Die Masche funktioniert über einen Anhang, der auf den ersten Blick unverdächtig erscheint. Tatsächlich steckt dahinter jedoch keine echte Audiodatei, sondern eine manipulierte SVG-Datei, die optisch wie eine Sprachaufnahme aufgemacht ist. Wird sie geöffnet, landet der Empfänger auf einer gefälschten Login-Seite, auf der Zugangsdaten abgegriffen werden.

Um Sicherheitsmechanismen zu umgehen, gehen die Angreifer technisch aufwendig vor. Nach Erkenntnissen der Forscher kamen in der Kampagne mehr als 38.000 manipulierte Absenderadressen sowie über 9300 gefälschte Domains zum Einsatz. Ziel ist es, den Eindruck zu erwecken, die Nachricht stamme direkt aus dem eigenen Unternehmen.

Die betreffenden Nachrichten tragen häufig den Betreff „Automated transcript“. Ergänzt wird dieser meist durch eine teilweise anonymisierte Telefonnummer und einen zufälligen Code zur Nachverfolgung. Genau dieses Muster ähnelt echten Systemmails, die viele Beschäftigte aus dem Büroalltag kennen. Auch wenn eine Mail scheinbar von einer internen Adresse kommt, empfiehlt sich im Zweifel eine Prüfung über einen separaten Kommunikationsweg.

Ein falscher Klick ist manchmal schnell gesetzt und kann weitreichende Folgen haben. Auch am Arbeitsplatz können Arbeitnehmer Phishing-Nachrichten erhalten. Wer dafür haften muss, hängt vom Grad des Verschuldens ab, informiert die „Industrie- und Handelskammer Ostthüringen“ (IHK). Bei typischen Fehlern, die im Arbeitsalltag passieren können, muss der Arbeitgeber haften. Bei üblicher Unachtsamkeit wird der Schaden zwischen Arbeitgeber und Mitarbeiter aufgeteilt.

Für den Arbeitnehmer ergeben sich allerdings nicht nur mögliche Haftungsfragen – auch arbeitsrechtliche Konsequenzen können die Folge bei einem Phishing-Vorfall sein. Diese können laut IHK von der Abmahnung bis zur fristlosen Kündigung gehen.