Wissen › Wie Profis hacken › Social Engineering am Helpdesk
Social Engineering am Helpdesk
Der kürzeste Weg ins Netzwerk ist manchmal ein Anruf: Wie Angreifer sich als Mitarbeitende ausgeben und den Support Passwörter zurücksetzen lassen.
Lies den Artikel und beantworte am Ende 9 Fragen. Erst wenn alle richtig beantwortet sind, ist die Lektion im Training erledigt und du bekommst 50 Punkte.
Technik lässt sich härten – Hilfsbereitschaft nicht so leicht. Ein IT-Helpdesk ist dafür da, Menschen wieder an ihre Konten zu bringen. Genau das nutzen Angreifer aus: Sie geben sich am Telefon als Mitarbeitende aus und lassen den Support die Arbeit machen.
Wie der Angriff abläuft
- 1Vorbereitung
Namen, Rollen und Vorgesetzte finden sich in Berufsnetzwerken, auf der Firmenwebsite und in Pressemitteilungen. Dazu kommen persönliche Daten aus früheren Leaks.
- 2Der Anruf
Der Anrufer gibt sich als Mitarbeiterin oder Mitarbeiter aus: neues Handy, Passwort vergessen, dringender Termin. Kontrollfragen beantwortet er mit den gesammelten Daten.
- 3Die Zurücksetzung
Der Support setzt das Passwort zurück oder hinterlegt ein neues Gerät für die Zwei-Faktor-Anmeldung. Ab jetzt meldet sich der Angreifer ganz regulär an.
Die US-Behörde CISA beschreibt genau dieses Muster für die Gruppe Scattered Spider: Anrufe beim IT-Helpdesk, um Passwörter zurücksetzen und MFA-Geräte übertragen zu lassen – oft nach einem ersten Anruf, der nur klären soll, wie der Ablauf dort funktioniert.
Fallbeispiel
MGM Resorts (2023): ein Anruf, zehn Tage Ausnahmezustand
- 1Recherche
Nach Darstellung der Angreifer suchten sie über LinkedIn eine Person aus, die bei MGM arbeitete.
- 2Anruf beim IT-Helpdesk
Sie riefen beim Helpdesk an, gaben sich als diese Person aus und ließen Zugangsdaten zurücksetzen.
- 3Ausbreitung und Erpressung
Von diesem Zugang aus breiteten sie sich im Netz aus. Eine mit der Ransomware-Gruppe ALPHV/BlackCat verbundene Gruppe beanspruchte den Angriff für sich. Hotels und Casinos arbeiteten tagelang eingeschränkt.
- 4Die Rechnung
MGM bezifferte die negative Auswirkung auf das bereinigte Ergebnis (Adjusted Property EBITDAR) im dritten Quartal auf rund 100 Mio. US-Dollar, dazu einmalige Kosten von unter 10 Mio. US-Dollar.
Die Lehre: Die stärkste Anmeldung hilft nichts, wenn sie sich per Anruf zurücksetzen lässt. Der Prozess zur Zurücksetzung gehört zur Sicherheit wie das Passwort selbst.
Der Ablauf des Einstiegs stammt vor allem aus Aussagen der Angreifer und aus Berichten von Sicherheitsfirmen; MGM hat die Details nicht bestätigt. Die Zahlen stammen aus MGMs Meldung an die US-Börsenaufsicht.
Nicht nur große Konzerne
Dasselbe Muster funktioniert in jeder Agentur: „Hallo, hier ist die Marketing-Leitung von Kunde X, ich komme nicht mehr ins TYPO3-Backend, können Sie mir schnell ein neues Passwort an meine private Adresse schicken?“ Wer unter Zeitdruck hilft, ohne nachzuprüfen, öffnet die Tür.
Auch bei Uber war 2022 ein Mensch das Einfallstor: Ein Angreifer hatte das Passwort eines Dienstleisters und schickte so lange Anmelde-Bestätigungen auf dessen Handy, bis eine davon angenommen wurde.
Woran du es erkennst
- Druck und Dringlichkeit: „Ich bin gleich beim Vorstand“, „es eilt sehr“.
- Der Wunsch, vom üblichen Weg abzuweichen: andere Telefonnummer, private E-Mail-Adresse, Zurücksetzung ohne Ticket.
- Plötzliche Änderungen an Zwei-Faktor-Geräten oder Wiederherstellungs-E-Mails eines Kontos.
- Mehrere unbestätigte Anmeldeanfragen hintereinander auf dem eigenen Handy.
Was wirklich hilft
- Ein fester Ablauf für Zurücksetzungen: Rückruf nur unter einer bereits bekannten Nummer, Bestätigung durch Vorgesetzte oder persönliches Erscheinen bei Admin-Konten.
- Zwei-Faktor-Geräte nie allein auf Zuruf neu hinterlegen.
- Phishing-resistente Anmeldung (Passkeys, Hardware-Schlüssel), wie sie auch CISA empfiehlt.
- Das Team schulen – und ausdrücklich erlauben, Anrufer abzuweisen, auch wenn sie wichtig klingen.
- Benachrichtigungen, wenn sich Passwort, E-Mail-Adresse oder Zwei-Faktor-Geräte eines Kontos ändern.
Worauf du in TYPO3 achten musst
In TYPO3-Projekten sind es oft Agentur und Kunde, die sich gegenseitig „Support“ leisten.
Backend-Passwörter nicht auf Zuruf vergeben
Setze Passwörter nur nach einem festen Ablauf zurück und schicke sie nie an eine Adresse, die nicht im Benutzerkonto hinterlegt ist. Besser: TYPO3 selbst den Link zur Zurücksetzung an die hinterlegte E-Mail-Adresse schicken lassen.
Selbst-Zurücksetzung für Admins abwägen
Seit TYPO3 10.4 können Backend-Nutzer ihr Passwort per E-Mail zurücksetzen ($GLOBALS['TYPO3_CONF_VARS']['BE']['passwordReset']). Ob das auch für Admins gelten soll, steuert ['BE']['passwordResetForAdmins'] – wer das Postfach eines Admins übernimmt, hätte sonst auch das Backend.
$GLOBALS['TYPO3_CONF_VARS']['BE']['passwordResetForAdmins'] = false;MFA für alle mit Backend-Zugang
Ist der zweite Faktor Pflicht ($GLOBALS['TYPO3_CONF_VARS']['BE']['requireMfa']), reicht ein erschlichenes Passwort allein nicht. Dann muss auch das Zurücksetzen der MFA einem festen Ablauf folgen.
Lektion abschließen: 9 Fragen beantworten
Diese Lektion („Social Engineering am Helpdesk“) gilt im Training erst als erledigt, wenn du alle 9 Fragen zu diesem Artikel richtig beantwortet hast – von leicht bis knifflig. Dafür gibt es 50 Punkte. Dafür brauchst du ein Konto, damit dein Fortschritt gespeichert wird.
Weiter im Wissen
Interaktiv üben
In der Lernplattform probierst du das an einer echten, isolierten TYPO3-Instanz aus: