Die Kunst der Manipulation (Teil 2)

00:00:00: Dies ist der zweite Teil von Rachel und die Kunst der Manipulation.

00:00:04: Rachel Tobak ist eine der bekanntesten Expertinnen für Social Engineering, also für Angriffe, die nicht Computer sondern Menschen ins Visier nehmen.

00:00:15: In der ersten Hälfte der Episode haben wir von ihrem ungewöhnlichen Karriereweg gehört und davon wie sie sich darauf spezialisiert hat menschliches Verhalten und Vertrauen zu verstehen.

00:00:27: Sie hat beeindruckend gezeigt, dass eine freundliche Stimme glaubwürdige Geschichten und psychologisches Geschick oft ausreichen um Sicherheitsbarrieren zu überwinden.

00:00:38: Tja!

00:00:39: Der Mensch auf der anderen Seite ist häufig die größte Schwachstelle in der IT-Sicherheit.

00:00:44: Verfolgen wir nun weitere spektakuläre Social Engineering Einsätze von Rachel.

00:00:53: Dies sind wahre Geschichten von der dunklen Seite des Internets, recherchiert und geschrieben von Jack Reisider.

00:00:59: Wir sind Isabel Grünewald, Judy Hohmann und Marco Pauli von Heise Online Und wir bringen euch die Darknet Diaries auf Deutsch.

00:01:24: Bei einem anderen Auftrag wurde Rachel von einem Unternehmen angeheuert um ihnen bei einem Problem zu helfen das immer wieder auftauchte.

00:01:34: Es war ein großes Technologieunternehmen, das manchmal kleinere Unternehmen kaufte oder übernahm.

00:01:40: Wenn man ein anderes Unternehmen kauft will man allerdings das normalerweise bis zur offiziellen Ankündigung geheim halten.

00:01:48: es könnte den Aktienkurs beeinflussen oder unruhe in den Unternehmen verursachen wenn die Dinge nicht richtig kommuniziert werden.

00:01:56: aus irgendeinem Grund kam es allerdings immer wieder vor Das, sobald dieses Technologieunternehmen eine Fusion- oder Übernahme plante, bestimmte Nachrichtenagenturen dem Unternehmen zuvor kamen.

00:02:10: Die Meldung tauchte auf Nachrichtenseiten auf lange bevor das Unternehmen eigentlich bereit war die Öffentlichkeit darüber zu informieren.

00:02:19: Also wandte sich das Unternehmen an Rachel mit der Bitte, kannst du uns vielleicht dabei helfen herauszufinden warum diese Nachrichten immer wieder vorzeitig an die Öffentlichkeit gelangen.

00:02:32: Also kamen sie auf mich zu um einen Pentest zu machen und herauszuf finden wie diese M&A Infos durchsickern wo sie möglicherweise ihr Training ihre Kommunikation und ihre internen Protokolle verbessern könnten um herauszufünden warum das passiert.

00:02:46: Warum werden Leute dazu gebracht?

00:02:49: Darüber zu reden und was können wir dagegen tun.

00:02:55: Und

00:02:55: was kommt dir da als erstes in den Sinn, wenn du sowas hörst?

00:02:58: Sowas wie ... Ah, da gibt es bestimmt irgendwo einen Maulwurf!

00:03:01: Da liegt eine Sicherheitsverletzung vor.

00:03:07: Ja

00:03:08: also Insiderbedrohung passieren... Aber was normalerweise am häufigsten ist, dass Leute einfach einen Fehler machen.

00:03:14: Also kamen wir mit ein paar verschiedenen Angriffsmethoden raus die funktionieren könnten um herauszufinden wo das passiert.

00:03:23: Nummer eins ich wollte versuchen mich als Journalistin auszugeben und verschiedene Teammitglieder über Social Media Nachrichten E-Mail Textnachrichten usw.

00:03:32: zu kontaktieren Und sie nach ihrer Erfahrung in der Tech Branche zu fragen Übernahmeinfos raus sagen könnte und einfach schauen wohin es geht.

00:03:44: Nummer zwei, ich wollte mich auf ihre Produktmanagerrolle bewerben den gesamten Einstellungsprozess durchlaufen und sehen ob ich übernahmebezogene Infos im Frageteil des Bewerbungsgesprächs rausziehen könnte.

00:03:58: Ich wusste nicht was funktionieren würde und was nicht aber ich wollte einfach beides versuchen.

00:04:10: Okay,

00:04:12: aber wenn du dich da als eine der Personen ausgeben willst bräuchtest du ja wahrscheinlich einen LinkedIn-Konto oder zumindest irgendeine Online Präsenz?

00:04:21: Oder ich meine, du kannst ja nicht einfach so aus dem kompletten Nichts auftauchen.

00:04:26: Zumindest würde es helfen dann Hintergrund und ein Deckmantel zu haben.

00:04:30: Gibt es dann bestimmtes Framework das Du hast oder eine Methodik mit der Du so einen Geist in der Welt installierst?

00:04:46: Also wir nennen diese Geister, wir nenne die Sockkonten.

00:04:50: Manchmal sind sie echte Leute und so gestalten wir sie in dem Bevorgeben eine echte Person zu sein.

00:04:57: Manchmal sind sie gefälschte Leute und Sie haben einfach dieses komplette Leben online.

00:05:02: Und bei der gefälschten Journalistin dachte ich es würde viel einfacher sein vorzugeben, als dagegen eine Persona einer gefälschten Journalistin zu erstellen und echten Content zu bevölkern.

00:05:16: Also habe ich einen gefälschen Journalisten-Pretext aufgebaut, E-Mail-, Hintergrund- und soziale Medien basierend auf einer echten JournalistInn – die ich natürlich nicht nennen werde.

00:05:30: Interessant!

00:05:31: Rachel hat also versucht sich als eine tatsächlich existierende JournalistIN auszugeben.

00:05:37: Möglicherweise hat sie dann auch eine ähnliche E-Mail Adresse oder ein ähnliches Social Media Konto verwendet.

00:05:45: Aber wie geht es von da aus weiter, woher weiß man an wen man sich in einem Unternehmen wenden muss um Informationen über bevorstehende Fusionen und Übernahmen zu erhalten?

00:05:55: Das sind ja in der Regel streng gehütete Geheimnisse.

00:05:58: Tja!

