Network
Insiderbefugnisse dringend gesucht
Insiderrisiken sind nicht nur Sicherheits- sondern auch Unternehmensrisiken. Unsere Studie zeigt, dass sich der Missbrauch durch Insider von vereinzelten opportunistischen Handlungen zu einem strukturierten kriminellen Markt entwickelt hat.
Save to Folio
Wichtigste Erkenntnisse
- Die Anwerbung von Insidern ist Teil einer strukturierten Schattenwirtschaft.
- Die wertvollsten Insider verfügen über Befugnisse im Arbeitsablauf, nicht nur über Systemzugang. Sie können Transaktionen genehmigen, Konten wiederherstellen, Betrugsschutzmaßnahmen umgehen und Aktionen autorisieren, die externe Angreifer von außen nicht überzeugend durchführen könnten.
- Dienstleistungen von Innentätern werden zunehmend zur Commodity. Die Aufhebung von Social-Media-Sperren, Rückerstattungsbetrug, SIM-Swaps, Nachverfolgungs-Updates und Kontowiederherstellungen werden offen mit festen Preisen, erwarteten Bearbeitungszeiten und Wiederverkäuferprogrammen vermarktet.
- Der KI-Sektor ist das nächste hochkarätige Ziel. Da KI-Unternehmen Modellgewichte, proprietäre Trainingsdaten und privilegierten Systemzugang ansammeln, wird die Nachfrage nach Mitarbeitern, die diesen Zugang unbemerkt extrahieren oder missbrauchen können, voraussichtlich steigen.
KI hat Einzug in jede Branche gehalten und verändert sogar die Cyberkriminalität, doch der menschliche Faktor bleibt dabei eine Konstante. Für die Cyberkriminalität bleibt der Insider ein stets gefragtes Gut. Während eines zweijährigen Beobachtungszeitraums haben wir verfolgt, wie sich der Insider-Markt von vereinzelten opportunistischen Aktionen hin zu einer ausgereiften, organisierten Wirtschaft entwickelt hat. Vermittler, Treuhanddienste und dauerhafte Partnerschaften agieren offen in Foren und auf Telegram-Kanälen. Es werden feste Vergütungen, Gewinnbeteiligungsvereinbarungen, Empfehlungsprämien und dauerhafte Partnerschaften angeboten.
In Untergrundforen, die sich mit Meta (insbesondere den Plattformen Facebook und Instagram), TikTok, X und Google befassen, besteht eine anhaltende Nachfrage nach Insidern. Zu den gefragten Dienstleistungen gehören das Eintragen von Werbung in die „Safelist“, die Übernahme von Konten, die Aufhebung von Sperren, das Beschleunigen von Verifizierungsprozessen sowie das Aufdecken von Anzeigen-Daten der Konkurrenz.
Die Verfolgung von Angebot und Nachfrage nach dieser Ressource hilft Unternehmen dabei, abzuschätzen, wo Bedrohungen und potenzielle Insider auftreten könnten.
Öffentlicher Sektor: „Access-as-a-Service“ durch Insider
Insider verkaufen vorgefertigte „Access-as-a-Service“-Lösungen und verdichten damit die gesamte Einbruchskette – einschließlich staatlich verbundener Systeme – zu einem einzigen Kauf, der es Käufern ermöglicht, den Einbruch gänzlich zu überspringen. Das macht den durch Insider ermöglichten Zugang zu einem der effizientesten und gefährlichsten Produkte, die wir dokumentiert haben. Die Angebote reichen von einigen hundert Dollar für Zugangsdaten zu einer regierungsnahen Plattform bis hin zu Premium-Angeboten, die Administratorrechte in großen Unternehmen gewähren. Diese Angebote der höheren Preisklasse umfassen die Persistenz und die Tools, die ein Käufer andernfalls erst durch einen Einbruch erlangen müsste.
Regierung: Das knappste Gut mit dem höchsten Einsatz
Insider aus Regierungskreisen sind das knappste Gut auf dem Untergrundmarkt. Sie tauchten in unserer Untersuchung nur gelegentlich auf, wahrscheinlich aufgrund von Glaubwürdigkeitsbedenken, begrenzter Nachfrage oder einer Rekrutierung, die sich auf private Kanäle verlagert. Doch die wenigen Angebote, die tatsächlich erscheinen, erzielen Spitzenpreise und zielen auf sensiblen Zugriff sowie auf staatsbezogene Geheimdienstinformationen ab.
Gesundheitswesen: Patientenakten zum richtigen Preis
Das Gesundheitswesen sieht sich von zwei Seiten mit Insiderrisiken konfrontiert. Mitarbeiter stehlen und verändern heimlich dauerhafte Krankenakten, die Opfer nicht neu ausstellen lassen können, während einige der Cybersicherheitsexperten, die zur Abwehr von Ransomware eingestellt wurden, heimlich mit den Angreifern gegen ihre eigenen Kunden zusammengearbeitet haben. Zu den Auswirkungen gehören die Weitergabe von geheimen, kontrollierten oder zugangsbeschränkten Regierungsunterlagen, langfristiger Identitätsbetrug und Erpressung durch dauerhaft gespeicherte personenbezogene Daten und nicht zuletzt Folgen für die nationale Sicherheit und regulatorische Konsequenzen, die über den ursprünglichen Verkauf hinausreichen.
Soziale Medien: Der Marktplatz des Vertrauens
Insider aus dem Bereich der sozialen Medien werden rekrutiert, um betrügerische Anzeigen zu genehmigen, gesperrte Konten wieder freizuschalten und Verifizierungs- sowie Löschvorgänge zu manipulieren. Ihr Zugriff verwandelt das Vertrauen in die Plattform in einen beständigen, offen preisgebundenen Markt, der auch dann noch fortbesteht, wenn Unternehmen die dahinterstehenden Insider entlassen.
