Digital Forensic – Social Media aus Sicht der Unternehmenssicherheit Tag der IT-Sicherheit, 14. März 2018, Saarbrücken Entscheiderfrühstück Wirtschaftsschutz Uwe Heim, Partner Forensic Deutschland, Deloitte

2016 Deloitte

2

Intro Sicherheitsstudie Desinformation 3

Relevanz sozialer Medien für die Unternehmenssicherheit 4

Terminologie der digitalen Bedrohung von Unternehmen 8

Gefährdungen von Unternehmen durch Social Media 10

Früherkennung im Digitalen Raum 19

Inhalt

2016 Deloitte 3

Relevanz sozialer Medien für die Unternehmenssicherheit

2016 Deloitte

4

Relevanz sozialer Medien für die Unternehmenssicherheit

2016 Deloitte

5

Relevanz sozialer Medien für die Unternehmenssicherheit

2016 Deloitte

6

Relevanz sozialer Medien für die Unternehmenssicherheit

2016 Deloitte 7

Terminologie der digitalen Bedrohung von Unternehmen

2016 Deloitte 8

Bot, aus dem Englischen Roboter „robot“. Computerprogramm, das weitgehend automatisch sich wiederholende Aufgaben abarbeitet, ohne dabei auf eine Interaktion mit einem menschlichen Benutzer angewiesen zu sein, z. B. Internet Suchmaschinen.

Sockenpuppe, (englisch sockpuppet, auch Fakeaccount, Multiaccount oder Doppelnick; Plural auch Mehrfachkonten) bezeichnet man im Netzjargon ein zusätzliches Benutzerkonto, das aus verschiedenen Gründen angelegt ist: Es kann zum Schutz der Privatsphäre dienen, den Zweck haben, Meinungen innerhalb einer Online-Community mit mehreren „Stimmen“ zu vertreten, oder zum Unterlaufen von Regeln der Community genutzt werden.

Fleischpuppe, meatpuppet („Fleischpuppe“) in Anlehnung an sockpuppet das Benutzerkonto eines weiteren Inhabers, der im Auftrag des ersten handelt, um Artikel und Diskussionen gezielt in dessen Sinne zu beeinflussen.

Troll, im Netzjargon eine Person, die ihre Kommunikation im Internet auf Beiträge beschränkt, die auf emotionale Provokation anderer Gesprächsteilnehmer zielt. Im Internet gibt es professionelle Trollaktivitäten mit dem Ziel, Propaganda/Werbung für den jeweiligen Auftraggeber zu betreiben. Berichtet wird dies beispielsweise von Israel, Nordkorea, Russland und den USA.

Solitäre, zielen auf Zielpersonen (Einzelne oder ggf. Mehrere). Schwärme, zielen über Meinungs(trug)bilder auf die jeweilige Öffentlichkeit. Ausprägungen: smale Scale Fanclubs oder large Scale die Troll-Army.

Echo chamber, geschlossenes Netzwerk von gleichgesinnten Quellen

Astroturfing, Maßnahmen verdeckter Öffentlichkeitsarbeit

Twitter (englisch für Gezwitscher) ist ein Mikrobloggingdienst des Unternehmens Twitter Inc. Auf Twitter können angemeldete Nutzer telegrammartige Kurznachrichten verbreiten. Die Nachrichten werden „Tweets“ (von englisch tweet „zwitschern“) genannt.

Will man zukünftig über Tweets anderer Nutzer informiert werden, kann man ihnen „folgen“. So abonniert man den Nutzer entsprechend, und dessen Tweets werden daraufhin in der eigenen Timeline angezeigt. Ein Nutzer, der einem anderen folgt, wird als „Follower“ (von englisch follow „folgen“) bezeichnet.

Nutzer haben die Möglichkeit, einen Tweet zu "liken" bzw. zu "faven". Dargestellt wird es durch ein kleines Herzsymbol. Für das "Liken" haben Nutzer viele verschiedene Motivationen. Dennoch bringen sie dadurch meist zum Ausdruck, dass ihnen etwas gefällt, sie etwas zustimmen oder sie etwas unterstützen

Terminologie der digitalen Bedrohung von Unternehmen

2016 Deloitte 9

Gefährdung von Unternehmen durch Social Media

2016 Deloitte 10

Gefährdung von Unternehmen durch Social Media Desinformation im Netz

Desinformation ist die gezielte Verbreitung falscher oder irreführender Informationen.

• Im öffentlichen digitalen Raum kann jeder Autor sein.

• Das zunehmende Meinungs- und Entscheidungsgewicht führt zu Desinformation.

• Der Umgang mit Desinformation ist Herausforderung in Politik, Sicherheit und Business.

