suche eine gute Phishing-Mail

Schick mal deine mailadresse, dann bekommst du ein paar.

...bei uns wurde mal eine Mail mit einem Betreff ala "Zielerreichung und 
Bonus 2020" verschickt und selbst in der IT haben 99% der Leute gierig 
auf den enthaltenen Link geklickt...

A. Klaasen schrieb:
> ne Mail mit einem Betreff ala "Zielerreichung und
> Bonus 2020" verschickt und selbst in der IT haben 99% der Leute gierig
> auf den enthaltenen Link geklickt...

durch Klicken auf einen Link passiert ja erst mal noch nichts, man 
kommthalt auf irgendeine Seite?

der Pisher schrieb:
> wie stellt man so was am Besten an?

Was möchtest Du denn erreichen? Natürlich kannst DU ihm eine Mail von 
unbekannt schicken, die er auch öffnet. Schließlich kannst Du beliebige 
Infos aus seinem Leben einfließen lassen.

Erfolg ist aber erst, wenn er z.B. eine Information preisgibt. Sein 
Geburtsdatum oder seine Position im Unternehmen (Rolle, Namen eines 
Vorgesetzten oder Mitarbeiters, Durchwahl, Arbeitsplatz, 
Personalnummer). Und dabei dürften Firmeninfos leichter sein, da deren 
Notwendigkeit plausibler ist.

A. S. schrieb:
> Was möchtest Du denn erreichen? Natürlich kannst DU ihm eine Mail von
> unbekannt schicken, die er auch öffnet. Schließlich kannst Du beliebige
> Infos aus seinem Leben einfließen lassen.

will erreichen das er die Mail ernst nimmt und drauf antwortet - ja, ihn 
zugegeben vorführen

Wir nutzen Windows, Office 365

Wenn deine Firma was mit i im Namen hat sicher dir eine Domain wo du I 
durch l ersetzt. Fällt kaum einen auf und schon kannst du "interne" 
Mails schreiben.

Wegstaben V. schrieb:
> Ob du dadurch Karma-Punkte sammelst oder in seiner Gunst und
> Wertschäzuung steigst, musst du dir selbst beantworten....

danke, den Weg danach habe ich schon selber im Kopf, es geht um die 
Mail...

Du brauchst keine Mail. Das BSI weiß was. 
https://www.bsi-fuer-buerger.de/BSIFB/DE/Risiken/Schadprogramme/schadprogramme_node.html

Bodo B. schrieb im Beitrag #6549513:
> Ansonsten, hier findest du gute Beispiele für Phishingmails:
> https://bit.Iy/7Pk1H6

die Webseite ist nicht erreichbar?

der Pisher schrieb:
> Bodo B. schrieb im Beitrag #6549513:
>> Ansonsten, hier findest du gute Beispiele für Phishingmails:
>> https://bit.Iy/7Pk1H6
>
> die Webseite ist nicht erreichbar?

Tja, durchgefallen.

MfG, Arno

Ist gar nicht so einfach. Darf ja nichts sein, das die Loyalitaet testet 
oder die Person angreift.

Ich bekomme ab und zu Mails wo was von Kontoproblemen geschrieben wird, 
man soll sich schnell einloggen. (Nur bin ich nicht bei der Sparkasse.) 
Sowas waere ganz gut, passt aber halt nicht in die IT-Abteilung. Dort 
geht vielleicht was alla SAP-Lizenzen wurden an verschiedenen Orten 
aktiviert, Lizenzvergehen, Systeme werden bis Mittag gesperrt. 
Einloggen, fuer Details. Dringendes Altium-Update wg. bekanntgewordenem 
Sicherheitsproblem. Schnell einen Updater runterladen oder einloggen.
Irgendwas wo die IT ins Schwitzen kommt um eine unueberlegte Handlung zu 
provozieren.

Mach aber nichts ohne Ruecksprache mit der Geschaeftsfuehrung, sonst 
kollidierst du schnell mit dem Strafrecht.

Schickt ihm am besten eine Warnung vor einer branchenspezifischen 
Pishingmail, die er dann an alle zur Warnung weitergibt. Wenn er das 
macht, zählt ihn an.

Aber noch besser wäre es, wenn er die Nachricht über jemanden von oben 
bekommt und er die Warnung nicht weitergegeben hat. Die sollte dann so 
sein, das daraus erkannt wird, diese wäre für jemanden sinnvoll zu 
wissen der oben ist. Dafür macht einer von Euch ein Foto, Screenshot 
oder tippt wesentliches ab und schickt das dem Betreffenden hoch. Und 
dann lehnt Ihr Euch schön zurück, weil Euer Chef hatte die wichtige Info 
nicht weitergegeben.

Aktuell wird die Warnung vom CERT noch nicht in den öffetnlichen 
Warnungen geführt, da in dieser noch kein relevanter Schadcode 
integriert wurde und aus ermittlungstaktischen Gründen.
Wenn eine solche Nachricht in Ihrem Hause auftaucht, bitte das CERT 
benachrichtigen.

Ich muss vielleicht noch ergänzen- wir haben es mit einem CIO - Chief 
Information Officer -  zu tun - der Titel klingt wichtig, aber ich traue 
dem noch nicht mal zu Windows auf einem nackten PC zu installieren - ist 
ja auch nicht seine Aufgabe, er hat nur mit strategischen Dingen zu 
tun....

Gedankenspiel: Angenommen dieser Plan funktioniert. Der Chef (und 
vielleicht auch der Chef vom Chef) steht nun als erwiesener Idiot da.

Was ist jetzt besser? Glaubst du, dass der Chef jetzt demütig vor der 
Belegschaft zu Kreuze kriecht, sich vielmals für sein dämliches Vorgehen 
entschuldigt und fortan eine hervorragende Führungspersönlichkeit ist? 
Falls ja: Welche Drogen nimmst du?

Die Realität sieht doch so aus: Der Chef verfolgt einen mäßig cleveren 
Plan. Du verfolgst genau den gleichen Plan. Ihr spielt absolut auf dem 
gleichen Niveau. A match made in heaven ...

Heiner schrieb:
> Glaubst du, dass der Chef jetzt demütig vor der
> Belegschaft zu Kreuze kriecht, sich vielmals für sein dämliches Vorgehen
> entschuldigt und fortan eine hervorragende Führungspersönlichkeit ist?

nein, das glaube ich nicht - hast schon Recht

Wir sind zugegeben kein DAX-Konzern, nur ca. 100 Mitarbeiter

Vielleicht kündigt die besagte Person dann endlich einfach aus Scham 
selbst?
Oder die Chefs verstehen endlich was da abgeht? Die brauchen leider 
Beispiele, keine Fakten

der Pisher schrieb:
> Vielleicht kündigt die besagte Person dann endlich einfach aus Scham
> selbst?

Das glaubst du ja wohl selbst nicht?

der Pisher schrieb:
> Die brauchen leider
> Beispiele, keine Fakten

Richtig, ohne Beispiele wird's schwer, dir zu kündigen. Also tu dir 
keinen Zwang an ;)

der Fischer schrieb:
> Richtig, ohne Beispiele wird's schwer, dir zu kündigen. Also tu dir
> keinen Zwang an ;)

was willst Du mir jetzt damit sagen?

Bodo B. schrieb im Beitrag #6549696:
> Wer ist nun der Dumme? Dein IT-Leiter oder ...?

dieser Link hat nichts mit meinem Rechner angestellt

Aber Du bist ein richtiges Schlaule, gell? :-)

Ich habe nach was Konkretem im Urspungsthread gefrag, aber das 
übersteigt wohl leider deinen Vorstellungshorizont, Hauptsache aus 
Langeweile dumm daher gelabert ...

Hallo "von der Pisher",

ich kann verstehen das Dich der Typ maximal frustet. Habe so was auch 
schon häufiger in Firmen erlebt und erlebe es auch jetzt. Solche Typen 
gibt es leider oft in wichtigen Positionen und man fragt sich auch immer 
wieder wie die es nur dorthin geschafft haben ( "Peter-Prinzip" ? )

Ich würde Dir aber dringend von Deinem Vorhaben abraten, da das nach 
hinten losgehen wird. Es wird auf Dich zurück fallen. Solche Leute 
sitzen fest im Sattel, warum auch immer. Wenn Du es nicht mehr aushälst 
schau Dich nach einer anderen Firma um und geh.

Zugegebenrweise ist Deine Idee schon sehr verführerisch, wenn Du aber 
keinen beruflichen Selbstmord begehen möchtest lass es bleiben! Am Ende 
hast Du eine Strafanzeige und eine fristlose Kündigung an den Hacken. 
Damit wird es schwer einen neuen Job zu finden.