Telekommunikation: Das Signal kapern
Insider aus der Telekommunikationsbranche gehören zu den gefragtesten und bestbezahlten im Untergrund, denn ein einziger bestochener Mitarbeiter eines Netzbetreibers kann einen SIM-Swap durchführen, der die Zwei-Faktor-Authentifizierung (2FA) per SMS umgeht und Angreifern die Mail-, Bank- und Kryptowährungskonten eines Opfers verschafft. Die Folgen sind einesteils erhöhte Risiken im Zusammenhang mit behördlichen Auflagen und Sammelklagen für Telekommunikationsanbieter aber auch ein schwindendes Vertrauen der Verbraucher in die telefonbasierte Identitätsprüfung.
Finanzwesen: Der hohe Preis für den Zugang eines Bankers
Insider aus dem Finanzwesen sind das unverzichtbare Bindeglied in groß angelegten Betrugsmaschen. Sie werden angeworben, um Zahlungen zu genehmigen, Kunden- und Transaktionsdaten zu extrahieren und die Betrugsschutzmechanismen zu deaktivieren, die eine Transaktion verhindern würden. Eine parallele Gruppe von Insidern kümmert sich um die physische Auszahlung durch Skimming an Geldautomaten und Kassenterminals (POS) sowie durch betrügerische Finanzierungen. Die Folgen sind direkter Diebstahl aus Kundenkonten bei Banken, Kreditkartenunternehmen und Wertpapierhändlern, Betrug mit physischen Karten an Tankstellen und im Einzelhandel. Es entstehen Netzwerke von Geldkurieren und PIN-Betrügern, die gestohlene Gelder verschieben.
Industrie und Energie: Skimming an der Zapfsäule
Der Industrie- und Energiesektor ist die Branche, die scheinbar am wenigsten von Insidern ins Visier genommen wird. Wo eine Anwerbung stattfindet, konzentriert sie sich auf schlüsselfertige Zahlungs-Skimming-Systeme: Die Angreifer verfügen über die Hardware und das Know-how, müssen jedoch Mitarbeiter an der Tankstelle und im Laden anwerben, um das zu erhalten, was sie selbst nicht herstellen können: physischen, unbeaufsichtigten Zugang zum Terminal.
Versand und Logistik: Wer den Scan kontrolliert, kontrolliert das Geld
Bei Betrug in der Speditionsbranche hängt der gesamte Wert des Insiders von der Kontrolle über einen einzigen Datenpunkt ab: den Sendungsverfolgungs-Scan, den Marktplätze, Verkäufer und Käufer gleichermaßen als maßgebliche Information betrachten. Ein Insider aus der Logistikbranche, der einen gefälschten „Zugestellt“-Scan hochladen kann, löst eine betrügerische Auszahlung aus, und einer, der einen „Zurück an den Absender“-Scan hochladen kann, macht einen legitimen Verkauf rückgängig – weshalb Insider bei Speditionen eine stetige, wiederkehrende Nachfrage genießen. Für Anbieter der Branche kann zu Zahlungsforderungen für Waren, die nie geliefert wurden, führen, zum Betrug durch Rückerstattungen und Rückbuchungen zum Nachteil von Einzelhändlern und Zahlungsabwicklern. Diebstahl hochwertiger Waren durch umgeleitete oder verzögerte Lieferungen geraten ebenfalls Unternehmen zum Nachteil.
Einzelhandel: Grenzenlose Rückerstattungen
Der Rückerstattungsbetrug hat sich von einem Hobbybetrug zu einer organisierten Dienstleistung entwickelt. Insider bei großen Ketten werden angeworben, um betrügerische Rückerstattungen abzuwickeln, während der Kunde die Ware behält; Vermittler erhalten dabei einen Prozentsatz jeder Rückerstattung. Wiederkehrende Geschäftsbeziehungen, feste Preislisten und namentlich genannte Mitarbeiter haben aus einem einst gelegentlichen Betrug einen professionellen Betrieb ohne Obergrenzen für den Auftragswert gemacht.
Bewertungen und Reputation: Der Verkauf der Glaubwürdigkeit der Plattform selbst
Auf einer Reputationsplattform ist die Bewertung das Produkt. Ein Insider, der eine negative Bewertung löschen, einen gesperrten Gastgeber wieder zulassen oder eine Bewertung aufbessern kann, verkauft die Glaubwürdigkeit der Plattform selbst. Das ist ein besonders schädliches Gut, da es das Vertrauenssignal untergräbt, auf das sich alle anderen Nutzer verlassen – und nicht nur einmalig Geld oder Daten stiehlt. Daher handelt ein Teil des Schwarzmarktes mit Reputation und verkauft Dienste zur Aufhebung von Sperren und zur Entfernung negativer Bewertungen auf Reputations- und Bewertungsplattformen wie Airbnb.
Fazit
Aus der Untersuchung geht klar hervor, dass Cyberkriminelle nicht einfach nur Netzwerkzugang, sondern vor allem Autorität und Vertrauen schätzen. Wir sprechen oft von neuen und ausgeklügelten Angriffen, doch in Wahrheit ist der effizienteste Weg in ein Unternehmen selten eine clevere Technik gegen dessen Perimeter – es ist ein gut platzierter Mitarbeiter, sprich Insider. Da KI den Wert von firmeneigenen Daten und privilegiertem Zugriff steigert, wird dieser Markt wahrscheinlich eher wachsen als schrumpfen.
Der vollständige Bericht dokumentiert die illegale Rekrutierungswirtschaft in allen Branchen und enthält Preistabellen, Foreneinträge, Beispiele aus der Praxis sowie konkrete Empfehlungen für Sicherheits- und Betrugsbekämpfungsteams.