Neue Top-10-Rangliste enttarnt globale Hacker-Netzwerke

Eine neue Rangliste zeigt: Cyberkriminelle attackieren verstärkt Lieferketten und nutzen Miet-Infrastrukturen mit bis zu 89 Prozent Marktanteil.

Das IT-Sicherheitsunternehmen Group-IB hat seinen jährlichen Bericht über globale Bedrohungsakteure vorgelegt. Die Analyse wertet mehr als 1.550 Ermittlungsverfahren aus und zeigt einen strukturellen Wandel in den Strategien der organisierten Cyberkriminalität. Kriminelle Gruppen nehmen zunehmend IT-Lieferketten, gemeinsam genutzte Infrastrukturen und vertrauenswürdige Drittanbieter ins Visier, anstatt Zielunternehmen direkt zu attackieren. Über einen einzigen kompromittierten Zugangspunkt gelingt es den Akteuren, Schadwirkungen auf nachgelagerte Systeme ganzer Branchen auszuweiten und Erkennungsfenster zu minimieren.

Kommerzialisierung von Phishing- und Bezahlsystemen

Ein wesentlicher Faktor für die Effizienz der Angriffe ist die fortschreitende Kommerzialisierung von Schadsoftware und Infrastrukturen im kriminellen Untergrund. So kontrolliert die Plattform Tycoon 2FA einen Marktanteil von 89 Prozent im Segment der automatisierten Phishing-Dienste (Phishing-as-a-Service), die Authentifizierungs-Token abfangen und damit die Wirksamkeit von Multi-Faktor-Authentifizierungen aushebeln. Ein weiteres kommerzielles System namens TX-NFC ermöglicht es Kriminellen, über eine tägliche Abonnementgebühr ab 45 Dollar kontaktlose Bezahlvorgänge an physischen Kassenterminals mit gestohlenen Kartendaten unbemerkt zu simulieren. Dmitry Volkov, Chief Executive Officer von Group-IB, kommentierte diese Entwicklung:

„Die Lieferkette ist zum mächtigsten Multiplikator der Cyberkriminalität geworden. Was unsere Ermittler im vergangenen Jahr in mehr als 1.550 Fällen dokumentiert haben, zeigt uns, dass Angriffe nicht mehr auf einzelne Opfer isoliert abzielen – sie nisten sich in vertrauenswürdige Infrastrukturen und Ökosysteme von Drittanbietern ein, um sich zeitgleich über ganze Branchen hinweg auszubreiten. Ein einziger Kompromittierungspunkt erreichte in einer von uns verfolgten Operation über 130 Organisationen.

Gleichzeitig schließt die Kommerzialisierung der Angriffsinfrastruktur – Phishing-Plattformen mit 89 Prozent Marktanteil, NFC-Betrug im Abonnement – die Fähigkeitslücke zwischen hochentwickelten und technisch weniger versierten Bedrohungsakteuren schnell. Für Verteidiger muss die Reaktion gegnerzentriert sein: Zu verstehen, wie sich diese spezifischen Gegner entwickeln, nicht nur, was sie im letzten Quartal getan haben, sondern durch KI-gestützte Erkenntnisse vorherzusagen, was sie als Nächstes tun werden.“

Anzeige

Dmitry Volkov, Chief Executive Officer von Group-IB

Das vollständige Ranking der Hacker-Netzwerke

Die Rangliste bewertet die Gruppen anhand von Kriterien wie finanzieller Auswirkung, Anzahl der Opfer, technischer Evolution und geografischer Reichweite:

1. DarkBlinders weist die höchste Anpassungsfähigkeit bei Taktiken auf und nimmt die Luftfahrt- und Telekommunikationsbranche im Nahen Osten ins Visier.
2. Scattered Spider agiert als dezentrales Netzwerk und kompromittierte über 130 Technologieunternehmen über deren vertrauenswürdige Lieferketten.
3. Lazarus operiert mit staatlicher Unterstützung und stahl über die Gesamtlaufzeit Kryptowährungen im Wert von über 6,5 Milliarden Dollar, davon 2,02 Milliarden Dollar im Jahr 2025.
4. MuddyWater zeichnet sich durch eine hohe Entwicklungsgeschwindigkeit aus und verbreitete zwischen Oktober 2025 und März 2026 drei neue Malware-Varianten in über 113 Ländern.
5. Tycoon 2FA kontrolliert einen Marktanteil von 89 Prozent im Bereich der automatisierten Phishing-Dienste für den Diebstahl von Unternehmens-Zugangsdaten.
6. GoldFactory nutzt spezialisierte Schadsoftware zum Diebstahl biometrischer Daten, um Gesichtserkennungssysteme beim mobilen Banking gezielt zu umgehen.
7. TX-NFC bietet ein kommerzielles System im Abonnement an, um kontaktlose Bezahlvorgänge an physischen Kassenterminals mit gestohlenen Kartendaten zu simulieren.
8. Shadow Silk ist auf Tarnung spezialisiert und verbleibt in kritischen Infrastrukturen und Regierungseinrichtungen über zwölf Monate unentdeckt.
9. Bloody Wolf fokussiert sich auf langfristigen Systemzugriff und die strategische Überwachung von Regierungsorganisationen in Zentralasien.
10. Teste PHP nutzt schädliche Browser-Erweiterungen zum Diebstahl von Zugangsdaten in Echtzeit in fünf spanischsprachigen Ländern.

(red/Group-IB)