Desinforamtion kann

• die Reputation des Unternehmens und seiner Vertreter belasten,

• Geschäftspartner irritieren,

• potenzielle Kunden abschrecken,

• geeignete Talente ablenken,

• Wettbewerbern einen Vorteil verschaffen,

• persönlichen Stress aufbauen.

2016 Deloitte 11

Gefährdung von Unternehmen durch Social Media Fiktive oder falsche Identitäten

Digitale Akteure bedienen sich fiktiver oder falscher Identitäten:

ID-Design (z.B. Robin Sage) oder

ID-Diebstahl (Übernahme von digitalen Profilen).

Identität

Fiktion

Fake https://www.privacywonk.net/download/BlackHat-USA-2010-

Ryan-Getting-In-Bed-With-Robin-Sage-v1.0.pdf

Getting-In-Bed-With-Robin-Sage Ein Experiment von Thomas Ryan

2016 Deloitte 12

Eine Kunstfigur wird zur Falle für Geheimnisträger.

Gefährdung von Unternehmen durch Social Media Fiktive oder falsche Identitäten

Getting in bed with Robin Sage. Ergebnis des Experiments: Angebote von Headhuntern Freundschaftsanfragen von

MIT- und St. Pauls-Absolventen Über 300 Kontakte zu hochrangigen

Mitarbeitern in Militär, Rüstung, Diensten

Erhielt militärische Geheim-dokumente zu Einsätzen in Afghanistan

... sowie zahlreiche Einladungen zum Essen.

2016 Deloitte 13

Gefährdung von Unternehmen durch Social Media Fiktive oder falsche Identitäten

Solitäre zielen auf – ggf. mehrere – einzelne Zielpersonen.

Schwärme zielen über Meinungs(trug)bilder auf die jeweilige Öffentlichkeit.

Ausprägungen: Smale Scale Fanclubs ... Large Scale Troll-Army

Identität

Fiktion

Fake

Schwarm

Solitär

Umfang

2016 Deloitte 14

Gefährdung von Unternehmen durch Social Media Fiktive oder falsche Identitäten

In vielen Quellen wird eine staatlich geführte „digitale Infanterie“ beschrieben.

In den Vorwürfen werden Meinungsziele wie Finnland und die Ukraine genannt.

„How Putin Secretly Conquered Russia's Social Media Over the Past 3 Years“

Posted 30 January 2015

„It seems like a joke, but thousands of hired bloggers “go to work” every day, writing online about Vladimir Putin’s greatness and the decay of the West.

They’re on Facebook, Twitter, news sites, and anywhere else the Kremlin feels threatened and outnumbered.“

„ ... Combined, these efforts field a troll army of thousands. In some areas, like on the outskirts of St. Petersburg, the enterprise is so big that there are whole office buildings for these people.“

Vladimir Putin at a press conference on December 18, 2014. Kremlin press service, public domain.

http

s://

glob

alvo

ices

.org

/201

5/01

/30/

how

-put

in-s

ecre

tly-

conq

uere

d-ru

ssia

s-so

cial

-med

ia-o

ver-

the-

past

-3-y

ears

/

2016 Deloitte 15

Gefährdung von Unternehmen durch Social Media Digitalisierung der Desinformation

Schwärme sind teuer. Nur einsetzbar, wenn sich sehr viele Sockenpuppen digital steuern lassen und sich reale Dialogpartner nicht daran stören.

Die Digitalisierung der Desinformation (... the next Level):

Identität

Fiktion

Fake Umfang

Steuerung

Programm Human

Schwarm

Solitär

2016 Deloitte 16

Gefährdung von Unternehmen durch Social Media Bedrohungen durch Twitter bots

Source: The ‘Star Wars’ botnet with >350k Twitter bots Juan Echeverria1*, Shi Zhou1

1 Department of Computer Science, University College London, London, United Kingdom

J.EcheverriaGuzman@ucl.ac.uk

Fake trending topics. If bots are able to pass as humans through Twitter’s filters, they would be counted for choosing trending topics and hashtags. This would allow the bots to create fake trending topics.

Opinion manipulation. A large group of bots can misrepresent public opinion. If the bots are not detected in time, they could tweet like real users, but coordinated centrally around a specific topic. They could all post positive or negative tweets skewing metrics used by companies and researchers to track opinions on that topics.

Astroturfing attack. Bots can orchestrate a campaign to create a fake sense of agreement among Twitter users, where they mask the sponsor of the message, making it seem like it originates from the community itself.

Fake Followers. Fake followers can be bought or sold online. After receiving payment from a user, the botmaster of a botnet can instruct its bots to follow that user. Fake followers could make a user seem more important than it is.

Spamming. Spammer bots can send a large amount of unsolicited content to other users. The most common objective of spam is getting users to click on advertising links or propagate computer viruses and other malware.

