newsonline24

Angreifer müssen nicht mehr jeden Schritt selbst beherrschen. Neue Plattformen bündeln Kontozugriff, Postfachanalyse und Betrugsvorbereitung in einer Oberfläche. Für Unternehmen verändert sich damit die Bedrohung hinter einer scheinbar gewöhnlichen E-Mail. Die Rechnung kommt von einem bekannten Geschäftspartner. Der Ton stimmt, das Projekt ist vertraut, die Zahlungsaufforderung passt zum bisherigen Austausch. Nur die Bankverbindung ist neu. Wer hier nach Rechtschreibfehlern oder einem verdächtigen Absender sucht, kann lange suchen: Die Nachricht stammt möglicherweise aus einem tatsächlich übernommenen Postfach. Business Email Compromise, kurz BEC, nutzt genau dieses Vertrauen. Angreifer verschaffen sich Zugang zu geschäftlichen E-Mail-Konten, um Kommunikation auszuspähen und beispielsweise Zahlungen umzuleiten. KI hilft ihnen inzwischen dabei, die Informationen hinter dem Zugang schneller auszuwerten.

Phishing-Plattformen verwalten gestohlene Konten

Das Forschungsteam von Eye Security hat zwei Phishing-Kits untersucht, deren Oberflächen an reguläre Softwaredienste erinnern: mit unterschiedlichen Nutzerrollen, Verwaltungsfunktionen und automatisierten Abläufen. Nach Einschätzung der Forschenden weist der Code deutliche Spuren KI-gestützter Entwicklung auf. Eines der Kits enthält außerdem eine KI-Komponente, die erbeutete Postfächer auf Rechnungen, offene Forderungen und Zahlungsprozesse untersucht. Damit wird ein arbeitsintensiver Teil des Betrugs automatisiert: herauszufinden, wo Geld fließt und an welcher Stelle sich eine Kommunikation manipulieren lässt. Die einzelnen Angriffstechniken sind überwiegend bekannt. Neu ist ihre Bündelung. Eine gemeinsame Oberfläche erleichtert es auch weniger erfahrenen Anwendern, mehrere kompromittierte Konten zu verwalten und nach finanziell interessanten Vorgängen zu durchsuchen.

Device Code Phishing missbraucht die Microsoft-Anmeldung

Zum Einsatz kommt dabei unter anderem Device Code Phishing. Dieses Verfahren missbraucht einen legitimen Anmeldeweg, der beispielsweise für Geräte ohne komfortable Eingabemöglichkeit vorgesehen ist. Nutzer geben einen kurzen Code auf einer offiziellen Microsoft-Seite ein und bestätigen die Anmeldung. Beim Angriff stammt dieser Code jedoch aus einem Vorgang, den der Täter gestartet hat. Das Opfer autorisiert damit dessen Sitzung.

Dass diese Methode im großen Maßstab eingesetzt wird, zeigt Microsofts Untersuchung der Plattform EvilTokens. Das Unternehmen empfiehlt, den zugrunde liegenden Anmeldeweg nach Möglichkeit zu sperren und notwendige Ausnahmen gezielt einzugrenzen.

Für Unternehmen reicht es deshalb nicht, Beschäftigte auf gefälschte Webseiten hinzuweisen. Auch auf einer echten Seite kann eine unerwartete Aufforderung gefährlich sein – entscheidend ist, welchen Vorgang man gerade bestätigt und ob man ihn selbst gestartet hat.

Bei finanziellen Vorgängen braucht es zusätzlich einen verlässlichen Kontrollweg. Eine neue Bankverbindung sollte über einen bereits bekannten Kontakt geprüft werden. Denn je besser Angreifer echte Kommunikation verstehen und nachahmen können, desto weniger lässt sich Sicherheit allein am Erscheinungsbild einer Nachricht erkennen.