Verwende Deine Energie darauf die Mitarbeiter zu sensilibilisieren. In 
meiner Firma werden regelmäßig Newsletter versendet in denen über die 
Tricks von Phishing Mails informiert wird. Es werden Beispiele genannt 
und auch Dinge erklärt, die auf keine Fall in einer Mail gefordert 
werden dürfen. Das gilt übrigens auch für Telefonanrufe von aussen, in 
denen versucht wird Mitarbeiter auszuhorchen.
Erstelle doch mal eine leicht verständliche Aufklärungsmail und schlage 
vor, regelmäßig die Mitarbeiter zu informieren. Wenn Du das gut 
vorbereitest kann Dir das keiner Abschlagen.
Das das allemal besser ist, als aufzuzeigen wie doof die User sind, wird 
auch der dümmste Chef (von Deinem direkten Vorgesetzten) verstehen ;-)


Gruß
Ralf

Ralf schrieb:
> Am Ende
> hast Du eine Strafanzeige und eine fristlose Kündigung an den Hacken.

Hallo Ralf,

verstehe deinen Standpunkt - nur - was soll daran strafbar sein wenn er 
eine Mail bekommt "ich bin der Erbe von bla bla, schicjekn sie mir ein 
Foto, dann bekommst Du 250.000 € vom Erbe" und er so doof ist daraif zu 
antworten?

Mir ist klar dass das so einfach nicht funktioniert, darauf fällt 
niemand rein

Hier ein interessanter Bericht:

https://www.t-online.de/digital/sicherheit/id_89181672/-weihnachtsbonus-war-nur-ein-test-us-firma-legt-mitarbeiter-rein.html

bei uns würde so was auf Grund der Firmenkonstellation generell nie 
funktioneren...

Ich frage mioch auch was so ein externer Dienstleister da verschicken 
will?
Das ist doch generell nur Geldmache weil er die Firmeninternas zu wenig 
kennt?

Alex Z. schrieb:
> Schnapp dir einen Verschlüsselungstrojaner, ein KaliLinux und hacke
> euren eigenen Server. Wenn du weißt, welche Sicherheitslücken bei euch
> bestehen, isses noch einfacher. Einmal alles Verschlüsseln und abwarten.
> Zeigt, dass eure Server nicht sicher sind und was getan werden muss.

Sich strafbar machen um auf Missstände hinzuweisen ist selten gute Idee!

Statt dessen einfach mal Nägel mit Köpfen machen und die 
Sicherheitsmângel auflisten. Ganz konstruktiv! Diese Übersicht geht dann 
an den ungeliebten Chef (gerne mit der Frage wieso an den bekannten 
Problemen nicht gearbeitet wird) und im CC geht das dann an die Ebene 
über ihm.

Alex Z. schrieb:
> Schnapp dir einen Verschlüsselungstrojaner

nein, will nur eine Mail auf die auch dieser Typ rein fällt...

Für die Firma ist die IT nur ein Kostenfaktor auf der Ausgabenseite. Ein 
Chef steht nur gut da, wenn er diese Kosten maximal niedrig hält.

ThomasW schrieb:
> Ganz konstruktiv!

Der Hintergrund dazu wäre, wer schreibt der bleibt. Und dafür ist das 
betriebliche Emailsystem ideal. Für den Fall der Fälle hebe Dir die 
Email oder einen Ausdruck gut auf.

Dann frage man nach der Priorisierung durch Chef zu den 
Mängelbehebungen. Wenn sich ablehnend zu einzelnen Maßnahmen äußert, 
wird die Liste mit Datum des Feedbacks aktualisiert mit wurde vom ... am 
...  für niedrige Prio eingestuft.

Weil die Maßnahmen mit Kosten verbunden sind, ist auch immer eine gute 
Frage an den Chef, was ihr ihm an "Munition" geben könntet, damit etwas 
Geld locker gemacht wird um Mängel zu beheben. Das wäre die passende 
Tonlage.

> Ich habe immer so drei bis sechs Millionen gewonnen und soll

Warum fragen die noch? Bankdaten sind doch verfügar?

Ben B. schrieb:
> Wie dumm muß man sein, um darauf hereinzufallen?

Auch schlaue Leute lassen Mails automatisch öffnen...