APAC-Sicherheit: 2 Chancen für Unternehmen, 1 für Hacker

Ich habe gerade eine Sicherheitsevangelisationstour durch den asiatisch-pazifischen Raum (APAC) abgeschlossen und möchte einige der Herausforderungen und Chancen rund um die Sicherheit in diesem Teil der Welt weitergeben. Die Region APAC ist technologisch nicht so weit entwickelt wie Amerika (AMER), Australien/Neuseeland (ANZ) und Europa/Naher Osten/Afrika (EMEA). Der technologische Rückstand in diesem Bereich bietet drei interessante Chancen: zwei für Unternehmen und eine für Hacker.

Skalierung

Allein die schiere Zahl möglicher Verbraucher in der Region Asien-Pazifik eröffnet unglaubliche Wachstumschancen. Ein Beispiel hierfür sind die Philippinen mit einer Bevölkerung von 90 Millionen Menschen, von denen die meisten kein Smartphone besitzen, es aber in Zukunft wahrscheinlich tun werden. Die Telekommunikationsdienstleister auf den Philippinen bereiten sich auf den Übergang vor. Bei meinem letzten Besuch dort kaufte ein Anbieter vier Top-Gehäuse von F5, bestückt mit 18 der leistungsstärksten Blades, die F5 anbietet. Sie arbeiten an einem Netzwerk, das im nächsten Jahrzehnt voraussichtlich Dutzende Millionen Smartphones online bringen wird.

Auf ähnliche Weise möchte ein Unternehmen in Indien seinen riesigen potenziellen Verbrauchermarkt umgestalten, indem es Smartphones für 5 US-Dollar mit einem Tarif für 5 US-Dollar/Monat anbietet. (Als jemand aus der entwickelten Welt, dessen Smartphone-Tarif über 100 US-Dollar im Monat kostet, bin ich neidisch!) Indien stellt mit einer Bevölkerung von über 1,5 Milliarden Menschen einen der größtmöglichen Märkte der Welt dar. Die Frage ist: Kann die indische Telekommunikationsbranche eine Infrastruktur aufbauen, um so viele Smartphones zu unterstützen, bevor diese online gehen?

Ungenutzte Opfer

In den USA gibt es einen neuen Hackerangriff namens „CEO-Betrug“, der Unternehmen bereits Milliarden kostet. CEO-Fraud ist ein Social-Engineering-Hack, der mit einer Malware-Infektion beginnt. Ein Angreifer verschafft sich mittels Spear-Phishing Zugang zu einer Organisation und kompromittiert schließlich das E-Mail-System. Wenn er dazu in der Lage ist, überwacht er E-Mails und lernt die Geschäftsprozesse kennen. Anschließend fälscht er eine E-Mail vom CEO an den CFO mit der Aufforderung, eine routinemäßige Geldüberweisung vorzunehmen – allerdings auf das eigene Konto des Angreifers. Ich habe mit einem Kunden im Mittleren Westen der USA gesprochen, der beinahe auf diesen Angriff hereingefallen wäre; der Raubüberfall wurde vereitelt, weil der Angreifer nicht ganz den gleichen E-Mail-Konversationston an den Tag legte wie der CEO. Doch tatsächlich sind viele US-Unternehmen diesem Beispiel zum Opfer gefallen . Tatsächlich hat das FBI eine Warnung vor CEO-Betrug herausgegeben.

Die Lösung gegen CEO-Fraud besteht darin, große Überweisungen mündlich von der Führungskraft bestätigen zu lassen, die sie veranlasst hat. Das heißt, man greift zum Telefon und stellt sicher, dass die Überweisung rechtmäßig ist.

Niemand, mit dem ich im Asien-Pazifik-Raum gesprochen habe, hatte bisher von diesem Angriff gehört. Angreifer, die diese Technik verwenden, zielen auf reichere Kunden im AMER-Bereich ab, die noch nicht über Bedrohungsinformationen informiert sind. Irgendwann kennt jeder in den Staaten diese Masche, entweder weil er selbst dadurch Geld verloren hat, weil es dem Freund eines Freundes passiert ist oder weil er in einem Blogeintrag wie diesem davon gelesen hat.