00:05:59: Es gibt da ja diese eine Website die nicht nur für Social Engineers äußerst hilfreich ist.

00:06:05: Auf der so gut wie jedes Unternehmen und die meisten der dort Mitarbeitenden aufgelistet sind, die einem auch noch die Berufsbezeichnung, die Position den Aufgabenbereich.

00:06:23: Ich persönlich halte LinkedIn für ein echtes Sicherheitsrisiko, für die meisten dort vertretenen Unternehmen.

00:06:30: Sie macht es für jemanden wie Rachel aber eben nicht nur für Rachel wirklich einfach – die Mitarbeiterinnen und Mitarbeiter eines Unternehmens zu identifizieren und dann genau die richtige Person als Ziel auszuwählen!

00:06:44: Sobald man dann die Namen kennt, lässt sich zum Beispiel die E-Mail Adresse leicht erraten vorname.nachname atfirmenname.com oder .de.

00:06:54: Auf LinkedIn geben die Mitarbeitenden wie gesagt gerne ihre Kompetenzen an.

00:06:59: Wenn jemand da zum Beispiel schreibt dass sie seit zehn Jahren als Datenbank-Administratoren für ein Unternehmen arbeitet und dabei dann ausdrücklich erwähnt, das Sie sich hervorragend mit Microsoft SQL Servern auskennt.

00:07:14: Kann man ziemlich sicher davon ausgehen, dass dieses Unternehmen intern Microsoft SQL Server einsetzt – und diese Person wahrscheinlich über das Administratorpasswort dafür verfügt!

00:07:27: Wenn man solche Informationen veröffentlicht, stellt man sich quasi selbst ins Showfenster mit.

00:07:33: Ja ich bin genau die Person, die ihr hacken müsst wenn ihr an die Datenbank dieses Unternehmens herankommen wollt nur zu legt los!

00:07:41: Im Grunde werden private Informationen dir eigentlich nur innerhalb des Unternehnens bleiben sollten auf LinkedIn öffentlich gepostet so dass sie jeder sehen kann.

00:07:51: Wenn sich dieses Unternehmen also fragt, wie kommt es das die Öffentlichkeit von einem der eigentlich nur internen Memos weiß?

00:07:59: Dann sage ich fang damit an zu überprüfen was eure Mitarbeitenden auf LinkedIn posten.

00:08:06: Wenn das Unternehmen völlig damit einverstanden ist dass all diese internen Informationen öffentlich gepostet werden dann fördert das vielleicht ja auch eine Unternehmenskultur, in der es okay ist spannende Neuigkeiten an jeden weiterzugeben, der danach fragt.

00:08:23: Neulich hat mir jemand auf LinkedIn eine Nachricht geschickt und gefragt wie kann ich nur meine Daten aus dem Internet entfernen lassen?

00:08:32: Und ich dachte nur... Was ist das hier dein Foto?

00:08:35: Arbeitest du dort, hast Du dort die Schule besucht.

00:08:38: Ist das Dein richtiger Name?

00:08:41: Du hast all das auf LinkedIn gepostet und fragst Dich nun wie korbt es dass das Internet all diese Informationen über dich hat?

00:08:49: Die Sache ist die vieles was Datenhändler über uns wissen stammt aus den Inhalten die wir öffentlich posten.

00:08:56: Datenhändler durchforsten unsere Social Media Profile, unsere Blogbeiträge und jede Erwähnung von uns in Internet.

00:09:04: Und anschließend speichern Sie all diese Informationen über dich die du selbst gepostet hast!

00:09:12: Es ist gruselig und die Realität ist dass jeder in weniger als fünf Minuten eine vollständige Hintergrundsuche über die meisten Leute in den USA machen kann... ...und Leute wissen nicht das diese Informationen da draußen sind.

00:09:26: Sie haben keine Ahnung, dass sie verkauft werden.

00:09:29: Sie googeln sich einfach nicht

00:09:30: selbst.".

00:09:32: Ich finde ja wir sollten uns viel mehr um unsere Privatsphäre kümmern denn je weniger wir das tun desto weniger werden sich auch Unternehmen darum scheren.

00:09:40: wie auch immer Rachel war also mit diesem Unternehmen beschäftigt und konnte dann relativ schnell erraten wer möglicherweise über bevorstehende Fusionen und Übernahmen Bescheid wusste.

00:09:53: Diese Person nahm sie dann gezielt ins Visier.

00:09:56: Sie führte umfassende Hintergrundrecherchen durch, sammelte ihre Daten und nahm dann einfach Kontakt auf.

00:10:04: Sie gab sich als Journalistin aus, schickte ihnen E-Mails, um so herauszufinden ob sie diese Art Information leicht von den Leuten bekommen könnte.

00:10:15: Genau oder wir können sie über Social Media direkt Nachricht kontaktieren Eine Nachricht auf LinkedIn oder Twitter oder Instagram, das ist die Sache.

00:10:24: Journalisten kontaktiert mit all diesen Methoden also es manchmal schwer zu wissen was echt und was gefälscht ist

00:10:33: Aber das hat nicht geklappt.

00:10:35: egal wen sie kontaktierte oder wie überzeugend ihre Hintergrundgeschichte auch war Die Leute gab ihr nicht frei Informationen über bevorstehende Fusionen und Übernahmen.

00:10:46: Diese Methode funktionierte also nicht.

00:10:51: Sie

00:10:51: ließen mich einige kleine Details wissen, aber sie bestätigten keine interessanten Details.

00:10:57: Ich versuche Leute ans Telefon zu bekommen um mit mir zu reden Aber ich denke es gibt einfach inherentes Misstrauen gegenüber diesem speziellen Pretext.

00:11:06: Also denke ich okay!

00:11:08: Ich muss wirklich die ganz großen Geschütze auffahren.

00:11:11: Ich will über den Einstellungsprozess angreifen.

00:11:15: Ein

00:11:17: Angriff über den einstellungs- prozess, ein sehr interessanter Gedanke!

00:11:22: Ich glaube nicht dass vielen die Idee kommt das Bewerber oder Bewerbarem eventuell böswillige Absichten verfolgen könnten.

00:11:30: dabei lassen sich allein durch die Lektüre einer Stellenanzeige so viele Informationen gewinnen.

