Whaling ist Spear Phishing, das sich gegen die Führungsebene oder gegen Personen mit Zahlungsfreigabe richtet. Der englische Name spielt auf den großen Fang an: Ein einzelner Treffer wiegt hier so schwer wie hundert gewöhnliche.
- Whaling
Spear Phishing, das sich gegen die Führungsebene oder Personen mit Zahlungsfreigabe richtet.
Beispiel: „Das Whaling kam als Mitteilung eines Gerichts und war an den Geschäftsführer adressiert.“Auch: Die Vorbereitung dauert Wochen. Verwendet werden Handelsregister, Pressemitteilungen, Vorträge und die Teamseite der eigenen Website.
Abgrenzung zum CEO-Fraud: Dort wird die Führungskraft nachgeahmt, hier wird sie angegriffen. Die beiden Maschen greifen oft ineinander.
Welche Köder beim Whaling benutzt werden
Solche, die Vertraulichkeit nahelegen. Eine Mitteilung eines Gerichts, eine Beschwerde einer Behörde, ein Vertragsentwurf aus einer laufenden Verhandlung, eine Anfrage zu einer Übernahme. Alle haben dasselbe Muster: Sie legen nahe, niemanden einzuweihen, und genau das hebelt die übliche Rückfrage aus.
Warum Führungskräfte besonders betroffen sind
Weil sie öffentlich sind und Rechte haben. Name, Funktion und Auftritte stehen im Netz, der Kalender ist voll, und die Freigabe für Zahlungen liegt oft direkt bei ihnen. Dazu kommt, dass Nachfragen nach oben unangenehm sind; eine Assistenz, die eine eilige Anweisung hinterfragt, braucht dafür eine Regel im Rücken.
Was gegen Whaling hilft
Regeln, die unabhängig von der Person gelten. Zahlungen und Änderungen von Bankverbindungen laufen über zwei Augenpaare und einen Rückruf auf die bekannte Nummer, ohne Ausnahme für die Chefetage. Dazu ein phishing-fester zweiter Faktor für die Konten der Führung, siehe Passkey, und ein Blick darauf, wie viel die eigene Website über Zuständigkeiten verrät.