Wenn die USA gesättigt sind, werden die Angreifer beginnen, andere Regionen ins Visier zu nehmen. Angesichts der Vielzahl der Finanzinstitute, die dort Transaktionen durchführen, ist Singapur eine naheliegende Wahl. Organisationen in Bankzentren wie Singapur und Hongkong sollten jetzt Schritte unternehmen, um ihre Prozesse zu verbessern, bevor sich der Angriff auf ihre Städte ausweitet.

Möglichkeiten, Fehler zu vermeiden

Das Konzept der disruptiven Technologie ist nicht neu. Vor über 20 Jahren schrieben Philip Anderson und Michael L. Tushman „Technological Discontinuities and Dominant Designs“: Ein zyklisches Modell des technologischen Wandels1, in dem sie Störungen in der Zement-, Glas- und Transportindustrie untersuchten.

Ihrer Forschung zufolge folgt der technologische Wandel einem Zyklus aus vier Schritten:

1. Disruptive Technologie (sorgt für Diskontinuität)
2. Ära der Gärung, in der mehrere Designs um die Vorherrschaft konkurrieren
3. Es entsteht ein dominantes Design (das oft nicht das disruptive Design ist)
4. Ära der inkrementellen Veränderung (hier erreicht der Umsatz seinen Höhepunkt)

Dann tritt eine weitere Störung auf und der Zyklus beginnt erneut.

In den USA gibt es einen neuen Hackerangriff namens „CEO-Betrug“, der Unternehmen bereits Milliarden kostet. CEO-Fraud ist ein Social-Engineering-Hack, der mit einer Malware-Infektion beginnt. Ein Angreifer verschafft sich mittels Spear-Phishing Zugang zu einer Organisation und kompromittiert schließlich das E-Mail-System. Wenn er dazu in der Lage ist, überwacht er E-Mails und lernt die Geschäftsprozesse kennen. Anschließend fälscht er eine E-Mail vom CEO an den CFO mit der Aufforderung, eine routinemäßige Geldüberweisung vorzunehmen – allerdings auf das eigene Konto des Angreifers. Ich habe mit einem Kunden im Mittleren Westen der USA gesprochen, der beinahe auf diesen Angriff hereingefallen wäre; der Raubüberfall wurde vereitelt, weil der Angreifer nicht ganz den gleichen E-Mail-Konversationston an den Tag legte wie der CEO. Doch tatsächlich sind viele US-Unternehmen diesem Beispiel zum Opfer gefallen . Tatsächlich hat das FBI eine Warnung vor CEO-Betrug herausgegeben.

Die Lösung gegen CEO-Fraud besteht darin, große Überweisungen mündlich von der Führungskraft bestätigen zu lassen, die sie veranlasst hat. Das heißt, man greift zum Telefon und stellt sicher, dass die Überweisung rechtmäßig ist.

Niemand, mit dem ich im Asien-Pazifik-Raum gesprochen habe, hatte bisher von diesem Angriff gehört. Angreifer, die diese Technik verwenden, zielen auf reichere Kunden im AMER-Bereich ab, die noch nicht über Bedrohungsinformationen informiert sind. Irgendwann kennt jeder in den Staaten diese Masche, entweder weil er selbst dadurch Geld verloren hat, weil es dem Freund eines Freundes passiert ist oder weil er in einem Blogeintrag wie diesem davon gelesen hat.

Wenn die USA gesättigt sind, werden die Angreifer beginnen, andere Regionen ins Visier zu nehmen. Angesichts der Vielzahl der Finanzinstitute, die dort Transaktionen durchführen, ist Singapur eine naheliegende Wahl. Organisationen in Bankzentren wie Singapur und Hongkong sollten jetzt Schritte unternehmen, um ihre Prozesse zu verbessern, bevor sich der Angriff auf ihre Städte ausweitet.

Möglichkeiten, Fehler zu vermeiden

Das Konzept der disruptiven Technologie ist nicht neu. Vor über 20 Jahren schrieben Philip Anderson und Michael L. Tushman „Technological Discontinuities and Dominant Designs“: Ein zyklisches Modell des technologischen Wandels1, in dem sie Störungen in der Zement-, Glas- und Transportindustrie untersuchten.

