Ein Benutzer öffnet eine E-Mail, die ihn auffordert, seinen Zugang zu HR erneut zu validieren. Der Link führt zu einer Seite, die identisch mit MaBoxRH ist, einschließlich des Gruppenlogos. Nur die Domain in der Adresszeile entspricht nichts Bekanntem. Dieses Szenario betrifft direkt die Nutzer von GTm Extranet La Poste, und die seit 2024 eingeleitete Konvergenz zwischen MaBoxRH, GTm Extranet und dem Portail malin hat die Anmeldewege vervielfacht.
Das Ergebnis: Die gewohnten Anhaltspunkte sind verwischt, und Phishing-Kampagnen nutzen genau diese Verwirrung aus.
Arbeitsplatz und gesperrte Sitzung: die Grundlage vor dem Passwort
Die Sicherheit eines Extranets beschränkt sich nicht auf das Passwort. Bei GTm Extranet ist der Arbeitsplatz, der für die Anmeldung verwendet wird, das erste zu überprüfende Glied. Ein gemeinsam genutzter Computer ohne automatische Sitzungssperre, ein Browser, der die Anmeldedaten in einem ungeschützten Profil speichert, ein Betriebssystem, dessen Sicherheitsupdates seit Wochen ausstehen – all dies schafft Sicherheitslücken lange bevor das Passwort eingegeben wird.
Konkrete Schritte: Vor jeder Anmeldung werden drei Punkte überprüft:
- Der Arbeitsplatz ist ein professionelles Terminal, dessen Betriebssystem und Browser auf dem neuesten Stand sind (Sicherheitsupdates beheben regelmäßig Schwachstellen, die von Phishing-Kits ausgenutzt werden).
- Die Benutzersitzung ist sofort gesperrt, sobald der Arbeitsplatz verlassen wird, selbst für einige Minuten, um zu verhindern, dass Dritte auf eine offene GTm-Sitzung zugreifen.
- Der im Browser integrierte Passwortmanager ist deaktiviert oder durch ein Master-Passwort geschützt, um zu verhindern, dass ein physischer Zugriff auf den Arbeitsplatz direkten Zugang zu den HR-Anmeldedaten gewährt.
Ein Leitfaden zur Authentifizierung auf GTm Extranet La Poste beschreibt auch die gefälschten Anmeldeseiten und gängigen Betrugstechniken auf dieser Plattform.
Die Sicherung des Arbeitsplatzes reduziert die Angriffsfläche, bevor überhaupt über das Passwort gesprochen wird. Die CNIL integriert diese Maßnahmen zudem in einen umfassenden Ansatz zum Datenschutz, nicht als isolierte Handlungen.
Multifaktor-Authentifizierung auf GTm Extranet: Was sie schützt und was nicht
Die Multifaktor-Authentifizierung (MFA) fügt eine zusätzliche Überprüfungsebene nach dem Passwort hinzu: einen temporären Code, der per SMS empfangen oder von einer App generiert wird. Man könnte denken, dass dies ausreicht, um jeden Betrugsversuch zu blockieren. In der Praxis ist es jedoch nicht so einfach.
Eine gut gestaltete gefälschte Anmeldeseite kann sowohl das Passwort als auch den MFA-Code in Echtzeit erfassen. Der Benutzer gibt seine Anmeldedaten auf der gefälschten Seite ein, der Angreifer überträgt sie sofort an das echte Portal, fordert den MFA-Code an und meldet sich vor Ablauf an. Diese Art von Angriff, bekannt als “Echtzeit-Phishing”, macht den zweiten Faktor unwirksam, wenn die Domain nicht zuvor überprüft wurde.
Die MFA bleibt eine relevante Sicherheitsmaßnahme, ist jedoch Teil eines umfassenderen Systems. Sie entbindet niemals von der Kontrolle der URL vor der Eingabe. Bei GTm Extranet ist eine interne Empfehlung, die seit 2024 verbreitet wird, klar: niemals über eine Suchmaschine auf GTm zugreifen. Man sollte über ein gespeichertes Lesezeichen oder über das Intranet der Gruppe zugreifen.
