Social Engineering Autorisierte Angriffssimulation zeigt Schwachstellen im Kundenservice
Partnerprojekt von Innowise
Projektprofil
- KundeNicht namentlich genannt
- PartnerInnowise
- BrancheFinanzdienstleistungen
Ausgangslage
Ein großes Finanzunternehmen wollte prüfen, wie gut sein Kundenservice telefonische Täuschungsversuche erkennt. Besonders relevant waren die Identitätsprüfung und der Umgang mit Kundenkennungen. Vorhandene Sicherheitsmaßnahmen sollten unter realitätsnahen, mit dem Auftraggeber abgestimmten Bedingungen untersucht werden.
Lösung
Simulation über mehrere Schichten
Innowise entwickelte passende Vishing-Szenarien und untersuchte eine vom Kunden bereitgestellte Callcenter-Nummer über verschiedene Schichten hinweg. Der Test umfasste mehr als 300 Anrufe.
Erkenntnisse in Schutzmaßnahmen übersetzen
Die Untersuchung deckte Lücken in Abläufen und im Umgang mit Kundenkennungen auf. Ein Ergebnisbericht bündelte die Befunde und Empfehlungen zur Identitätsprüfung sowie zu ergänzenden Schutzmaßnahmen. Die öffentliche Darstellung zeigt die Prüfmethodik, keine operativen Angriffsskripte.
Vom freigegebenen Test zur Schutzmaßnahme
Abgestimmte Tests: Callcenter-Szenarien → Servicekontakt: Mehrere Schichten; Servicekontakt: Mehrere Schichten → Beobachtete Lücken: Identität / Abläufe; Beobachtete Lücken: Identität / Abläufe → Ergebnisbericht: Priorisierte Befunde; Ergebnisbericht: Priorisierte Befunde → Kundenmaßnahmen: Schutz verstärken.
Technologien
- GoPhish / SET
- Asterisk / Twilio
- MITRE ATT&CK / NIST SP 800-115
Ergebnisse
Innowise dokumentierte drei wesentliche Schwachstellen. Laut Partnerunterlage nutzte der Kunde die Erkenntnisse, um Lücken zu schließen und Schutzmaßnahmen zu verstärken. Eine Erfolgsquote wird nicht ausgewiesen, da die Quelle nur ungefähre Mengen für die Testanrufe nennt.
- Drei wesentliche Schwachstellen identifiziert
- Schichtübergreifende Prüfung
- Konkrete Empfehlungen zur Identitätsprüfung
Projektprofil
- KundeNicht namentlich genannt
- PartnerInnowise
- BrancheFinanzdienstleistungen
Technologien
- GoPhish / SET
- Asterisk / Twilio
- MITRE ATT&CK / NIST SP 800-115