Ihrer Forschung zufolge folgt der technologische Wandel einem Zyklus aus vier Schritten:

1. Disruptive Technologie (sorgt für Diskontinuität)
   
2. Ära der Gärung, in der mehrere Designs um die Vorherrschaft konkurrieren
   
3. Es entsteht ein dominantes Design (das oft nicht das disruptive Design ist)
   
4. Ära der inkrementellen Veränderung (hier erreicht der Umsatz seinen Höhepunkt)

Dann tritt eine weitere Störung auf und der Zyklus beginnt erneut.

In den USA gibt es einen neuen Hackerangriff namens „CEO-Betrug“, der Unternehmen bereits Milliarden kostet. CEO-Fraud ist ein Social-Engineering-Hack, der mit einer Malware-Infektion beginnt. Ein Angreifer verschafft sich mittels Spear-Phishing Zugang zu einer Organisation und kompromittiert schließlich das E-Mail-System. Wenn er dazu in der Lage ist, überwacht er E-Mails und lernt die Geschäftsprozesse kennen. Anschließend fälscht er eine E-Mail vom CEO an den CFO mit der Aufforderung, eine routinemäßige Geldüberweisung vorzunehmen – allerdings auf das eigene Konto des Angreifers. Ich habe mit einem Kunden im Mittleren Westen der USA gesprochen, der beinahe auf diesen Angriff hereingefallen wäre; der Raubüberfall wurde vereitelt, weil der Angreifer nicht ganz den gleichen E-Mail-Konversationston an den Tag legte wie der CEO. Doch tatsächlich sind viele US-Unternehmen diesem Beispiel zum Opfer gefallen . Tatsächlich hat das FBI eine Warnung vor CEO-Betrug herausgegeben.

Die Lösung gegen CEO-Fraud besteht darin, große Überweisungen mündlich von der Führungskraft bestätigen zu lassen, die sie veranlasst hat. Das heißt, man greift zum Telefon und stellt sicher, dass die Überweisung rechtmäßig ist.

Niemand, mit dem ich im Asien-Pazifik-Raum gesprochen habe, hatte bisher von diesem Angriff gehört. Angreifer, die diese Technik verwenden, zielen auf reichere Kunden im AMER-Bereich ab, die noch nicht über Bedrohungsinformationen informiert sind. Irgendwann kennt jeder in den Staaten diese Masche, entweder weil er selbst dadurch Geld verloren hat, weil es dem Freund eines Freundes passiert ist oder weil er in einem Blogeintrag wie diesem davon gelesen hat.

Wenn die USA gesättigt sind, werden die Angreifer beginnen, andere Regionen ins Visier zu nehmen. Angesichts der Vielzahl der Finanzinstitute, die dort Transaktionen durchführen, ist Singapur eine naheliegende Wahl. Organisationen in Bankzentren wie Singapur und Hongkong sollten jetzt Schritte unternehmen, um ihre Prozesse zu verbessern, bevor sich der Angriff auf ihre Städte ausweitet.

Möglichkeiten, Fehler zu vermeiden

Das Konzept der disruptiven Technologie ist nicht neu. Vor über 20 Jahren schrieben Philip Anderson und Michael L. Tushman „Technological Discontinuities and Dominant Designs“: Ein zyklisches Modell des technologischen Wandels1, in dem sie Störungen in der Zement-, Glas- und Transportindustrie untersuchten.

Ihrer Forschung zufolge folgt der technologische Wandel einem Zyklus aus vier Schritten:

1. Disruptive Technologie (sorgt für Diskontinuität)
   
2. Ära der Gärung, in der mehrere Designs um die Vorherrschaft konkurrieren
   
3. Es entsteht ein dominantes Design (das oft nicht das disruptive Design ist)
   
4. Ära der inkrementellen Veränderung (hier erreicht der Umsatz seinen Höhepunkt)

Dann tritt eine weitere Störung auf und der Zyklus beginnt erneut.