2016 Deloitte 17

Gefährdung von Unternehmen durch Social Media Desinformation im Netz

Source: http://www.internetworld.de/technik/bots/twitter-bots-brexit-waehler-betrogen-1111324.html

Bots are used to multiply the leverage-effect:

Elaborated bots combine artificial intelligence AI and information retrieval/internet search.

2016 Deloitte 18

Früherkennung im digitalen Raum

2016 Deloitte 19

Früherkennung im Digitalen Raum Suchen und Entdecken

Algorithmen erhöhen Vorwarnzeit und Überblick. Analysten schaffen Vorsprung: 1. Known Unknowns: Nach bekannten Alarmtermen gezielt suchen. 2. Unknown Unknowns: Neue Bedrohungen/Risiken/Trends systematisch entdecken.

1. Schlagwortsuche

2. Entdeckungsprozess

… was wir

wissen.

Wir wissen, Wir wissen nicht,

… was wir nicht wissen.

Suchen von Known Unknowns: Monitoring im Digitalraum: • Definition der Suchbegriffe für

Themenkarrieren im Voraus. • Scheuklappen verhindern

Ablenkung.

Entdecken von Unknown Unknowns: Computerlinguistische Algorithmen • Definiertes Quellenset und

Eingangsfilter gegen Irrelevantes. • Das System “hört frei zu“:

zeigt auch unerwartete Themen

2016 Deloitte 20

Früherkennung im Digitalen Raum Clusterbildung und Echochambers

Example: 22.07.2016 – Munich – Shooting rampage

The connections in the twitter-retweet-network are not random (but typical).

Users tend to select like-minded clusters/content as information sources.

Twitter-network: #München

Echo chamber = (closed) network of like-minded sources.

Source: http://www.zeit.de/kultur/2016-09/amoklauf-muenchen-tweets-reaktionen-oeffentlichkeit

Two separate clusters:

Cluster A:

Right wing politicians

Cluster B:

Munich Police, traditional media (Spiegel, SZ, Tagesschau, Zeit)

2016 Deloitte 21

Früherkennung im Digitalen Raum Identifikation von Clustern und Echo Chambers

Identify the clusters and echo chambers in your digital competitive space.

Social Bots werden ein Problem. Via Fake-Accounts werden nicht-menschliche Profile angelegt, die programmiert sind, sich selbstständig an Diskussionen zu beteiligen oder eigenständig Informationen zu verbreiten, um einen bestimmten Zweck zu erfüllen: z.B. Meinungsbeeinflussung, Diskredition.

2016 Deloitte

22

Sämtliche Perspektiven der Balanced Scorecard können targetiert werden.

Detektion von Desinformation

Activism & Threat Premonitor

Wahrnehmung als Arbeitgeber von

Engpasszielgruppen kritische Stellen bleiben

(länger) unbesetzt Diskreditierung der Qualität von Produkten und

Leistungen Absatz

Identifikation, Ausspähung und Ansprache von

Schlüsselpersonal und Schutzfamilien

Angriffe gegen die Reputation von Unternehmen und

Mitarbeiterschaft

...

Planungen und Vorhaben der organisierten kritischen

Öffentlichkeit / von Aktivistengruppen

Bedrohungen

Cyber-/IT-Security

Reisesicherheit

Objekt-schutz

Material Sphere

Digital Sphere

Home/ on Site

Rest of World

Know-How-/ Produkt-Schutz

Supply Chain Security

Personenschutz

Lauschabwehr

Drohnenabwehr

Reputationsschutz

Schutz vor Social Engineering

Detektion von Desinformation

Activism & Threat Premonitor

Früherkennung im Digitalen Raum Detektion von Desinformation im Netz

2016 Deloitte 23

Früherkennung im Digitalen Raum Suchkategorien und emergentes Zuhören

Tagesticker Terms. Beispiel Sicherheit.

Feste Suchkategorien plus emergentes Zuhören

2016 Deloitte 24

Früherkennung im Digitalen Raum Rankinganalyse

Identify growing issues: Emergent topics, disinformation campaigns, mind bombs.

Auf-/Absteiger. Beispiel Sicherheit.

Erkannte Diskussions-themen im Ranking.

2016 Deloitte 25

Früherkennung im Digitalen Raum Analyse von Clustern und Echo Chambers

Wie entwickeln sich kritische Vorwürfe und

Bedrohungen gegen unser Haus? Gibt es

neue schwache Signale?

Gibt es Tendenzen im Vorfeld unserer

Hauptversammlung? Was passiert während des

Verlaufs?

Welche Risiken bringt der neue CEO mit?

Wie transparent und wie sicherheitsaffin ist die

Schutzfamilie? Können die Angriffe der militanten Tierschützer gegen unsere großen

Wettbewerber auf uns übergehen?

Welche Wellen schlägt der angekündigte Personalabbau? Kündigen sich Aktionen oder

Blockaden an?

