Phishing-Welle: Hacker knacken MFA mit EvilProxy und Co.

Cyberkriminelle haben eine ausgeklügelte Angriffswelle auf internationale Organisationen gestartet – darunter auch Einrichtungen der Europäischen Union und der Vereinten Nationen. Die Täter nutzen eine besonders perfide Methode, um selbst mehrfach geschützte Konten zu knacken.

Gefälschte Ausschreibungen als Köder

Seit Mai 2026 läuft die Kampagne auf Hochtouren. Die Angreifer setzen auf sogenannte Adversary-in-the-Middle-Angriffe (AiTM) – eine Technik, die selbst vor Multi-Faktor-Authentifizierung (MFA) nicht Halt macht. Im Visier stehen vor allem Universitäten, Großkonzerne und internationale Verwaltungsapparate.

Die Masche ist raffiniert: Die Hacker kapern zunächst kompromittierte Outlook-Konten und verschicken von dort aus E-Mails, die sich um Beschaffungsprozesse drehen. Wer auf den Link klickt, landet auf täuschend echten Anmeldeseiten von Microsoft. Die Domains wie testserveren[.]com oder barifurniture[.]net sind seit Jahren im Netz – und wirken daher vertrauenswürdig.

Wie die Angreifer die MFA-Falle umgehen

Im Hintergrund arbeiten spezialisierte Reverse-Proxy-Kits wie EvilProxy, FlowerStorm und Kali365. Diese Tools leiten den gesamten Datenverkehr über die Angreifer-Server. Das Tückische: Sie klauen nicht nur Passwörter, sondern auch die Sitzungscookies in Echtzeit. Damit können sich die Täter später als legitime Nutzer ausgeben – ohne dass das System einen erneuten Login verlangt.

Rekord-Schäden durch Phishing zeigen, dass herkömmliche Sicherheitsmaßnahmen oft nicht mehr ausreichen, um Unternehmen vor Session-Hijacking zu schützen. Experten erklären in diesem kostenlosen Anti-Phishing-Paket, wie Firmen sich proaktiv absichern können. Anti-Phishing-Paket jetzt kostenlos herunterladen

„Die Kampagne ist so effektiv, weil sie das Vertrauen der Menschen in alltägliche Arbeitsabläufe ausnutzt“, erklärt Sicherheitsexpertin Dr. Renée Burton. Ihr Rat: Unternehmen sollten nicht blind auf MFA vertrauen, sondern auch auf DNS-basierte Bedrohungserkennung setzen, um verdächtige Domains frühzeitig zu blockieren.

Schlag gegen Phishing-Industrie

Parallel zu dieser Kampagne gelang deutschen und US-amerikanischen Ermittlern ein bedeutender Schlag gegen die Hintermänner solcher Attacken. Sie zerschlugen die „Kratos“-Plattform – einen Dienst, der Phishing-Werkzeuge als Service anbot (PhaaS). Microsoft führte die Operation unter dem Codenamen SneakyLog.

Während Behörden gegen Phishing-Plattformen vorgehen, bleibt die Gefahr durch neue Technologien wie Passkeys ein zentrales Thema für die digitale Sicherheit. Erfahren Sie in diesem kostenlosen Report, wie Sie die sicherere Alternative zum Passwort bei Amazon, WhatsApp und Co. einrichten. Kostenlosen Passkey-Guide hier anfordern

Die Bilanz der Razzia: Ein Entwickler wurde in Indonesien festgenommen, mehr als 200 Server beschlagnahmt. Vor der Abschaltung nutzten rund 1.800 kriminelle Gruppen die Plattform. Sie starteten damit monatlich etwa 15.000 Phishing-Kampagnen in über 30 Ländern.

Die Ermittler werteten auch Finanzdaten aus: Seit 2024 spülte der Kratos-Dienst seinen Betreibern mehr als 300.000 Euro ein. Die Parallelen zur aktuellen Kampagne sind offensichtlich: Beide setzen auf Session-Hijacking statt auf einfachen Passwortdiebstahl. Ein Zeichen, dass die Branche der Cyberkriminellen zunehmend professionalisiert agiert.

de | wissenschaft | 69840768 |