In den USA gibt es einen neuen Hackerangriff namens „CEO-Betrug“, der Unternehmen bereits Milliarden kostet. CEO-Fraud ist ein Social-Engineering-Hack, der mit einer Malware-Infektion beginnt. Ein Angreifer verschafft sich mittels Spear-Phishing Zugang zu einer Organisation und kompromittiert schließlich das E-Mail-System. Wenn er dazu in der Lage ist, überwacht er E-Mails und lernt die Geschäftsprozesse kennen. Anschließend fälscht er eine E-Mail vom CEO an den CFO mit der Aufforderung, eine routinemäßige Geldüberweisung vorzunehmen – allerdings auf das eigene Konto des Angreifers. Ich habe mit einem Kunden im Mittleren Westen der USA gesprochen, der beinahe auf diesen Angriff hereingefallen wäre; der Raubüberfall wurde vereitelt, weil der Angreifer nicht ganz den gleichen E-Mail-Konversationston an den Tag legte wie der CEO. Doch tatsächlich sind viele US-Unternehmen diesem Beispiel zum Opfer gefallen . Tatsächlich hat das FBI eine Warnung vor CEO-Betrug herausgegeben.

Die Lösung gegen CEO-Fraud besteht darin, große Überweisungen mündlich von der Führungskraft bestätigen zu lassen, die sie veranlasst hat. Das heißt, man greift zum Telefon und stellt sicher, dass die Überweisung rechtmäßig ist.

Niemand, mit dem ich im Asien-Pazifik-Raum gesprochen habe, hatte bisher von diesem Angriff gehört. Angreifer, die diese Technik verwenden, zielen auf reichere Kunden im AMER-Bereich ab, die noch nicht über Bedrohungsinformationen informiert sind. Irgendwann kennt jeder in den Staaten diese Masche, entweder weil er selbst dadurch Geld verloren hat, weil es dem Freund eines Freundes passiert ist oder weil er in einem Blogeintrag wie diesem davon gelesen hat.

Wenn die USA gesättigt sind, werden die Angreifer beginnen, andere Regionen ins Visier zu nehmen. Angesichts der Vielzahl der Finanzinstitute, die dort Transaktionen durchführen, ist Singapur eine naheliegende Wahl. Organisationen in Bankzentren wie Singapur und Hongkong sollten jetzt Schritte unternehmen, um ihre Prozesse zu verbessern, bevor sich der Angriff auf ihre Städte ausweitet.

Möglichkeiten, Fehler zu vermeiden

Das Konzept der disruptiven Technologie ist nicht neu. Vor über 20 Jahren schrieben Philip Anderson und Michael L. Tushman „Technological Discontinuities and Dominant Designs“: Ein zyklisches Modell des technologischen Wandels1, in dem sie Störungen in der Zement-, Glas- und Transportindustrie untersuchten.

Ihrer Forschung zufolge folgt der technologische Wandel einem Zyklus aus vier Schritten:

1. Disruptive Technologie (sorgt für Diskontinuität)
   
2. Ära der Gärung, in der mehrere Designs um die Vorherrschaft konkurrieren
   
3. Es entsteht ein dominantes Design (das oft nicht das disruptive Design ist)
   
4. Ära der inkrementellen Veränderung (hier erreicht der Umsatz seinen Höhepunkt)

Dann tritt eine weitere Störung auf und der Zyklus beginnt erneut.

In den USA gibt es einen neuen Hackerangriff namens „CEO-Betrug“, der Unternehmen bereits Milliarden kostet. CEO-Fraud ist ein Social-Engineering-Hack, der mit einer Malware-Infektion beginnt. Ein Angreifer verschafft sich mittels Spear-Phishing Zugang zu einer Organisation und kompromittiert schließlich das E-Mail-System. Wenn er dazu in der Lage ist, überwacht er E-Mails und lernt die Geschäftsprozesse kennen. Anschließend fälscht er eine E-Mail vom CEO an den CFO mit der Aufforderung, eine routinemäßige Geldüberweisung vorzunehmen – allerdings auf das eigene Konto des Angreifers. Ich habe mit einem Kunden im Mittleren Westen der USA gesprochen, der beinahe auf diesen Angriff hereingefallen wäre; der Raubüberfall wurde vereitelt, weil der Angreifer nicht ganz den gleichen E-Mail-Konversationston an den Tag legte wie der CEO. Doch tatsächlich sind viele US-Unternehmen diesem Beispiel zum Opfer gefallen . Tatsächlich hat das FBI eine Warnung vor CEO-Betrug herausgegeben.

Die Lösung gegen CEO-Fraud besteht darin, große Überweisungen mündlich von der Führungskraft bestätigen zu lassen, die sie veranlasst hat. Das heißt, man greift zum Telefon und stellt sicher, dass die Überweisung rechtmäßig ist.