00:11:35: Wenn ein Unternehmen beispielsweise die Aufgaben des Stellenprofils aufführt, verriet es damit möglicherweise welche Projekte als nächstes anstehen oder gibt Aufschluss darüber welche Technologien im Unternehmen zum Einsatz kommen.

00:11:50: Und diese Informationen können bei Social Engineering Angriffen gegen das Unternehmen sehr nützlich sein.

00:11:57: Ich glaube wenn man genug Stellenanzeigen liest könnte man wahrscheinlich einen Lageplan des Rechenzentrums eines Unternehmens erstellen.

00:12:05: Sich jedenfalls über den Einstellungsprozess in das Unternehmen zu hacken, ist tatsächlich ein sehr guter Angriffsvektor.

00:12:13: Wie gesagt ich glaube nicht dass viele Unternehmen damit rechnen würden.

00:12:17: Rachel jedenfalls wollte sich als Bewerberin ausgeben um einen Vorstellungsgespräch zu erhalten um in dem dann eventuell Insiderinformationen über bevorstehende Fusionen und Übernahmen zu erhalten.

00:12:36: Also

00:12:36: als Angreiferin ist das nicht einfach.

00:12:39: Ich war nie eine PM, sich also auf eine Managerrolle zu bewerben.

00:12:42: Er fordert viel Hintergrundrecherche!

00:12:45: Ich habe ein UX Research Team bei einem Tech-Unternehmen geleitet... ...also hab ich einen Gefühl dafür was ein Produktmanager macht.

00:12:52: Aber ich bin in keiner Weise auf ein Vorstellungsgespräch vorbereitet.

00:12:57: Also muss ich drei volle Wochen für diese Rolle lernen.

00:13:02: und mache Interview, Vorbereitungstest online.

00:13:05: Ich mache kostenlose Onlinekurse wie Du willst ein PM sein?

00:13:09: Das ganze Programm!

00:13:11: Ich baue eine volle Person auf – einen Lebenslauf, ein Twitter, LinkedIn, Facebook.

00:13:17: All diese Konten haben Fotos.

00:13:19: Tausende von Freunden.

00:13:21: Bewertung meiner Arbeit von Netzwerkgruppen auf LinkedIn Leute die ich nie getroffen habe.

00:13:25: Du gibst ihnen eine Bewertungen und sie geben dir eine Bewerbung.

00:13:30: All dieses Zeug ist so manipulierbar.

00:13:38: Das sind dann wahrscheinlich so Sachen, die ihr bei Social Proof macht oder?

00:13:42: Da sitzt dann jemand, den man dann sagt mach bitte den ganzen Tag Sockkonten jeden Tag neue weil ich sie so schnell verheizen werde.

00:13:52: Leider ja wir ändern die Namen vieler Sockkonnen aber dann musst du sie mit vielen neuen Informationen füllen.

00:13:59: Es dauert letztlich ungefähr drei Wochen, um ein glaubwürdiges Social Media-Konto und genug Beispiele vor herriger Produktmanagerarbeit aufzubauen.

00:14:08: Um während des Bewerbungsgesprächs irgendwo in der Nähe von überzeugend zu

00:14:12: landen.".

00:14:16: Hat man dir dann dabei geholfen dass dein Lebenslauf ganz oben auf dem Stapel landet?

00:14:23: Nein, ich musste mich einfach bewerben.

00:14:24: Das

00:14:25: ist ja nicht einfach!

00:14:26: Es gibt ja immerhin viele Leute die überhaupt gar keine Rückmeldung erhalten.

00:14:33: Na

00:14:33: ja, während der Zeit war ihr... also der Tech-Einstellungsprozess war nicht so schlimm wie jetzt im aktuellen Jahr.

00:14:40: Also bewerbe ich mich für die Rolle.

00:14:42: Ich bekomme einen Anruf Denn wenn ich durch dieses Telefon-Screening nicht durchkomme, werde ich nicht zu einem Vorstellungsgespräch eingeladen.

00:14:53: Das

00:14:53: bedeutet eine Menge Arbeit um meine SOC-Kontnen in sozialen Medien wieder zu ändern damit sie zu einer neuen Person passen.

00:15:01: Das würde viel mehr Arbeit für mich sein.

00:15:03: Zum Glück dauert es ungefähr forty fünf Minuten.

00:15:06: Ich habe bestanden und komme zur nächsten Runde weiter.

00:15:08: Die nächste Runde hat sechs verschiedene Interviewer Also ist... Nein virtuell zum Glück.

00:15:18: Hast du schon in der ersten Runde versucht an irgendwelche relevanten Infos zu kommen?

00:15:23: Nein, nicht während des Telefonscreenings.

00:15:25: Ich wollte ...

00:15:27: Weil Du auf den richtigen Zeitpunkt warten

00:15:29: wolltest!

00:15:30: Ja

00:15:31: ich hatte Angst dass sie sagen würden diese Person ist ein Weirdo.

00:15:36: lassen wird ihn nicht weiterkommen.

00:15:38: Also warte ich bis zu den tatsächlichen offiziellen Interviewern und dem vollgepackten Tag voller Interviews.

00:15:44: Ich habe sechs Interviews hintereinander den ganzen Tag, diese Interview werden über Zoom durchgeführt.

00:15:50: Und

00:15:51: ich ziehe mir also meine Bewerbungsklamotten an die ich seit Jahren nicht getragen hab.

00:15:56: Ich bin vorbereitet mit all meinen Anekdoten mein Stärken und Schwächen, meinen KPIs und Erfolgsgeschichten Und viele dieser Beispiele, die ich nutze sind stark auf UX Forschung fokussiert.

00:16:09: Denn du erinnerst dich?

00:16:10: Das ist etwas das ich früher gemacht habe und viele PMs haben fortgestrittene UX-Forschungsfähigkeiten also hoffe ich einfach dass sie das nicht komisch finden.

00:16:20: Also komme ich zum ersten Interviewer und der fragt mich all diese Fragen.

00:16:24: Ichscheine ein bisschen nervös aber sie meinen machen Sie sich keine Sorgen Es wird gut gehen.

00:16:29: Wir gehen durch alle PM bezogenen Fragen.

00:16:31: Diese Person ist ein PM.

00:16:36: Und

00:16:36: du bist aus den falschen Gründen nervös, das ist irgendwie witzig.

00:16:42: Ich weiß aber ich muss bestehen!

