Quishing und Smishing: Angriffe auf Mobilgeräte steigen um 146 und 162 Prozent

Das Bundeskriminalamt (BKA) und die Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) haben die Infrastruktur der Phishing-Plattform „Kratos“ zerschlagen. Bei der international koordinierten Aktion mit US-Behörden wurden über 200 Server unschädlich gemacht. In Indonesien nahmen die Ermittler einen mutmaßlichen Entwickler fest.

Franchise-Modell für Cyberkriminelle

Die Plattform Kratos agierte seit Ende 2024 als Phishing-as-a-Service-Anbieter. Das Geschäftsmodell: Rund 1.800 Franchisenehmer führten monatlich etwa 15.000 betrügerische Kampagnen durch. Die Schadsoftware erstellte täuschend echte Microsoft-Anmeldeseiten und umging sogar die Mehr-Faktor-Authentisierung (MFA). Laut BKA erwirtschaftete die Gruppe seit ihrem Bestehen über 300.000 Euro Umsatz. Hunderttausende Opfer in mehr als 30 Staaten sind betroffen.

Parallel dazu meldete Interpol im Rahmen der „Operation First Light 2026“ weltweite Erfolge: 5.811 Festnahmen und sichergestellte Vermögenswerte von 293 Millionen US-Dollar. In Deutschland schätzt man den jährlichen Schaden durch Finanzkriminalität auf rund 100 Milliarden Euro. Die Politik reagierte mit einem 26-Punkte-Plan.

Neue Tricks – alte Lücken

Angreifer setzen zunehmend auf spezialisierte Techniken, um Sicherheitsfilter auszutricksen. Der IT-Dienstleister Barracuda registrierte seit April 2026 über eine Million Phishing-Mails mit „Text-Salting“. Dabei betten Kriminelle harmlose, für Nutzer unsichtbare Texte in den HTML-Code ein – das täuscht KI-basierte Spam-Filter.

Angesichts immer raffinierterer Methoden wie Text-Salting und gefälschter Anmeldeseiten ist ein proaktiver Schutz für Unternehmen wichtiger denn je. Dieser kostenlose Leitfaden zeigt Ihnen in 4 Schritten, wie Sie Phishing-Angriffe stoppen, bevor sie Schaden anrichten können. Anti-Phishing-Paket für Unternehmen jetzt gratis herunterladen

Die US-Behörde CISA warnt zudem vor vier kritischen Sicherheitslücken in Microsoft SharePoint (CVE-2026-32201, CVE-2026-45659, CVE-2026-56164 und CVE-2026-58644). Angreifer können ohne Authentifizierung Code ausführen oder Webshells installieren. Für eine der Lücken setzten die Behörden eine Frist bis zum 19. Juli 2026.

Microsoft meldete außerdem Kampagnen des „ACR Stealers“. Die Malware nutzt Steganografie in Bilddateien und Blockchain-Einträge, um Passwörter und Dokumente aus Cloud-Speichern zu stehlen. Die Angriffe liefen zwischen Ende April und Mitte Juni 2026.

Passwort-Manager im Visier

Aktuelle Kampagnen zielen gezielt auf Nutzer von Passwort-Managern. Kunden von LastPass und Bitwarden erhalten gefälschte Compliance-Mails von Domains wie „lastpassnewsletter.com“ oder „bitwardennewsletter.com“. Die Nachrichten fordern zur Bestätigung von Sicherheitsrichtlinien auf und leiten auf manipulierte Seiten weiter, die DocuSign imitieren.

Da Kriminelle verstärkt versuchen, Passwörter und Zugangsdaten über täuschend echte E-Mails abzugreifen, gewinnt die passwortlose Anmeldung massiv an Bedeutung. Erfahren Sie in diesem kostenlosen Report, wie Sie Passkeys einrichten und Ihre Konten bei Amazon, WhatsApp & Co. endlich hacker-sicher machen. Kostenlosen Passkey-Ratgeber jetzt anfordern

Auch Unternehmen sind betroffen: Bei „Boss Scams“ setzen Kriminelle KI-gestützte Deepfakes und Sprachklone ein. In Mumbai überwies ein stellvertretender Geschäftsführer nach gefälschten WhatsApp-Anweisungen 11,5 Millionen Euro in 63 Einzeltransaktionen. Das FBI warnt in diesem Zusammenhang vor der Plattform „Kali365“, die speziell MFA-Hürden bei gezielten Angriffen überwindet.

Mobilgeräte im Fadenkreuz

Mobile Endgeräte werden verstärkt attackiert. Im ersten Quartal 2026 stiegen Quishing-Angriffe (Phishing via QR-Code) um 146 Prozent. Smishing (SMS-Phishing) legte im zweiten Quartal um 162 Prozent zu. Allein im März registrierten Marktbeobachter 18,7 Millionen Angriffe mit bösartigen QR-Codes.

de | wirtschaft | 69815549 |