Niemand, mit dem ich im Asien-Pazifik-Raum gesprochen habe, hatte bisher von diesem Angriff gehört. Angreifer, die diese Technik verwenden, zielen auf reichere Kunden im AMER-Bereich ab, die noch nicht über Bedrohungsinformationen informiert sind. Irgendwann kennt jeder in den Staaten diese Masche, entweder weil er selbst dadurch Geld verloren hat, weil es dem Freund eines Freundes passiert ist oder weil er in einem Blogeintrag wie diesem davon gelesen hat.

Wenn die USA gesättigt sind, werden die Angreifer beginnen, andere Regionen ins Visier zu nehmen. Angesichts der Vielzahl der Finanzinstitute, die dort Transaktionen durchführen, ist Singapur eine naheliegende Wahl. Organisationen in Bankzentren wie Singapur und Hongkong sollten jetzt Schritte unternehmen, um ihre Prozesse zu verbessern, bevor sich der Angriff auf ihre Städte ausweitet.

Möglichkeiten, Fehler zu vermeiden

Das Konzept der disruptiven Technologie ist nicht neu. Vor über 20 Jahren schrieben Philip Anderson und Michael L. Tushman „Technological Discontinuities and Dominant Designs“: Ein zyklisches Modell des technologischen Wandels1, in dem sie Störungen in der Zement-, Glas- und Transportindustrie untersuchten.

Ihrer Forschung zufolge folgt der technologische Wandel einem Zyklus aus vier Schritten:

1. Disruptive Technologie (sorgt für Diskontinuität)
   
2. Ära der Gärung, in der mehrere Designs um die Vorherrschaft konkurrieren
   
3. Es entsteht ein dominantes Design (das oft nicht das disruptive Design ist)
   
4. Ära der inkrementellen Veränderung (hier erreicht der Umsatz seinen Höhepunkt)

Dann tritt eine weitere Störung auf und der Zyklus beginnt erneut.

In den USA gibt es einen neuen Hackerangriff namens „CEO-Betrug“, der Unternehmen bereits Milliarden kostet. CEO-Fraud ist ein Social-Engineering-Hack, der mit einer Malware-Infektion beginnt. Ein Angreifer verschafft sich mittels Spear-Phishing Zugang zu einer Organisation und kompromittiert schließlich das E-Mail-System. Wenn er dazu in der Lage ist, überwacht er E-Mails und lernt die Geschäftsprozesse kennen. Anschließend fälscht er eine E-Mail vom CEO an den CFO mit der Aufforderung, eine routinemäßige Geldüberweisung vorzunehmen – allerdings auf das eigene Konto des Angreifers. Ich habe mit einem Kunden im Mittleren Westen der USA gesprochen, der beinahe auf diesen Angriff hereingefallen wäre; der Raubüberfall wurde vereitelt, weil der Angreifer nicht ganz den gleichen E-Mail-Konversationston an den Tag legte wie der CEO. Doch tatsächlich sind viele US-Unternehmen diesem Beispiel zum Opfer gefallen . Tatsächlich hat das FBI eine Warnung vor CEO-Betrug herausgegeben.

Die Lösung gegen CEO-Fraud besteht darin, große Überweisungen mündlich von der Führungskraft bestätigen zu lassen, die sie veranlasst hat. Das heißt, man greift zum Telefon und stellt sicher, dass die Überweisung rechtmäßig ist.

Niemand, mit dem ich im Asien-Pazifik-Raum gesprochen habe, hatte bisher von diesem Angriff gehört. Angreifer, die diese Technik verwenden, zielen auf reichere Kunden im AMER-Bereich ab, die noch nicht über Bedrohungsinformationen informiert sind. Irgendwann kennt jeder in den Staaten diese Masche, entweder weil er selbst dadurch Geld verloren hat, weil es dem Freund eines Freundes passiert ist oder weil er in einem Blogeintrag wie diesem davon gelesen hat.

Wenn die USA gesättigt sind, werden die Angreifer beginnen, andere Regionen ins Visier zu nehmen. Angesichts der Vielzahl der Finanzinstitute, die dort Transaktionen durchführen, ist Singapur eine naheliegende Wahl. Organisationen in Bankzentren wie Singapur und Hongkong sollten jetzt Schritte unternehmen, um ihre Prozesse zu verbessern, bevor sich der Angriff auf ihre Städte ausweitet.

