Thought Leadership
Über eine Million Betrugs-E-Mails imitierten CEOs und CFOs, um Finanzabteilungen zu gefälschten Banküberweisungen zu bewegen.
Microsoft hat eine großangelegte Betrugskampagne aufgedeckt, bei der Angreifer zwischen dem 3. und 5. August 2026 mehr als eine Million E-Mails an Unternehmen verschickten. Über mehrere Konten bei Drittanbieter-Mailingdiensten versuchten die Täter, Finanzabteilungen zu Banküberweisungen von knapp 50.000 US-Dollar zu bewegen, indem sie sich als CEOs, CFOs oder Präsidenten der jeweiligen Zielunternehmen ausgaben. Rund 88 Prozent der E-Mails richteten sich an Empfänger in den USA, betroffen waren unter anderem Unternehmen aus den Bereichen IT-Dienstleistungen, Unternehmensberatung und Konsumgüter.
Mehrschichtiger Betrugsaufbau
Anders als bei einfacheren Rechnungsbetrugs-Mails kombinierten die Täter mehrere Täuschungselemente in einer einzigen Nachricht: Der Name der imitierten Führungskraft erschien im Absendernamen, in der Antwortadresse und in der E-Mail-Signatur. Der eigentliche Text forderte knapp die Freigabe einer angehängten Rechnung.
Direkt darunter war eine gefälschte, optisch professionell gestaltete Rechnung des Softwareanbieters ServiceNow eingebettet, personalisiert mit dem Namen des Zielunternehmens und der imitierten Führungskraft, samt Zahlungsanweisung per Banküberweisung auf von den Tätern kontrollierte Konten – laut Microsoft variierten die genutzten Bankverbindungen zwischen den einzelnen Zielen. Ergänzt wurde das Ganze um zwei weitere, angeblich weitergeleitete E-Mails, die ein fingiertes Gespräch zwischen der imitierten Führungskraft und einem angeblichen ServiceNow-Präsidenten über den Kauf und die Freigabe der Rechnung darstellten.
Kein Einbruch bei ServiceNow selbst
Microsoft betont ausdrücklich, dass keine Hinweise darauf vorliegen, dass ServiceNow oder andere in den Ködern genannte Unternehmen tatsächlich kompromittiert oder an der Kampagne beteiligt waren. Stattdessen nutzten die Täter eine zum Verwechseln ähnliche Domain (service-nowinc.com), die am 31. Juli 2026 registriert wurde, sowie eine weitere neu registrierte Domain für die Antwortadresse.
Hinweise auf KI-Einsatz bei der Erstellung
Microsoft fand in den zugrunde liegenden HTML-Vorlagen mehrere Indizien, die auf eine KI-gestützte Erstellung der Kampagne hindeuten, etwa ausführliche HTML-Kommentare, eine sehr einheitliche Abschnittsstruktur sowie den gehäuften Einsatz von Gedankenstrichen und bannerartigen Trennlinien – Stilmerkmale, die häufig mit KI-generiertem Text in Verbindung gebracht werden. Microsoft weist jedoch darauf hin, dass diese Indizien allein nicht abschließend belegen, in welchem Umfang KI tatsächlich für die Inhalte eingesetzt wurde.
Erkennbare Warnsignale
Trotz der aufwendigen Aufmachung fanden sich laut Microsoft mehrere verräterische Details: Den eingebetteten, angeblich weitergeleiteten E-Mails fehlten die für echte Weiterleitungen typischen technischen Kopfzeilen, in einigen Formulierungen fiel ungewöhnliche Sprache auf, und Absendername sowie tatsächliche Absenderadresse stimmten nicht überein. Zudem widersprach sich die fingierte Konversation inhaltlich selbst: An einer Stelle bat die imitierte Führungskraft darum, sie nicht in Kopie zu setzen, an anderer Stelle wurde die Rechnung angeblich direkt von ihrer eigenen Adresse verschickt.
Empfohlene Gegenmaßnahmen
Microsoft empfiehlt Unternehmen unter anderem korrekt konfigurierte E-Mail-Authentifizierung über SPF, DKIM und DMARC, den Einsatz von Anti-Phishing-Lösungen sowie automatisierte Reaktionsmechanismen, die verdächtige Nachrichten auch rückwirkend aus bereits zugestellten Postfächern entfernen können.
(red/Microsoft)
