Das größte Risiko eines kompromittierten Kontos mit KI-Funktionen liegt darin, wie schnell ein KI-Assistent Angreifer dabei unterstützen kann, vertrauliche Informationen aufzuspüren, Ziele zu identifizieren, überzeugende Nachrichten zu verfassen und einen Angriff mit bereits vorhandenen Zugriffsrechten des Opfers voranzutreiben. In einem neuen, kontrollierten Proof-of-Concept-Angriff zeigt das Red Team von Barracuda, wie ein einziges kompromittiertes Mitarbeiterkonto zu einer Übernahme des CEO-Kontos und zu einem Überweisungsbetrug in Höhe von 250.000 US-Dollar eskalieren kann. Dabei nutzten die Angreifer ausschließlich legitime, bereits etablierte Prozesse. Für den kontrollierten Angriff kam Microsoft Copilot zum Einsatz – der Ansatz lässt sich jedoch ebenso auf andere weitverbreitete KI-Assistenten übertragen.
Ablauf des Angriffs
Über ein kompromittiertes Mitarbeiterkonto weisen die Angreifer den KI-Assistenten zunächst an, ihnen dauerhaften Zugriff zu sichern. Dazu lassen sie Regeln für den Posteingang erstellen, die Anmeldebenachrichtigungen und andere verdächtige Meldungen vor dem Nutzer verbergen. Anschließend nutzen sie den Assistenten, um die Organisationsstruktur zu analysieren, besonders wertvolle Ziele zu identifizieren und relevante Unterhaltungen aus mehreren Monaten an E-Mails, Anhängen und Kalendereinträgen herauszufiltern.
Auf Grundlage dieser Informationen lassen die Angreifer den KI-Assistenten eine äußerst überzeugende Phishing-E-Mail an den CEO verfassen, die sich am natürlichen Schreibstil eines Mitarbeiters orientiert. Da die Nachricht von einem legitimen internen Konto stammt und sich auf tatsächliche geschäftliche Zusammenhänge bezieht, steigen die Erfolgschancen deutlich.
Nachdem die Angreifer das Konto des CEO durch den Diebstahl eines Sitzungstokens kompromittiert haben, wiederholen sie den Ablauf. Mithilfe von KI sichern sie ihren Zugriff und suchen im Postfach der Führungskraft gezielt nach besonders wertvollen Finanzinformationen.
Relevanz des Angriffs
KI kann ein E-Mail-Postfach in ein durchsuchbares Informationsarchiv verwandeln. Im Rahmen des Proof-of-Concept-Angriffs genügte eine einfache Anfrage nach aktuellen Finanzaktivitäten, um offene Rechnungen, Überweisungen und Freigabeprozesse zu identifizieren – darunter auch eine ausstehende Zahlung in Höhe von 247.500 US-Dollar. Anschließend nutzten die Angreifer das Konto des CEOs und den KI-Assistenten, um eine überzeugende Nachricht an die Finanzabteilung zu verfassen. Darin forderten sie die Mitarbeitenden auf, vor der Freigabe der Überweisung das Empfängerkonto zu ändern.
Da die Anfrage aus dem legitimen Postfach des CEO stammte, sich auf eine echte Transaktion bezog und dem Kommunikationsstil der Führungskraft entsprach, hatten herkömmliche E-Mail-Sicherheitslösungen kaum Anlass, sie als verdächtig einzustufen. Die Angreifer richteten außerdem Weiterleitungsregeln ein, um Bestätigungsnachrichten abzufangen, und nutzten den KI-Assistenten, um Hinweise auf den Betrug schnell zu finden und zu löschen.
„Der E-Mail-Verlauf eines Nutzers enthält zahlreiche vertrauliche Informationen und Zusammenhänge, die Angreifer für ihre Zwecke nutzen können – darunter gesendete und empfangene E-Mails, freigegebene Dokumente, Anhänge und Kalendereinladungen. Die Unternehmensstruktur lässt sich aus den in den Nachrichten erkennbaren Beziehungen ableiten oder direkt über Organigramme einsehen“, sagt Daniel Avulov, Senior Cybersecurity Researcher im Red Team von Barracuda. „Der kontrollierte Angriff zeigt, wie KI-Assistenten unwissentlich zu böswilligen Insidern werden und sowohl die Qualität als auch die Geschwindigkeit eines Angriffs erhöhen können. Der wirksamste Schutzansatz besteht darin, zu erkennen, dass die Angriffsmuster gleichbleiben, bereits vorhandene Telemetriedaten zu nutzen und die durchschnittliche Erkennungszeit so niedrig wie möglich zu halten.“
Da KI-Assistenten immer stärker in die Unternehmenskommunikation und in Arbeitsabläufe eingebunden werden, müssen Unternehmen Konten mit KI-Funktionen als besonders schützenswerte Ressourcen behandeln. Deshalb werden der Schutz digitaler Identitäten, die Erkennung kompromittierter Konten und die Absicherung des KI-gestützten Zugriffs auf Unternehmensinformationen für moderne Strategien zur E-Mail- und Identitätssicherheit zunehmend an Bedeutung gewinnen.
Weitere Informationen und technische Details finden Sie im Blogbeitrag.