00:16:45: Also gehe ich durch diesen Prozess.

00:16:48: Sie sind es ja gewohnt dass die Leute nervös sind.

00:16:50: Ich sehe sie sagen oh das ist in Ordnung Du machst das toll mach dir keine Sorgen und du denkst oh danke weil ich versuche euch zu hacken.

00:17:02: Nein, weißt du das Lustige ist?

00:17:04: Wenn Du Leute hackst.

00:17:05: Ist es sinnvoll dass Dein Pretext zu dem passt wie Du Dich tatsächlich fühlen wirst wenn Du hackst?

00:17:12: Ja

00:17:13: Oft bist Du nervös wenn Du den Support anrufst weil Du keinen Zugang zu deinem Bankkonto bekommen kannst.

00:17:19: Du bist nervös während eines Interviews.

00:17:21: Das sind normale menschliche Emotionen und deshalb ist es okay nicht zu selbstbewusst zu sein.

00:17:26: Manchmal kann das sogar als seltsam gelesen werden.

00:17:29: Also ja, ich schwitze!

00:17:31: Es ist klar dass ich nervös bin.

00:17:33: Wir kommen endlich zum Ende und der Interviewer sagt also haben sie irgendwelche Fragen über die Rolle?

00:17:40: Ich habe noch nie so geschwitzt in meinem Leben.

00:17:42: Das war's.

00:17:43: Wenn Sie während dieses Moments misstrauisch werden ist all meine Arbeit umsonst.

00:17:49: Also sage ich, ach dieses Unternehmen reizt mich so, ich hab gehört es gibt hier viele Wachstumsmöglichkeiten.

00:17:55: Ich habe eine Menge Recherche gemacht, ich habe ein paar neue Geschichten gefunden die XYZ potenzielle Fusion erwähnten.

00:18:03: Ich weiß sie können nichts bestätigen aber ich will nur verstehen wie ein Integrationsprozess bei ihrem Unternehmen während einer Fusion aussieht?

00:18:11: Ich weiß Sie können nichts Bestätigen Aber ich will Nur Verstehen Wie sich meine Rolle im Laufe der Zeit potentiell ändern könnte.

00:18:18: Der Interviewer nimmt sich einen Moment und sagt Sie haben recht!

00:18:21: Ich kann nichts bestetigen Und ich merke meine Enttäuschung.

00:18:24: Ich denke Mist, diese Person kennt sich aus.

00:18:28: Dann sagt sie aber nur weil ich nichts bestätigen kann heißt das nicht dass ich nicht in Allgemeinheiten sprechen

00:18:34: kann oder?

00:18:36: Und zwingt er, zwingert tatsächlich.

00:18:38: Ich denke oh!

00:18:39: Das wird gut.

00:18:40: also gibt es viel Gefruchtel und Sie wissen ich kann das nicht bestätigend Aber während des Rest dieses Bewerbungsgesprächs.

00:18:49: Aber es scheint, dass jeder in diesem Unternehmen weiß, dass du keine klar formulierten Informationen über die Fusion aussprechen darfst.

00:18:55: Aber das heißt nicht, dass ich mich ziemlich ernsthafte Details über die bevorstehende Übernahmepläne herausziehen kann, die eindeutig intern diskutiert wurden.

00:19:05: Und am Ende dieses Tages habe ich Fusionsinfos von drei der sechs Interviewer bekommen – also fünfzig Prozent!

00:19:15: Was für Infos sind das?

00:19:20: Ja, also sie wollten mir zwar nicht direkt die Namen der Unternehmen nennen, die möglicherweise übernommen werden sollten.

00:19:26: Aber ich meinte dann sowas wie ... Ich hab ein Gericht gehört über die Firma XYZ.

00:19:32: Wäre das eine Art von Unternehmen, was ihr interessieren könnte?

00:19:36: Dann begann die ganze Zwinke-Zwinker-Arie und sie lavierten rum und meinten dann,

00:19:42: dass

00:19:42: können wir zwar nicht direkt bestätigen Aber grundsätzlich ist es schon so, dass wir eventuell daran interessiert werden unternehmen wie XYZ zu integrieren.

00:19:53: Also konnte ich Informationen so rausziehen das als ich sie dem Team zurückgemeldet habe die meinten du hast dir richtigen Informationen bekommen.

00:20:02: Keiner hat etwas gerade herausgesagt aber du kannst Leute dazu bringen Sachen irgendwie um den heißen Brei herumzusagen.

00:20:09: Also am Ende habe ich die Fusions-Infos von fünfzig Prozent der Interviewer bekommen.

00:20:14: Drei von sechs.

00:20:15: Ich bespreche die Ergebnisse also mit dem Sicherheitsteam, ich frage sie wann sich die Ergebnisse mit der Organisation besprechen wollen und Sie sagen lass uns einfach warten und erstmal den Einstellungsprozess beenden damit es sie nicht ablenkt.

00:20:27: in der Zwischenzeit bekomme ich am nächsten Tag tatsächlich eine E-Mail die benutzt habe um mich für diese Rolle zu bewerben dass ich zur nächsten Stufe des Bewerbungsprozesses ausgewählt wurde um ein Angebot zu bekommen.

00:20:39: Also habe ich nicht nur die Infos rausgesaugt, die ich während des Pen-Tests brauchte.

00:20:43: Ich hab auch noch den Job bekommen schätzlich.

00:20:51: Alles klar Glückwunsch!

00:20:53: Ich hoffe das kommt in dein Lebenslauf.

00:20:56: Ich weiß

00:20:56: ihr sollte Projektmanager mit drauf schreiben.

00:20:59: Sie trifft sich dann also mit dem Sicherheitsteam und erklärt wie sie von all denen bevorstehende Fusionen und Übernahmen erfahren hat.

00:21:06: Sie hatte dann ein Gespräch darüber, ob das nur ein Obscura-Sonderfall oder Obstengrösseres Problem war.

00:21:36: um zum Beispiel zu merken, oh die sind an KI interessiert.

00:21:40: Diese Person spricht darüber wie sich ihre Rolle ändern wird.

00:21:43: Sie sprechen darüber wieso sie diese spezifische Technologie lieben und sie tägen bestimmte Unternehmen auf Instagram oder Twitter.

00:21:51: das Unternehmen erkannte dass es viel spezificer in ihren Protokollen und ihrer Sprache sein musste.

