Huntress schlägt nach 21 Sekunden Alarm: WatchGuard-VPN-Seite war Phishing

Unbekannte Angreifer haben mit einer gezielten SEO-Poisoning-Kampagne Unternehmenskunden ins Visier genommen, um vertrauliche Anmeldedaten für virtuelle private Netzwerke abzufangen. Über eine manipulierte Website, die sich als offizielle Plattform des Netzwerksicherheitsanbieters WatchGuard ausgab, erbeuteten die Täter sensible Zugangsdaten von Netzwerkadministratoren.

Wie aus einem Bericht von TechRadar vom 18.10.2026 hervorgeht, nutzten die Akteure die gefälschte Domain watchguard-vpn[.]net, um Serveradressen, Benutzernamen und Passwörter abzugreifen.

Gezielte Umleitung über Suchmaschinenergebnisse

Die Vorgehensweise der Angreifer basierte auf der Manipulation von Suchmaschinenergebnissen, um manipulierte Seiten weit oben in den Trefferlisten zu platzieren. In einem dokumentierten Fall gelangte ein Administrator eines Managed Service Providers (MSP) über eine reguläre Bing-Suche auf die präparierte Adresse.

Auf der Phishing-Seite wurde den Besuchern ein modales Eingabefenster angezeigt. Die dort eingegebenen Zugangsdaten, darunter VPN-Serveradressen sowie individuelle Benutzerdaten, wurden direkt im Hintergrund an eine weitere Serverinfrastruktur mit der Domain watchguard-ssl[.]online weitergeleitet.

Der aktuelle Fall zeigt, wie raffiniert Cyberkriminelle psychologische Tricks und technische Manipulationen nutzen, um an sensible Firmendaten zu gelangen. Ein kostenloser Report enthüllt die neuesten Methoden der Angreifer und zeigt, wie Sie Ihr Unternehmen effektiv schützen. Anti-Phishing-Paket für Unternehmen jetzt gratis anfordern

Die Vorbereitungen für diese Kampagne reichten mehrere Wochen zurück. Den Registrierungsdaten zufolge wurde die Domain watchguard-vpn[.]net bereits am 22.08.2026 registriert. Rund drei Wochen später, am 14.09.2026, folgte die Registrierung der Datenabfang-Domain watchguard-ssl[.]online. Dieser gestaffelte Aufbau zeigt, dass die Täter ihre Infrastruktur vorab gezielt aufsetzten, um den Datendiebstahl über getrennte Komponenten abzuwickeln.

Schnelle Entdeckung und Deaktivierung der Hauptdomain

Trotz des professionellen Aufbaus der Phishing-Seiten konnte der Angriff im beobachteten Vorfall rasch eingegrenzt werden. Das Sicherheitsunternehmen Huntress schlug bereits 21 Sekunden nach dem Aufruf der Seite Alarm und löste eine entsprechende Erkennung aus.

Die Hauptdomain der Kampagne, watchguard-vpn[.]net, war per 13.10.2026 nicht mehr erreichbar und wurde offline genommen. Dennoch verdeutlicht der Vorfall das erhebliche Risiko, das durch Suchmaschinen-Phishing für IT-Dienstleister und Unternehmensinfrastrukturen entsteht.

Angesichts immer komplexerer Bedrohungen müssen Firmen ihre IT-Sicherheit proaktiv stärken, ohne dabei das Budget zu sprengen. Dieser kostenlose Leitfaden hilft Ihnen dabei, Sicherheitslücken zu schließen und neue gesetzliche Anforderungen rechtssicher zu erfüllen. Gratis E-Book: Cyber Security Strategien für Unternehmen

Empfohlene Sicherheitsmaßnahmen für Administratoren

Fachleute raten Administratoren und Unternehmen, die entsprechende Netzwerklösungen einsetzen, zu erhöhter Wachsamkeit. Um Folgeschäden durch möglicherweise kompromittierte Zugänge zu verhindern, sollten bestehende Passwörter unverzüglich zurückgesetzt werden.

Zudem wird dringend empfohlen, eine Mehrfaktor-Authentifizierung (MFA) für sämtliche VPN-Zugänge flächendeckend durchzusetzen, um unbefugte Logins selbst bei bekanntem Kennwort zu blockieren. Administratoren sollten zudem ihre Protokolle auf verdächtige VPN-Anmeldeversuche hin überprüfen, um frühere Abgriffe rechtzeitig zu erkennen.