Domain in drei Sekunden überprüfen
Bevor man irgendetwas eingibt, schaut man sich die Adresszeile des Browsers an. Die Domain muss genau mit der des offiziellen Portals übereinstimmen. Ein zusätzliches Zeichen, ein ungewöhnlicher Bindestrich, eine andere Erweiterung: Man schließt den Tab. Ein gültiges HTTPS-Zertifikat (grünes Schloss) garantiert nicht die Legitimität der Seite, da SSL-Zertifikate kostenlos erhältlich sind, auch für betrügerische Seiten.
Reaktionsverfahren nach Eingabe auf einer gefälschten Seite
Eine Phishing-Versuch zu erkennen, ist das eine. Zu wissen, wie man reagiert, nachdem man seine Anmeldedaten auf einer zweifelhaften Seite eingegeben hat, ist etwas anderes. Man sollte dieses Verfahren vorbereiten, bevor ein Vorfall eintritt, nicht danach.
Hier ist die Reihenfolge, die zu befolgen ist, wenn man vermutet, seine GTm Extranet-Anmeldedaten auf einer betrügerischen Seite eingegeben zu haben:
- Die aktuelle Sitzung sofort unterbrechen und keine weiteren Links auf derselben Seite anklicken.
- Auf das offizielle Portal zugreifen (über ein überprüftes Lesezeichen) und das Passwort ohne Verzögerung ändern.
- Die IT-Abteilung oder den internen Support der Gruppe La Poste benachrichtigen, damit sie verdächtige Anmeldungen auf dem Konto überwachen können.
- Die betrügerische Nachricht (E-Mail, SMS) aufbewahren, ohne sie zu löschen: Sie dient als Beweis für die Meldung.
- Die letzten Aktivitäten des HR-Kontos überprüfen, um ungewöhnliche Zugriffe oder Änderungen zu erkennen.
Diese Logik der Vorbereitung auf Vorfälle entspricht den Empfehlungen, die die CNIL 2024 veröffentlicht hat: Das Management einer Kompromittierung wird vor dem Betrug geplant, nicht in der Eile.
Organisierte Meldung: Wer zu benachrichtigen ist und über welchen Kanal
Ein gefälschter Website oder eine Phishing-E-Mail zu melden, beschränkt sich nicht darauf, sie aus dem Posteingang zu löschen. Damit die Meldung nützlich ist, muss sie über den richtigen Kanal erfolgen.
Intern ist der erste Reflex, den IT-Support der Gruppe zu kontaktieren. Je nach Struktur gibt es ein spezielles Formular oder eine Meldestelle. Ziel ist es, dem Sicherheitsdienst zu ermöglichen, die betrügerische Domain für alle Benutzer zu sperren und zu überprüfen, ob andere Konten betroffen sind.
Extern ermöglicht die offizielle Plattform Pharos (Meldung von illegalen Inhalten online) die Meldung einer Phishing-Seite. Die Rückmeldungen variieren hinsichtlich der Bearbeitungszeiten, aber die Meldung speist eine Datenbank, die die Sperrung durch Browser und Internetanbieter beschleunigt.
Wiederkehrende Fallen im Zusammenhang mit Suchmaschinen vermeiden
Gesponserte Seiten, die GTm Extranet imitieren, können ganz oben in den Suchergebnissen erscheinen. „GTm Extranet La Poste“ in eine Suchmaschine einzugeben, ist der häufigste Angriffsvektor. Der Zugriff sollte immer über einen manuell gespeicherten Link oder über das Intranet der Gruppe erfolgen.
Ein robustes Passwort, ein aktivierter zweiter Faktor und ein aktueller Arbeitsplatz nützen nichts, wenn man sie auf der falschen Seite eingibt. Die Sicherung des Zugangs zu GTm Extranet basiert auf einer Reihe einfacher Überprüfungen, die systematisch und ohne Ausnahme für „schnelle“ Verbindungen zwischen zwei Besprechungen angewendet werden.
