LONDON (IT BOLTWISE) – Eine neue Untersuchung zeigt, dass Versicherungs-Phishing nicht mehr nur Daten einsammelt, sondern Login-Prozesse live mitläuft. Angreifer synchronisieren ihre Aktionen mit dem echten Portal und übernehmen Sitzungen, bevor Opfer den Zugriff überhaupt bemerken. Besonders auffällig ist der Einstieg über bezahlte Suchanzeigen, die Nutzer zu täuschend echten Portalen führen. Für Security-Teams bedeutet das: Erkennung muss sich stärker an Authentifizierungs- und Workflow-Mustern orientieren.
Wer in der Vergangenheit über Phishing sprach, meinte meist einen zeitversetzten Angriff: Opfer geben Benutzername und Passwort ein, Angreifer sammeln die Credentials und greifen später auf die Konten zu. Die aktuelle Entwicklung im Versicherungsumfeld bricht dieses Denkmodell auf. In einer Analyse zu phishingbezogenen Operationen gegen Versicherer wird beschrieben, dass die Angreifer den Login nicht nur „übernehmen“, sondern während der Sitzung aktiv mit dem legitimen Prozess interagieren. Statt eine statische Betrugsseite zu betreiben, agieren die Kampagnen als eine Art Live-Zwischeninstanz, die in Echtzeit Daten entgegennimmt und unmittelbar weiterreicht.
Damit wird der Angriff von einer Sammlung sensibler Informationen zu einem unmittelbaren Session-Compromise-Problem. Der Ablauf, der in der Untersuchung geschildert wird, zielt auf moderne Portale ab, über die Kunden Policen abschließen, verlängern, Schäden melden, Konten verwalten und Zahlungen ausführen. Diese Digitalisierung erhöht zwar die Benutzerfreundlichkeit, erweitert aber zugleich die „Angriffsfläche“: Kompromittierte Versicherungs-Accounts enthalten oft persönliche Daten, Identitätsunterlagen, Policenhistorien und Zahlungsinformationen. Laut Analyse richtet sich eine koordinierte Operation dabei nicht nur auf eine einzige Marke. Vielmehr wird die gleiche operative Infrastruktur über mehrere Versicherungsanbieter hinweg wiederverwendet, während Sprache, Branding und Inhalte an lokale Märkte angepasst werden. Als primärer Schwerpunkt wird Saudi-Arabien genannt, daneben werden Aktivitäten auch in Europa, den USA und Indien beschrieben.
Technisch startet die Kampagne häufig an einem Ort, der auf den ersten Blick nach Marketing aussieht: bezahlte Suchanzeigen. Die Untersuchung hebt eine wiederkehrende Nutzung von gesponserten Google-Werbeanzeigen hervor, die als Einstieg fungieren, sobald Nutzer nach Versicherungsangeboten, Verlängerungen oder Preisvergleichen suchen. Die Anzeigen bewerben Angebote wie den Vergleich von Kfz-Versicherungen oder „günstigste“ Tarife und sollen Nutzer dazu bewegen, auf scheinbar legitime Quote-Services zu klicken. Nach dem Klick werden die Nutzer auf Phishing-Seiten umgeleitet, die User Interface, Branding, Angebots-Workflows und Kundenportale so nachbilden, dass die Täuschung über die gesamte Interaktion bestehen bleibt. Zusätzlich wird die Infrastruktur als relativ „wegwerfbar“ charakterisiert: Statt dedizierten bösartigen Hostings werden häufig legitime Website-Builder und kostenlose Hosting- bzw. Cloud-Plattformen genutzt, wodurch Betreiber schnell zwischen Domains rotieren können. Randomisierte Domainnamen mit geringer Markenähnlichkeit senken dabei die Wirksamkeit klassischer Brand-Monitoring-Ansätze.
Der zentrale Shift zeigt sich jedoch beim Authentifizierungsprozess. Herkömmliches Credential-Phishing war oft dann am effektivsten, wenn der Missbrauch zeitlich nachgelagert erfolgte. Im beschriebenen Modell dagegen sind mehrere Schritte eng gekoppelt: Wenn das echte Portal etwa eine One-Time-Password-Verifikation (OTP) auslöst, fordert die Phishing-Seite das Opfer unmittelbar auf, denselben Code einzugeben – getarnt als normale Identitätsprüfung. Entscheidend ist, dass der Code nicht nur „gespeichert“ wird, sondern noch bevor er abläuft an den legitimen Dienst weitergereicht wird. So lassen sich mehrstufige Authentifizierung und zeitkritische OTP-Mechanismen in der Praxis aushebeln, weil die Angreifer den Ablauf in der richtigen Reihenfolge und innerhalb des kurzen Zeitfensters steuern. Aus Verteidigersicht verschiebt sich damit der Zeitpunkt des potenziellen „Detection Moments“: Wenn Opfer den Betrug bemerken, kann der Angreifer bereits eine gültige Sitzung im echten Portal aufgebaut haben.
