nicht, dass viele Unternehmen damit rechnen würden. Jedenfalls wollte Rachel sich als Bewerberin ausgeben, um ein Vorstellungsgespräch zu erhalten, um in dem dann eventuell Insiderinformationen über bevorstehende Fusionen und Übernahmen zu erhalten.

RACHEL: Etwas zu verstehen ist, also als Angreiferin ist das nicht einfach. Ich war nie eine PM, sich also auf eine Manager-Rolle zu bewerben, erfordert viel Hintergrundrecherche. Ich hab ein UX-Research-Team bei einem Tech-Unternehmen geleitet, also hab ich ein Gefühl dafür, was ein Produktmanager, macht, aber ich bin in keiner Weise auf ein Vorstellungsgespräch vorbereitet. Also muss ich drei volle Wochen für diese Rolle lernen. Ich schaue YouTube-Videos, ich mache Interview-Vorbereitungs-Tests online, ich mache kostenlose Online-Kurse wie, „Du willst ein PM sein“, das ganze Programm. Ich baue eine volle Persona auf, einen Lebenslauf, ein Twitter, LinkedIn, Facebook. All diese Konten haben Fotos, Tausende von Freunden, Bewertungen meiner Arbeit von Netzwerkgruppen auf LinkedIn, Leute, die ich nie getroffen hab – so, du gibst ihnen eine Bewertung und sie geben dir eine Bewertung. All dieses Zeug ist so manipulierbar.

JACK: Das sind dann wahrscheinlich so Sachen, die ihr bei SocialProof macht. Da sitzt dann jemand, dem man sagt: mach bitte einfach den ganzen Tag SOC-Konten, jeden Tag neue, weil ich sie so schnell verheizen werde.

RACHEL: Leider ja. Wir ändern die Namen vieler SOC-Konten, aber dann musst du viele neue Informationen füllen. Es dauert letztendlich ungefähr drei Wochen, um ein glaubwürdiges Social-Media-Konto und genug Beispiele vorheriger Produktmanager-Arbeit aufzubauen, um während des Bewerbungsgespräches irgendwo in der Nähe von „überzeugend“ zu landen.

JACK: Hast du Hilfe bekommen, dass dein Lebenslauf ganz oben auf dem Stapels landen?

JACK: Das ist ja nicht einfach. Denn es gibt ja viele Leute, die gar keine Rückmeldung erhalten.

RACHEL: Naja, während der Zeit war ihr – also der Tech-Einstellungsprozess war nicht so schlimm wie jetzt im aktuellen Jahr. Also bewerbe ich mich für die Rolle. Ich bekomme einen Anruf. Ich schwitze Blut und Wasser, denn wenn ich durch dieses Telefon-Screening nicht durchkomme, werde ich nicht zu einem vollständigen Bewerbungsgespräch eingeladen. Das bedeutet eine Menge Arbeit, um meine SOC-Konten in sozialen Medien wieder zu ändern, damit sie zu einer neuen Persona passen. Das würde viel mehr Arbeit für mich sein. Zum Glück dauerte es ungefähr fünfundvierzig Minuten. Ich hab bestanden und komme zur nächsten Runde weiter. Die nächste Runde hat sechs verschiedene Interviewer. Also ist es...

JACK: Hast du schon in der ersten Runde versucht, an irgendwelche relevanten Infos zu kommen?

RACHEL: Ja. Ich hatte Angst, dass sie sagen würden, diese Person ist ein Weirdo. Lass wir sie nicht weiterkommen. Also wartete ich bis zu den tatsächlichen offiziellen Interviewern, und dem vollgepackten Tag voller Interviews. Ich hab sechs Interviews hintereinander den ganzen Tag. Diese Interviews werden über Zoom durchgeführt. Ich ziehe mir also meine Bewerbungsklamotten an, die ich seit Jahren nicht getragen hab. Ich bin vorbereitet mit all meinen Anekdoten, meinen Stärken und Schwächen, meinen KPIs und Erfolgsgeschichten, und viele dieser Beispiele, die ich nutze, sind stark auf UX-Forschung fokussiert, denn du erinnerst dich, das ist etwas, das ich früher gemacht hab, und viele PMs haben fortgeschrittene UX-Forschungsfähigkeiten, also hoffe ich einfach, dass sie das nicht komisch finden. Also komme ich zum ersten Interviewer und der fragt mich all diese Fragen. Ich scheine ein bisschen nervös, aber sie meinen, machen Sie sich keine Sorgen. Es wird gut gehen. Wir gehen durch alle PM-bezogenen Fragen. Diese Person ist ein PM.

JACK: Du bist aus den falschen Gründen nervös. Das ist das irgendwie witzig.

JACK: Sie sind's ja gewohnt, dass die Leute nervös sind. Ich seh sie sagen, oh, das ist in Ordnung, du machst das toll, mach dir keine Sorgen. Und du denkst, oh, danke, weil ich versuche, euch zu hacken.

RACHEL: Nein, weißt du, das Lustige ist, wenn du Leute hackst, ist es sinnvoll, dass dein Pretext zu dem passt, wie du dich tatsächlich fühlen wirst, wenn du hackst.

Darknet Diaries Deutsch: Die Kunst der Manipulation – Teil 2

Rachel Tobac zeigt, wie Social Engineering, KI-Stimmklone und Deepfakes Menschen dazu bringen können, selbst streng geheime Informationen preiszugeben.