Möglichkeiten, Fehler zu vermeiden

Das Konzept der disruptiven Technologie ist nicht neu. Vor über 20 Jahren schrieben Philip Anderson und Michael L. Tushman „Technological Discontinuities and Dominant Designs“: Ein zyklisches Modell des technologischen Wandels1, in dem sie Störungen in der Zement-, Glas- und Transportindustrie untersuchten.

Ihrer Forschung zufolge folgt der technologische Wandel einem Zyklus aus vier Schritten:

1. Disruptive Technologie (sorgt für Diskontinuität)
   
2. Ära der Gärung, in der mehrere Designs um die Vorherrschaft konkurrieren
   
3. Es entsteht ein dominantes Design (das oft nicht das disruptive Design ist)
   
4. Ära der inkrementellen Veränderung (hier erreicht der Umsatz seinen Höhepunkt)

Dann tritt eine weitere Störung auf und der Zyklus beginnt erneut.

Da die Region APAC mehrere Jahre hinter AMER, EMEA und ANZ zurückliegt, bietet sich für APAC-Organisationen möglicherweise eine einmalige Gelegenheit, die Ära der Unruhe (fehlgeschlagener Designs), unter der die anderen Regionen mit Sicherheit leiden werden, zu überspringen und direkt zum dominanten Design überzugehen.

Hier ist ein konkretes (ha!) Beispiel zum Thema Transport.

Zuckerzug, Australien, Bild von Gwernol CC BY-SA 3.0

In Australien stellte die dampfbetriebene Eisenbahn eine bahnbrechende Technologie für die dortige Transportindustrie dar, die bis dahin weitgehend auf der Schifffahrt basierte. Mit der Weiterentwicklung der Lokomotivtechnologie konkurrierten drei verschiedene Spurweiten um die Vorherrschaft im Standard. Bahngesellschaften verlegten in verschiedenen Provinzen Zehntausende Kilometer Gleise unterschiedlicher Breite.

Diese unterschiedlichen Schienenbreiten gibt es heute noch in Australien . An mehreren Stellen müssen Passagiere aus einem Zug mit einer bestimmten Breite aussteigen und in einen anderen Zug mit anderer Breite einsteigen, um ihre Reise durch die Provinzen fortzusetzen. Zur Lösung dieser Unruhen in Australien wurden mehr als 250 Lösungsvorschläge unterbreitet, die allesamt abgelehnt wurden. Nach über 150 Jahren hat sich kein vorherrschendes Design herauskristallisiert.

Bild von KimonBerlin – Flickr, CC BY-SA 2.0

Vergleichen Sie diese lächerliche Situation mit den erstaunlichen Hochgeschwindigkeitszugsystemen im asiatisch-pazifischen Raum, die über ein Jahrhundert später gebaut wurden, als die modernen vorherrschenden Designs aufkamen. Der asiatisch-pazifische Raum brauchte länger, um diese Zugsysteme zu bekommen, aber das Endergebnis ist dadurch viel besser.

 Dieselbe Chance besteht für die Cybersicherheit in der Region Asien-Pazifik. Einige der neuen Technologien, in die Unternehmen in AMER heute investieren, könnten sich als erste disruptive Technologie erweisen, aber nicht als das letztendlich dominierende Design. Die Ingenieure, die herausfinden, welche Technologien im asiatisch-pazifischen Raum welche sind, können in Zukunft einen großen Unterschied machen.

Würmer und Käse

Eines meiner Lieblingszitate ist eine Kombination aus zwei berühmten Sprüchen: „Der frühe Vogel fängt den Wurm, aber die zweite Maus kriegt den Käse.“

Angesichts der potenziellen Größe und des technologischen Rückstands könnte die Region APAC die zweite Maus sein, die sich ein riesiges Stück Käse abholt. Andererseits besteht für APAC-Organisationen die Gefahr, in die gleichen Fallen zu tappen, wenn sie nicht aus den Erfahrungen der Cyber-Opfer in AMER lernen.

Beide Wege geben Anlass zum Nachdenken.