HTML-E-Mails sind seit vielen Jahren wenn nicht sogar bereits Jahrzehnten Standard. Damit Newsletter, Rechnungen oder andere Nachrichten nicht ausschließlich aus einfachem Text bestehen, unterstützen E-Mail-Clients neben HTML auch Teile von CSS. Gleichzeitig dürfen Absender natürlich nicht beliebigen aktiven Code im Kontext des E-Mail-Clients ausführen. ...
Veröffentlicht wurde die Technik am 18. Dezember 2023 von Timo Longin, Senior Security Consultant bei SEC Consult in Wien, gemeinsam mit dem dortigen Vulnerability Lab. Der Name SMTP Smuggling ist an HTTP Request Smuggling angelehnt, und die Analogie trägt: Dort entsteht der Angriff aus einer Uneinigkeit zwischen Frontend und Backend darüber, wo ein HTTP-Request endet – über Content-Length gegen Transfer-Encoding. Hier entsteht er aus einer Uneinigkeit zwischen zwei MTAs darüber, wo die Nutzdaten einer SMTP-Transaktion enden. ...
In der IT-Sicherheit wird seit Jahren betont, dass nicht die Technik, sondern der Mensch das schwächste Glied in der Kette ist. Trotz Firewalls, Intrusion-Detection-Systemen und strengen Compliance-Vorgaben gelingt es Angreifern immer wieder, durch geschickte Manipulation Zugang zu sensiblen Daten zu erhalten. Die Methoden dafür sind nicht neu – sie basieren auf psychologischen Mechanismen, die tief im menschlichen Verhalten verwurzelt sind. Besonders Phishing und Social Engineering verdeutlichen, wie sehr Cyberangriffe letztlich auch Angriffe auf die Psyche sind. Dieser Artikel geht über eine reine Beschreibung hinaus: Er erklärt die psychologischen Hintergründe, zeigt konkrete Angriffsformen und bietet praxisnahe Tipps für Unternehmen, um ihre Belegschaft zu stärken. ...
Einleitung Bei Phishing-E-Mails scheint es nur zwei Kategorien zu geben: Sie sind entweder plump oder erstaunlich raffiniert. Ein echtes Mittelding ist selten. Kürzlich ist mir jedoch ein Exemplar in die Hände gefallen, das – zumindest technisch betrachtet – ein Paradebeispiel für ausgeklügeltes Phishing darstellt. ...
Ein neues Gespenst geht um in Deutschland. Diesmal betrifft es nicht den Datenschutz in Form der DSGVO, sondern die IT-Sicherheit – konkret: die EU-Richtlinie NIS2. ...
Die Zahl der Cyberangriffe ist in den letzten Jahrzehnten kontinuierlich gestiegen. Dies belegen unter anderem Berichte des Branchenverbands Bitkom e.V. [1] sowie der Bundeslagebericht Cybercrime 2023 des Bundeskriminalamts [2]. Experten gehen davon aus, dass sowohl die Anzahl als auch die Qualität der Angriffe in Zukunft weiter zunehmen werden [2]. ...