00:21:57: uns sagen Wenn wir eine Übernahme planen, sobald wir intern darüber sprechen, sprich bitte überhaupt nicht darüber.

00:22:05: Auch kein Gezwinker mit Freunden oder Familie oder in den sozialen Medien.

00:22:10: Sprich nicht auf LinkedIn darüber wie sich deine Rolle ändern wird.

00:22:13: Spriche auf Instagram nicht darüber worauf du dich freust.

00:22:16: Sie mussten klar sprechen und sobal sie das taten, hörten diese Informationslecks auf.

00:22:22: Es war von Anfang an... Keine Insiderbedrohung.

00:22:25: Es waren einfach Leute, die nicht zu hundert Prozent verstanden haben, woran ein Angreifer interessiert ist und wie sie diese Infos finden

00:22:32: können.".

00:22:36: Oh also hat es das Problem gelöst?

00:22:40: Hatte

00:22:41: es ja.

00:22:41: Es bedeutet nicht unbedingt, dass es durch den Bewerbungsprozess kam.

00:22:46: Ist es wahrscheinlich einfach, das Leute im Unternehmen nicht verstanden hatten?

00:22:50: Dass wenn man überall Gemeinheiten spricht, dass auch von Angreifern genutzt werden kann...

00:22:56: Ja,

00:22:59: und dann hattest du wahrscheinlich auch Aufnahmen die dann ganz konkret gezeigt haben.

00:23:03: Wenn ihr darüber so sprecht, kann ich das hier

00:23:05: raushören.".

00:23:09: Genau!

00:23:10: Und sie meinten, oh, ich verstehe... Ich kann also nicht sagen dass wir über diese Technologie sprechen und wie sie meine Rolle als Produktmanager ändern wird weil da es die Leute darauf bringen kann, dass wir Unternehmen X Y in den nächsten sechs Monaten übernehmen werden.

00:23:23: Daher kommen diese Lex.

00:23:32: Aufgefallen bist du mir, weil du ja manchmal diese irren viral gehenden Hacks machst.

00:23:37: Woher kommt Doni eigentlich?

00:23:45: Von

00:23:45: CNN.

00:23:46: Ich hab gesehen, wie du den CNN-Korrespondenten hackst... ...wie du Wahlmaschinen hackst und alle mögliche verrückten Sachen machst, bei denen du dann plötzlich eine Million Views erhältst.

00:23:58: Da ist sie wieder, denke ich mir da an Rachel, ist da draußen und macht ihr Ding.

00:24:02: Interessant war auch, als du bei Sixty Minutes zu Gast warst!

00:24:11: Ja, letztes Jahr oder so habe ich angefangen mehr auf Twitter darüber zu sprechen wie mir aufgefallen ist dass KI von Kriminellen genutzt wird um Leute zu täuschen.

00:24:20: Also rede ich da drüber wir trüger täuschend Großeltern um tausend fünfhundert Dollar indem sie sich als ihr Enkel ausgeben Stimme nachahmen oder klonen Oder einfach die Tonhöhe modulieren Um wieder enkel zu klingen und sagen Sie brauchen Geld für eine Kaution.

00:24:36: Ich rede einfach über diese Beispiele Und die Sendung Sixty Minutes kriegt das mit.

00:24:41: Sie schicken meine E-Mail und sagen, hey wir wollen dass du einen Hack live machst.

00:24:45: Das muss aber tatsächlich jemand enttäuschen.

00:24:48: Kannst Du das mit uns machen?

00:24:50: Ich so ja, das kann ich machen Aber das ist kompliziert!

00:24:53: Ich habe im Laufe der Jahre viele dieser Live Hacks für große Sendungen gemacht.

00:24:57: Ich brauche eine Einwilligung bevor ich irgendeine Art von Hacken mache.

00:25:01: Als ich sie in Ends Donnie aus Sullivan gehackt hab habe ich ihn durch seine Dienstanbieter und auch durch seinen geliebten Passwörter gehackt.

00:25:09: Ich hatte seine Zustimmung mit einem langwierigen Vertragsprozess und einer Diskussion über den Umfang, bevor ich seine Dienst-Anbietern kontaktieren konnte.

00:25:27: Also fange ich an, Ihnen zu erklären in welchem Umfang ich Ihre Zustimmung brauchen werde und Sie meinen wir werden es einfach versuchen und sehen was passiert.

00:25:36: Also fang' ich an mit Ihnen darüber zu sprechen wer mein Ziel sein wird.

00:25:39: Sie wollen dass mein Ziel Sharon Alfonzi ist.

00:25:42: Sie is eine großartige Korrespondentin für Sixty Minutes.

00:25:53: Rachel

00:25:53: Tobak ist das, was man eine ethische Heckerin

00:25:56: nennt.

00:25:57: Sie erforscht

00:25:58: wie die Kriminellen operieren.

00:26:02: Es ging darum, KI zu nutzen um die Moderatoren von Sixty Minutes während der Show irgendwie zu täuschen und reinzulegen.

00:26:10: Aber das Problem ist dass die Moderatorin ja vorher zustimmen muss angegriffen zu werden.

00:26:15: wenn sie also weiß dass sie während ihrer show betrogen wird ist sie bestimmt ziemlich auf der Hut.

00:26:21: es wird also schwierig.

00:26:23: wie täuscht man jemanden der ein bittet ihn zu täuschern?

00:26:26: Sie hat eine

00:26:28: Menge Informationen über sich online also mache ich meine Recherche.

00:26:31: Da die Moderatorin von Sixty Minutes seit Jahren im Fernsehen war, hat Rachel natürlich jede Menge Audiumaterial von Sharon gefunden.

00:26:40: Vielleicht lässt sich die Stimme nutzen?

00:26:47: Ich habe durch die Open Source Intelligence-Recherche festgelegt das der beste Weg diesen Hack zu machen Ihre Kolleginnen zu täuschen, während ich Vorgabe Sharon zu sein.

00:26:58: Denn manchmal wissen unsere Kollegen fast genauso viel über uns wie wir selbst.

00:27:03: Also musste ich die Zustimmung von der Kollegin bekommen.

00:27:07: und hier kommt die riesige Herausforderung.

00:27:09: Ich musste die Zustimmungen ihrer Kolleginnen bekommen weil sie ein großer Teil des Hecks war.

