Phishing-Kits imitieren vermehrt Telefongespräche

Cyberkriminelle haben ihre Strategien weiterentwickelt: Weg von simplen Massen-Phishing-Mails, hin zu gezielten Betrugsversuchen über das Telefon.

Untersuchungen von Okta Threat Intelligence zeigen, dass moderne Phishing-Kits mittlerweile speziell für sprachbasierte Angriffe in sogenannten Vishing-Kampagnen ausgelegt sind. Besonders betroffen sind Konten bei Google, Microsoft, Okta und verschiedenen Kryptowährungsanbietern.

Wie Vishing-Angriffe funktionieren

Im Kern nutzen die Angreifer clientseitige Skripte, die es ihnen ermöglichen, den Authentifizierungsprozess im Browser der Opfer live zu steuern. Durch die direkte Interaktion am Telefon können sie auf mündliches Feedback reagieren, was die Glaubwürdigkeit enorm erhöht. Nutzer bestätigen Push-Benachrichtigungen, geben Einmalpasswörter ein oder führen andere Aktionen aus – damit lassen sich selbst Multi-Faktor-Authentifizierungen umgehen.

Technische Werkzeuge als Verstärkung

Die eingesetzten Phishing-Kits sind so konstruiert, dass sie das Social Engineering gezielt unterstützen. Sie erlauben eine Echtzeit-Steuerung der Authentifizierung und minimieren die Wahrscheinlichkeit, dass Nutzer misstrauisch werden. Angreifer können damit wie in einem Dialog den Benutzer durch die notwendigen Schritte führen, ohne dass dieser die Gefahr sofort erkennt.

Schutzmaßnahmen für Unternehmen

Okta empfiehlt vor allem, Zugriffskontrollen konsequent phishing-resistent abzusichern. Dazu gehören die Nutzung von Okta FastPass, Passkeys oder einer Kombination beider Verfahren. Zusätzlich können technische Maßnahmen wie Netzwerkzonen oder Tenant-Access-Control-Listen Angriffe erschweren. Der Schlüssel liegt darin, genau zu wissen, aus welchen Netzwerken legitime Zugriffe erfolgen, und nur diese gezielt zuzulassen.

Die aktuelle Entwicklung zeigt, dass Cyberkriminelle zunehmend auf direkte, menschliche Interaktion setzen, um Sicherheitsmechanismen zu umgehen. Unternehmen müssen daher sowohl technische Barrieren ausbauen als auch Mitarbeiter für die Gefahr von Vishing sensibilisieren, um erfolgreiche Angriffe frühzeitig zu verhindern.