Source: Deutsche Nachrichten
Eine kritische Sicherheitslücke in WordPress, Diskussionen über autonome KI-Agenten, die im Rahmen eines Sicherheitstests eigenständig Schwachstellen ausnutzten, und immer leistungsfähigere sogenannte Frontier Models haben innerhalb weniger Wochen für Schlagzeilen gesorgt. Auf den ersten Blick wirken diese Ereignisse unabhängig voneinander. Tatsächlich erzählen sie jedoch dieselbe Geschichte: Cyberangriffe verändern sich grundlegend. Künstliche Intelligenz beschleunigt nicht mehr nur einzelne Arbeitsschritte von Angreifern, sondern zunehmend den gesamten Angriffsprozess.
Angreifer müssen nicht mehr jeden Schritt selbst beherrschen. Neue Plattformen bündeln Kontozugriff, Postfachanalyse und Betrugsvorbereitung in einer Oberfläche. Für Unternehmen verändert sich damit die Bedrohung hinter einer scheinbar gewöhnlichen E-Mail. Die Rechnung kommt von einem bekannten Geschäftspartner. Der Ton stimmt, das Projekt ist vertraut, die Zahlungsaufforderung passt zum bisherigen Austausch. Nur die Bankverbindung ist neu. Wer hier nach Rechtschreibfehlern oder einem verdächtigen Absender sucht, kann lange suchen: Die Nachricht stammt möglicherweise aus einem tatsächlich übernommenen Postfach. Business Email Compromise, kurz BEC, nutzt genau dieses Vertrauen. Angreifer verschaffen sich Zugang zu geschäftlichen E-Mail-Konten, um Kommunikation auszuspähen und beispielsweise Zahlungen umzuleiten. KI hilft ihnen inzwischen dabei, die Informationen hinter dem Zugang schneller auszuwerten.
Phishing-Plattformen verwalten gestohlene Konten
Das Forschungsteam von Eye Security hat zwei Phishing-Kits untersucht, deren Oberflächen an reguläre Softwaredienste erinnern: mit unterschiedlichen Nutzerrollen, Verwaltungsfunktionen und automatisierten Abläufen. Nach Einschätzung der Forschenden weist der Code deutliche Spuren KI-gestützter Entwicklung auf. Eines der Kits enthält außerdem eine KI-Komponente, die erbeutete Postfächer auf Rechnungen, offene Forderungen und Zahlungsprozesse untersucht. Damit wird ein arbeitsintensiver Teil des Betrugs automatisiert: herauszufinden, wo Geld fließt und an welcher Stelle sich eine Kommunikation manipulieren lässt. Die einzelnen Angriffstechniken sind überwiegend bekannt. Neu ist ihre Bündelung. Eine gemeinsame Oberfläche erleichtert es auch weniger erfahrenen Anwendern, mehrere kompromittierte Konten zu verwalten und nach finanziell interessanten Vorgängen zu durchsuchen.
Device Code Phishing missbraucht die Microsoft-Anmeldung
Zum Einsatz kommt dabei unter anderem Device Code Phishing. Dieses Verfahren missbraucht einen legitimen Anmeldeweg, der beispielsweise für Geräte ohne komfortable Eingabemöglichkeit vorgesehen ist. Nutzer geben einen kurzen Code auf einer offiziellen Microsoft-Seite ein und bestätigen die Anmeldung. Beim Angriff stammt dieser Code jedoch aus einem Vorgang, den der Täter gestartet hat. Das Opfer autorisiert damit dessen Sitzung.
Dass diese Methode im großen Maßstab eingesetzt wird, zeigt Microsofts Untersuchung der Plattform EvilTokens. Das Unternehmen empfiehlt, den zugrunde liegenden Anmeldeweg nach Möglichkeit zu sperren und notwendige Ausnahmen gezielt einzugrenzen.
Für Unternehmen reicht es deshalb nicht, Beschäftigte auf gefälschte Webseiten hinzuweisen. Auch auf einer echten Seite kann eine unerwartete Aufforderung gefährlich sein – entscheidend ist, welchen Vorgang man gerade bestätigt und ob man ihn selbst gestartet hat.
Bei finanziellen Vorgängen braucht es zusätzlich einen verlässlichen Kontrollweg. Eine neue Bankverbindung sollte über einen bereits bekannten Kontakt geprüft werden. Denn je besser Angreifer echte Kommunikation verstehen und nachahmen können, desto weniger lässt sich Sicherheit allein am Erscheinungsbild einer Nachricht erkennen.