00:27:14: Diese Kollegin heißt Elizabeth.

00:27:16: Ich habe sie kontaktiert Und ich meinte hey!

00:27:19: Wir werden diesen Heck machen.

00:27:20: Du musst zustimmen im Grunde Teil des Hacks zu sein Aber du weißt nicht wann, wo oder wie er passieren wird.

00:27:27: Du weisst nicht, wer ich vorgehen werde zu sein?

00:27:29: Du wirst die Methode des Angriffs nicht wissen ob es ein Telefonanrufe-Email Text sein wird deine Dienstanbieter kontaktieren oder vorgeben du zu sein.

00:27:40: Elizabeth ist großartig.

00:27:41: sie meint das ist in Ordnung?

00:27:42: das ist völlig in Ordnung.

00:27:44: Ich bin wirklich aufgeregt.

00:27:45: ich so okay lass uns das machen.

00:27:49: Also habe ich mich entschieden, dass sich Sharon's Stimme Klonen und Sharons Telefonnummer zu Elizabeth spufen wollte um sie während eines Telefonanrufs zu täuschen.

00:27:59: Und mir irgendeine persönliche Information zu beschaffen.

00:28:01: Jetzt ist Sharon eine berühmte Reporterin also es ihre Stimme eh überall.

00:28:06: Ich hab ungefähr fünf Minuten Material von ihrer Stimme einfach Von YouTube Videos Von Sixty Minutes genommen.

00:28:13: Ich hab Ihre Stimme in meinen Stimmklontool gesteckt.

00:28:16: Ich fange an das Tool zu optimieren.

00:28:18: Es gibt nämlich Stimmkloneinstellungen für Sachen wie Klarheit, Stimmstabilität, Stilübertreibung.

00:28:25: Und ich bekomme die Einstellung endlich so optimiert, dass sich das Gefühl hat, das wird während des Telefonanrufs überhaupt glaubwürdig!

00:28:32: Aber es ist nicht zu hundertprozentperfekt.

00:28:35: Ich mache meine Open Source Intelligence um die richtigen Telefonnummern zu spufen und die richtige Telefon-Nummern zum Anrufen zu finden.

00:28:43: Wie gesagt haben Datenbrokerseiten persönliche Kontaktdaten für fast jeden.

00:28:47: Ich muss also die richtigen Details finden und sie während des Hecks nutzen, wie anstehende Reisen eben die richtige Informationen, die ich für die Demo rauszuziehen versuche.

00:28:58: Du kannst das meiste davon durch soziale Medien finden wenn Leute über ihr Leben reden.

00:29:04: Das einzige Problem...

00:29:10: ...ich muss

00:29:11: irgendwie Elizabeth dazu bringen bei diesem Heck mitzumachen ohne dass sie erkennt, dass es der Heck selbst ist.

00:29:18: Wie kann ich das machen?

00:29:19: Sie hat ihn bereits zugestimmt und sie weiß, dass was kommt.

00:29:22: Also überleg' ich der einzige Weg wie es funktionieren kann ist wenn sich natürlich innerhalb des Filmtags anfühlt.

00:29:30: Wie soll sonst das Filmteam den Hack Life einfangen können damit jeder im Publikum das sehen kann.

00:29:37: Die Kameras sind also auf dich gerichtet.

00:29:40: du bist im Studio und Sharon auch

00:29:47: Noch

00:29:47: nicht.

00:29:48: Erst die Details, also ich lass mir Haare und Make-up für Sixty Minutes machen, mache meine Stimmenübungen, ich so lalalala... Ich mach mich bereit für die Aufnahme.

00:29:59: Sharon ist immer noch in ihrem Raum und bereitet sich auf den Tag vor.

00:30:03: Die Licht- und Toncrew bereitet die Ausrüstung für den Dreh vor.

00:30:06: Elisabeth taucht auf.

00:30:07: Sie macht sich bereit, ich hole mir den Leiter von der Ton- und Lichtcrew beiseite und sage ihm dass ich glaube der einzige Weg wie sie diesen Hack live auf Kamera einfangen können ist dieser Ich gehe mit meinem Computer und Telefon auf den Flur Die Kamerakrew kann mich aber nicht folgen weil das für Elisabeth viel zu offensichtlich sein würde.

00:30:29: Eigentlich spielt es auch keine Rolle Weil am anderen Ende des Telefons Anrufs bin und die Interaktion sowieso von der anderen Seite aus eingefangen werden soll.

00:30:37: Also müsst ihr, die Crew, Elizabeth Bitten für Sharon einzuspringen damit ihr Licht-, Ton- alles vorbereiten könnt so dass wenn Sharon endlich kommt sie direkt in die Aufnahme gleiten kann und wir anfangen können.

00:30:49: So könnt ihr, wenn ich den Heck starte, Elizabeth sehen und hören und den Angriff direkt einfangen.

00:30:57: Ja.

00:31:03: Die Crew meinte, worauf haben wir uns da eingelassen?

00:31:06: Das ist doch lächerlich!

00:31:07: Mir ist vor diesem Plan so übel... Ich bin so gestresst, denn wenn das nicht funktioniert und Elizabeth denkt klar ich spring für Sharon ein und sofort erkennt was gerade passiert dann ist dieser ganze Dreh.

00:31:18: alle fünfzehn Mitglieder des Sixty Minute Teams die Licht, Crew Ton Haare und Make-Up alles ist umsonst hier und ich kann im Grunde nur demonstrieren was ich gemacht hätte.

00:31:28: Es wird für niemanden unterhaltsam.

00:31:31: Jetzt wohl gemerkt, es ist ungefähr sieben Uhr morgens.

00:31:34: Der Tag bricht... gefühlt erst für alle an!

00:31:37: Leute haben noch nicht mal eine Tasse Kaffee gehabt und meine Leute sagen okay Rachel klar wir machen das.

00:31:43: Ich rufe in den Raum dass ich meinem Team zu Hause bei irgendwas helfen muss.

00:31:46: Also bevor wir für den Tag anfangen holt euch euren Kaffees richtet euch ein Und Sie sagen kein Problem, ich gehe auf dem Flur raus.

00:31:54: Ich hab mein Laptop und mein Telefon.

00:31:56: Ich kann nichts von dem hören was jetzt auf dem Parkett passiert wo wir filmen.