GALAXY von complexium erleichtert das Finden im Digitalraum: Crawler nehmen potenziell relevante Beiträge in nahezu Echtzeit auf. Computerlinguistische Algorithmen erschließen die Inhalte dieser Textmengen ohne Vorgabe. Machine Learning unterstützt die Identifikation relevanter Beiträge und Themen.

2016 Deloitte 26

Früherkennung im Digitalen Raum Erkennen von Gefährdungen am Beispiel G20 Gipfel

2016 Deloitte 27

Früherkennung im Digitalen Raum Lösungsmodule

complexium ist offizieller Partner des ASW Bundesverband: „Allianz für Sicherheit in der Wirtschaft“ http://asw-bundesverband.de/

2016 Deloitte 28

Früherkennung im Digitalen Raum Beispiel für einen Analyseprozess

Zeitnahe Aufnahme der öffentlichen digitalen Beiträge.

Algorithmen finden unerwartete Auffälligkeiten und suchen nach definierten Begriffen. Auch rückwärts. Analysten fügen Ergebnisse zusammen, bewerten Issues und stellen Ableitungen dar. Der Prozess leistet Früherkennung und Inhaltserschließung.

Analyseprozess:

MATRIX Identification & Extraction:

Hot spots & Issues

GALAXY Realtime-Monitor &

Exploration:

Weak Signals

Iteratives Finden

1 Data Collection: Open Source Web: Crawlers, search

2 Processing: Filters, categories: Algorithms, analysts

3 Analysis & Production: Patterns, insights, foresight

4 Presentation & Results: Reports, alerts

Lage-Bild (Report, System, Dialog):

Sie können die Situation früher besser einschätzen

und reduzieren Überraschungen.

2016 Deloitte 29

Wir bedanken uns für Ihre Aufmerksamkeit!

2016 Deloitte 30

contact

complexium GmbH Neue Schönhauser Str. 20 10178 Berlin-Mitte Tel. +49 (0)30 - 27 874 174 Fax +49 (0)30 - 40 054 349 www.complexium.de

Diese Präsentation entstand mit freundlicher Unterstützung und Zulieferung zahlreicher Folien von:

Prof. Dr. Martin Grothe

CEO grothe@complexium.de +49 (0)30 – 200 592 61

2016 Deloitte 31

Deloitte & Touche GmbH Wirtschaftsprüfungsgesellschaft Franklinstraße 50 60486 Frankfurt am Main Tel +49 (0) 211 8772 3337 Mobil +49 (0) 172 860 1881 uheim@deloitte.de Member of Deloitte Touche Tohmatsu

Uwe Heim Partner Leiter Forensic Services Germany

Deloitte bezieht sich auf Deloitte Touche Tohmatsu Limited („DTTL“), eine „private company limited by guarantee“ (Gesellschaft mit beschränkter Haftung nach britischem Recht), ihr Netzwerk von Mitgliedsunternehmen und ihre verbundenen Unternehmen. DTTL und jedes ihrer Mitgliedsunternehmen sind rechtlich selbstständig und unabhängig. DTTL (auch „Deloitte Global“ genannt) erbringt selbst keine Leistungen gegenüber Mandanten. Eine detailliertere Beschreibung von DTTL und ihren Mitgliedsunternehmen finden Sie auf www.deloitte.com/de/UeberUns.

Deloitte erbringt Dienstleistungen in den Bereichen Wirtschaftsprüfung, Risk Advisory, Steuerberatung, Financial Advisory und Consulting für Unternehmen und Institutionen aus allen Wirtschaftszweigen; Rechtsberatung wird in Deutschland von Deloitte Legal erbracht. Mit einem weltweiten Netzwerk von Mitgliedsgesellschaften in mehr als 150 Ländern verbindet Deloitte herausragende Kompetenz mit erstklassigen Leistungen und unterstützt Kunden bei der Lösung ihrer komplexen unternehmerischen Herausforderungen. Making an impact that matters – für mehr als 244.000 Mitarbeiter von Deloitte ist dies gemeinsames Leitbild und individueller Anspruch zugleich.

Diese Präsentation enthält ausschließlich allgemeine Informationen, die nicht geeignet sind, den besonderen Umständen des Einzelfalls gerecht zu werden und ist nicht dazu bestimmt, Grundlage für wirtschaftliche oder sonstige Entscheidungen zu sein. Weder die Deloitte GmbH Wirtschaftsprüfungsgesellschaft noch Deloitte Touche Tohmatsu Limited, noch ihre Mitgliedsunternehmen oder deren verbundene Unternehmen (insgesamt das „Deloitte Netzwerk“) erbringen mittels dieser Veröffentlichung professionelle Beratungs- oder Dienstleistungen. Keines der Mitgliedsunternehmen des Deloitte Netzwerks ist verantwortlich für Verluste jedweder Art, die irgendjemand im Vertrauen auf diese Veröffentlichung erlitten hat.