Die Untersuchung beschreibt außerdem, dass moderne Phishingkits nicht länger wie simple Sammlungspunkte funktionieren. Im Rahmen der Analyse wird ein zunächst nicht dokumentiertes Kit identifiziert und als „InsureOTP Kit“ benannt. Dieses Kit sei für phishingbezogene Operationen mit Versicherungsbezug ausgelegt und kombiniere unter anderem Live-Session-Management, Echtzeit-Datenerfassung, Backend-Administration sowie verschiedene Exfiltrationswege. Im Gegensatz zu älteren Kits, die sich darauf beschränkten, abgegriffene Credentials per E-Mail weiterzugeben, ermögliche dieses Framework eine aktive Verwaltung pro Opferinteraktion. Beobachtete Funktionen umfassen unter anderem Echtzeit-Monitoring von Opfern, administrative Dashboards, manuelle Freigabe-Workflows, Session-Tracking sowie die Integration von Telegram-Bots für strukturierte Übergaben. Daneben wird eine direkte Kommunikation über Backend-APIs erwähnt und eine Logik, die bei fehlgeschlagener Authentifizierung zusätzliche OTP-Einsendungen nachfordert. Auf diese Weise bleibt der Zugriff nicht an eine einzelne Code-Eingabe gebunden, sondern kann wiederholt versucht werden, bevor zeitkritische Mechanismen greifen.
Gerade die Infrastruktur-Analyse liefert für Cyber Threat Intelligence einen Mehrwert, der über „nur“ Domain-Blocklisten hinausgeht. Laut Untersuchung wurden öffentlich zugängliche Backend-Ressourcen assoziiert mit der beschriebenen Phishinginfrastruktur gefunden. In den ausgewerteten Artefakten werden administrative Komponenten, Backend-Quellcode, SQLite-Datenbanken sowie operative Aufzeichnungen und weitere unterstützende Teile erwähnt. Der Aussagekern: Wer nur den konkreten Phishing-Spot identifiziert, sieht möglicherweise nur den sichtbaren Teil der Lieferkette. Wenn aber Backend-Tooling, Datenstrukturen und die operative Workflow-Logik untersucht werden, entsteht ein Bild davon, wie Kampagnen entwickelt, gesteuert und ausgeführt werden. Genau dieser Perspektivwechsel – von der Frage „Wo ist die Phishing-Seite?“ zur Frage „Wie operiert die Kampagne?“ – prägt moderne Ansätze der Bedrohungsaufklärung.
Für Defender ist das Ergebnis klar: Erkennung darf sich nicht auf das Erscheinen bösartiger Seiten reduzieren. Die Untersuchung formuliert die zentrale Eigenschaft als Session-Time-Compromise statt reine Credential Theft. In klassischen Incident-Response-Modellen existierte häufig ein Zeitfenster zwischen dem Abgreifen von Daten und dem Missbrauch. Im beschriebenen Vorgehen sind OTP-Abfangen und Account Takeover hingegen Teil eines durchgehenden Workflows. Das heißt, Security-Teams sollten stärker auf Muster achten, die zu Live-Interaktionen passen: Missbrauch bezahlter Anzeigen in Verbindung mit Marken, das Auftauchen neu registrierter Lookalike-Domains, die Nutzung kurzfristiger cloudbasierter Hosting-Elemente sowie Authentifizierungssequenzen, die auf ein synchrones Weiterreichen von OTPs hindeuten. Ebenso wichtig ist der Blick auf das Ökosystem hinter solchen Kampagnen, also die wiederverwendeten Kits und Infrastrukturbausteine, statt jede Phishing-Instanz als isolierten Vorfall zu behandeln.
Am Ende passt der Versicherungsfall in eine breitere Entwicklung der Cybersecurity: Angreifer optimieren für Geschwindigkeit, Automatisierung und unmittelbaren Zugriff. Infrastruktur wird häufiger austauschbar, Phishingkits entwickeln sich zu operativen Plattformen und Kompromittierung findet im aktiven Browser- und Authentifizierungszeitfenster statt. Entsprechend verschiebt sich der Fokus vieler Programme von Digital Risk Protection, das historisch vor allem externe Indikatoren wie Phishing-Websites und Domains adressiert, hin zu Cyber Threat Intelligence, die den Betrieb erklärt: Wie hängt Infrastruktur zusammen, wie werden Kits erweitert, und wie passen Angreifer ihre Abläufe an. Die vorliegende Untersuchung betont genau diese Lücke – und macht damit deutlich, warum kontextuelle Intelligence für die Abwehr strategisch an Bedeutung gewinnt, sobald der Angriff nicht mehr „später“ passiert, sondern während des Klicks.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Versicherungs-Phishing im Echtzeitmodus: So wird aus OTP-Abfangen ein Account-Hijacking" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Versicherungs-Phishing im Echtzeitmodus: So wird aus OTP-Abfangen ein Account-Hijacking" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Versicherungs-Phishing im Echtzeitmodus: So wird aus OTP-Abfangen ein Account-Hijacking« bei Google Deutschland suchen, bei Bing oder Google News!