00:32:00: Ich muss einfach hoffen, dass die Ton- und Lichtcrew Elisabeth erfolgreich in die sogenannte Stand-Inposition gebracht hat mit dem Ton und Licht eingeschaltet.

00:32:09: Sonst muss ich das später für sie fähigen – es MUST echt sein!

00:32:12: Also bete ich einfach, dass das funktioniert.

00:32:15: Ich öffne also mein Stimmklontool auf dem Flur.

00:32:18: Ich

00:32:18: tippe meine Eröffnungszeile in das Tool ein um das zu erklären, ich habe Sharon's Stimme geklont.

00:32:24: Ich kann dann beliebige Worte eintippen.

00:32:30: Also tippe ich meine Eröffnungszeile ein.

00:32:33: Elizabeth, sorry!

00:32:34: Ich brauche meine Passnummer wegen der Ukraine-Reise.

00:32:38: Kannst du mir die vorlesen?

00:32:40: Es muss kurz und bündig sein direkt auf den Punkt ohne viel Nachfrage Denn das Problem mit diesen Tools ist dass es eine kleine Verzögerung gibt zwischen dem Eintippen Und wenn das Stimmklontool Die Worte in Charons Stimme ausspuckt Gehe.

00:32:54: ich halte mein Telefon an den Computer.

00:32:56: Also gibt es irgendwie eine seltsame Audio-Stimmung bei diesem Anruf.

00:33:01: Ich will die Probleme minimieren und es so schnell wie möglich passieren lassen, also eröffne ich mein Spoofing-Tool auf meinem Telefon.

00:33:08: Ich tippe Sharon's Nummer zum Spoofen ein und Elizabeths Telefonnummer zum Anrufen.

00:33:13: Und los!

00:33:14: Es ist absolut still – ich höre Elizabeths telefon.

00:33:18: Das klingelt hörbar im Studio und ich hoffe einfach dass sie rüber geht und rangeht.

00:33:23: Mein Magen ist ein einziger Knoten.

00:33:25: Ich schwitze wie verrückt und dann höre ich sie sagen, hallo?

00:33:37: Ich hör es durch mein Telefon und kann das auch aus dem Studio hören.

00:33:41: Oh mein Gott!

00:33:42: Sie kann mich bestimmt von hier draußen hören.

00:33:52: It starts playing.

00:33:53: Sharon's voice, asking for the passport number.

00:33:55: Elizabeth

00:33:56: sorry

00:33:56: need my passport number because Ukraine trip

00:33:58: is on.

00:33:58: can you read that out to me?

00:34:00: Sorry ich brauche meine Passnummer weil die Ukrainerise läuft.

00:34:03: kannst du mir die vorlesen?

00:34:07: und

00:34:07: dann silence?

00:34:09: Oh, ja.

00:34:18: Ja, ich habe das.

00:34:26: Okay, bereit?

00:34:44: Dann liest sie die Passnummer vor, nach der ich gerade gefragt habe.

00:34:47: Ich denke, lass uns einfach so schnell wie möglich diesen Anruf hinter uns bringen!

00:34:51: Also sag' ich danke?

00:34:53: Sie fängt an mir Fragen zu stellen.

00:34:54: Wann kommst du für den Dreh runter?

00:34:57: Brauch ich noch was?

00:34:58: Ich muss mit dieser Verzögerung hin und her umgehen während ich meine Antworten eintippe.

00:35:03: Ich bin einfach begeistert dass ich zu diesem Zeitpunkt Informationen rausgekriegt hab aber... ...ich wollte einfach so schnell wie möglich von diesem Anrufe wegkommen.

00:35:12: Also habe ich gesagt, euch kommen gerade runter.

00:35:13: Ich leg dann auf!

00:35:15: Ich gehe ins Studio, Elizabeth sitzt unter den Lichtern mit dem Mikro angesteckt und ich denke oh mein Gott es hat funktioniert.

00:35:22: Alles was ich jetzt tun muss ist das Interview mit Sharon zu machen und ihr Live die Mechanik hinter dem Heck zu erklären und sicherzustellen dass Elisabeth weiß,

00:35:31: dass

00:35:31: jeder auf diese Art von Heck reinfallen würde weil die meisten Leute noch nicht wissen, dass das möglich ist.

00:35:43: Ja, sie hat das Interview gegeben und erklärt was gerade passiert ist wie sie Elisabeth dazu gebracht hat, Sharon's Passnummer-Preise zu geben.

00:35:51: Aber nachdem ich mir diese Geschichte angehört hatte wurde ich richtig neugierig auf dieses Tool zum Klonen von Stimmen und wollte es selbst ausprobieren.

00:36:01: Um also die Stimme einer Person zu klonen gibt man dem Tool eine Reihe von Audioaufnahmen auf denen diese Person spricht und mithilfe fortschrittlicher KI lernt es diese Stimme kennen.

00:36:11: Was auch immer man dann eintippt, wird mit dieser Stimme wiedergegeben.

00:36:15: Ich habe ein paar Stunden damit verbrachten, mit diesem Tool herumzuspielen und meine eigene Stimme geklont – ich finde es wirklich interessant!

00:36:23: Okay, ich möchte es euch zeigen.

00:36:24: Ich werde euch zwei Ausschnitte vorspielen.

00:36:26: Hört euch diese an und versucht herauszufinden welcher davon von der KI generiert wurde.

00:36:32: Seid ihr bereit?

00:36:33: Hier ist Ausschnitt eins.

00:36:55: Seid ihr bereit, dass ich es euch verrate?

00:36:58: Beide Clips wurden von der KI generiert.

00:37:00: Tatsächlich ist auch das was ihr gerade hört.

00:37:04: Ich habe vor ein paar Minuten umgeschaltet, damit die KI für mich spricht.

00:37:33: Neulich habe ich einen Artikel auf der CNN Website gesehen.

00:37:36: Es ging da um ein Typ, der für den Unternehmen in Hongkong arbeitete und die Finanzen für dieses Unternehmen kontrollierte.

00:37:44: Er wurde zu einem Video-Anruf mit dem CEO und ein paar anderen Kollegen eingeladen – die er auch erkannte.

00:37:51: Er sah sie auf dem Bildschirm.

00:37:53: Er hörte ihre Stimmen und er war sich sicher.

00:37:56: es war der CEO und seine Kollegen.

00:37:58: Sie sagten ihm «da ist dieser neue Deal, der gerade abgeschlossen und sie wollten, dass er ca.

00:38:05: US-Dollar an ein anderes Unternehmen schickt – also tat er es!

00:38:10: Das Problem war, das Video und die Stimmen waren alle KI-Klone.

00:38:15: Betrüger haben ihn dazu gebracht zu denken, er wäre in einem Videoanruf mit dem CEO.

00:38:22: Unsere Zukunft wird mit ziemlicher Sicherheit nicht das sein was wir denken, dass sie sein wird.

00:38:28: Ich habe das Gefühl, wir werden echte Schwierigkeiten bekommen zu wissen was Realität und was Fiktion ist.

00:38:37: Ja, das ist ein guter Punkt!

00:38:39: Hi Jack, darf ich kurz reinspringen?

00:38:42: Wer spricht?

00:38:44: Hier

00:38:45: ist Daniel Miesler.

00:38:49: Was hast du dazu zu

00:38:50: sagen?!

00:38:53: Ja, also was ich in dieser ganzen Geschichte spannend finde ist dass es in der Sicherheitsbranche schon sehr früh Konzepte gab.

00:38:59: Bei denen ist darum ging woher weiß ich das du's bist?

00:39:02: Normalerweise müssen wir uns darüber bei Videos ja eher keine Gedanken machen weil Sehen ist ja irgendwie immer noch Glauben und dasselbe gilt beim Hören von Audioaufnahmen.

00:39:10: aber jetzt mit Aufkommen von Deepfakes brauchen wir sowohl für Video als auch für Audio eine ganz neue Ebene.

00:39:16: Was ich hier also tatsächlich erwarte, sind Produkte die im Grunde darauf abzielen wie man frühzeitig Vertrauen aufbauen kann.

00:39:24: Sobald man beispielsweise ein Unternehmen eintritt richtet man dann Schlüssel zum Signieren von Nachrichten auf Slack oder Microsoft Teams und so weiter ein Und das ist dann der vorab festgelegte Kanal.

00:39:38: Ja, ich glaube das ist eine gute Idee.

00:39:40: Wenn man etwas kryptografisch signieren kann, beweist das doch dass die Nachricht oder das Video von einem selbst stammt?

00:39:47: Ich könnte mir vorstellen, dass dadurch weniger Menschen auf Fälschungen hereinfallen würden.

00:39:52: Wenn es nicht tatsächlich von der Person signiert ist, die es verschickt hat sollte man dem Inhalt nicht trauen.

00:39:58: Allerdings wäre es anfangs sicher interessant an den eigenen Schlüssel überhaupt zu kommen.

00:40:02: Man muss doch am Anfang erst einmal beweisen wer man isst!

00:40:07: Eine Möglichkeit dafür ist, die Identität im Meats-Base also in der realen Welt zu überprüfen.

00:40:13: Wenn man sich persönlich gegenübersteht, ist das immer noch eine gültige Methode um zu bestätigen dass man tatsächlich man selbst ist.

00:40:21: da aber jeder seine eigenen kryptografischen Schlüssel hat um zu beweisen dass jemand echt ist verlagert sich die Gefahr dann auf die Sicherung des Schlüssel.

00:40:32: Wenn jemand anderes den Schlüssel an sich nehmen würde, könnte er es so aussehen lassen als hättest du etwas gesendet obwohl du das in Wirklichkeit gar nicht getan hast.

00:40:42: Er hat es einfach mit deinen Schlüssel signiert!

00:40:46: Ja, absolut.

00:40:47: Wir werden sowas wahrscheinlich für alle Remote-Anrufe brauchen, denn im Grunde ist es ja so dass KI's beide unserer Stimmen kopieren können.

00:40:55: Die sind ja da draußen im Netz und damit relativ einfach zu klonen.

00:40:59: Und sehr bald werde ich also mitunter nicht mehr wissen ob das jetzt grad du bist bei diesem Anruf oder eben nicht!

00:41:06: Ich

00:41:06: stelle mir gerade vor, ein ganzes Capture-Netzwerk für jeden zu machen die ich kenne.

00:41:11: Also mein Vater zum Beispiel ruft mich dann am Telefon an und dieses Netzwerk sagt dann bevor du dich mit dieser Partei verbinden kannst bitte löse dieses Capture.

00:41:23: Genau

00:41:23: genau es muss irgendeine Art von Herausforderung geben die eine Maschine nicht bewältigen kann oder eben einen vorher festgelegten Schlüssel austauscht.

00:41:30: ja

00:41:32: Oh mein Gott, ich bin persönlich sehr gespannt auf unsere Zukunft.

00:41:36: Wir sind klüger denn je und fortschrittlicher denn je!

00:41:39: Und es fühlt sich an als würde die Menschheit gerade eine Art kambrische Explosion durchlaufen bei der fast täglich neue Technologien- und Fortschritte aus dem Boden sprießen.

00:41:50: Wir leben im Zeitalter des exponentiellen Wachstums – Die Zeit wird von nun an schneller vergehen und wir dürfen dabei zusehen.

00:41:59: Wir haben Eintrittskarten, um die Geburt vom Mensch zu erleben.

00:42:05: Wie besonders ist das denn?

00:42:07: bitte schön?

00:42:08: Was auch immer als nächstes kommt es wird mit Sicherheit spannend sein!

00:42:22: Ein großes Dankeschön an Rachel Toback, dass sie ihre Geschichte erzählt hat.

00:42:27: Sie hat ein kostenloses E-Book über Social Engineering geschrieben und ihr findet einen Link dazu in den Shownotes.

00:42:34: Ihr könnt mehr darüber erfahren was sie macht indem ihr SocialProofSecurity.com besucht.

00:42:40: auch vielen dank an Dan Misler das er uns einige Einblicke in KI gegeben hat.

00:42:48: diese Episode wurde im englischen Original von Jack Reisider erstellt.

00:42:53: Den Text haben Judith Hohmann und Marco Pauli übersetzt und gesprochen.

00:42:57: Isabell Grünewald und Robin Ahrens waren auch mit dabei, und das größteils mit ihren echten Stimmen.

00:43:05: Produktion Marco Paulie Titelmusik Breakmaster Cylinder.

00:43:09: Dies sind die Darknet Diaries auf Deutsch von Heiser Online.