HESSEN / LONDON (IT BOLTWISE) – Sicherheitsbehörden warnen vor KI-gestützten Vishing-Angriffen der Hackergruppe UNC6671. Die Täter rufen Mitarbeiter auf privaten Mobiltelefonen an, geben sich als IT-Helpdesk aus und versuchen, Zugangsdaten oder Freigaben für MFA-Token zu erlangen. Im nächsten Schritt landen Opfer auf täuschend echten Microsoft-365- oder Okta-Anmeldeseiten, über die Sitzungstokens in Echtzeit abgegriffen werden. Betroffen sind laut den Angaben vor allem Finanzdienstleister und Beratungsunternehmen, während Deutschland mit einer spezialisierten Spionageabwehr-Einheit reagiert.
In der Praxis beginnen diese Vorfälle selten mit einem technischen Exploit, sondern mit einem Anruf: Die Hackergruppe UNC6671 setzt auf KI-gestütztes Vishing, um Mitarbeiter davon zu überzeugen, dass am anderen Ende wirklich der interne IT-Support spricht. Auffällig ist dabei der Einstieg über private Mobiltelefone. Die Angreifer adressieren typische Situationen aus dem Arbeitsalltag, etwa wenn ein Konto „nicht mehr geht“ oder wenn ein MFA-Schritt „kurz bestätigt“ werden muss. Ziel ist nicht nur das Abgreifen von Passwörtern, sondern auch das Erwirken von Freigaben für Multi-Faktor-Authentifizierungs-Tokens (MFA) – also von genau den Signalen, die Organisationen eigentlich als Schutzmechanismus vorgesehen haben.
Technisch verschiebt sich damit die Angriffslogik weg von reinen Phishing-Mails hin zu einer direkten Social-Engineering-Kette mit Anschluss an die Identitätsinfrastruktur. Laut den beschriebenen Abläufen nutzen die Täter eine Adversary-in-the-Middle-Infrastruktur, die die Opfer auf Webseiten führt, die Anmeldeseiten für Microsoft 365 oder Okta imitieren. In Echtzeit greifen die Angreifer anschließend Sitzungstokens ab, wodurch der Schutzwert klassischer Credentials schnell sinkt: Selbst wenn ein Benutzer MFA korrekt „bedient“, kann das Token im eigentlichen Authentifizierungsfluss bereits kompromittiert sein. Dass in den letzten Wochen über 70 solcher Phishing-Seiten aufgetaucht sind und sie hinter Namen wie Redact, Pink, Helix oder Falcon geführt werden, unterstreicht die Geschwindigkeit, mit der die Gruppe ihre Infrastruktur rotieren kann.
Die wirtschaftliche Dimension wird besonders deutlich, wenn man sich anschaut, wen es trifft und wie die Folgeangriffe typischerweise aussehen. Im Fokus stehen demnach Finanzdienstleister, Private-Equity-Firmen, Anwaltskanzleien und Beratungshäuser. Insgesamt sollen mehr als 200 Unternehmen betroffen gewesen sein. Nach Angaben, die im Kontext der Meldung genannt werden, bestätigte auch Levi Strauss & Co. einen Vorfall: Drei Mitarbeiter seien per Social Engineering überlistet worden, und der Konzern stellte zudem klar, dass Verbraucherdaten nicht betroffen seien. Sobald die Angreifer Zugriff auf die SaaS-Umgebungen erhalten, automatisieren sie demnach das Extrahieren von Datenbeständen per Skripten – und koppeln das Vorgehen häufig an Lösegeldforderungen, die typischerweise zwischen 1 und 3 Millionen US-Dollar liegen.
Daneben lohnt der Blick auf die Muster, wie finanzieller Druck aufgebaut wird. In über der Hälfte der bekannten Fälle zahlten die Unternehmen, im Schnitt rund 750.000 US-Dollar. Für die konkrete Bekämpfung bedeutet das: Ein reiner „Incident-Response“-Ansatz, der erst nach der Kompromittierung greift, wird zu spät sein, wenn die Angreifer innerhalb kurzer Zeit Tokens übernehmen und anschließend Daten abziehen. Besonders brisant ist daher auch die Aussage, dass allein in der ersten Jahreshälfte 2026 über zehn Millionen US-Dollar in Bitcoin-Wallets der Gruppe geflossen sind. Das zeigt nicht nur Zahlungsbereitschaft, sondern auch eine gewisse Reife bei der Operationalisierung: Von der Social-Engineering-Einleitung bis zur monetären Verwertung sind mehrere Schritte miteinander verzahnt.
Während solche Kampagnen international bereits als relevante Bedrohungslage behandelt werden, wird die Abwehr in einzelnen Regionen zunehmend organisatorisch nachgeschärft. Laut den Angaben verschickte Indien rund 58.000 SMS-Warnungen an Bürger, um vor „Boss-Betrug“-Maschen zu warnen, und in Dubai sowie Malaysia sollen sich Fälle mit KI-gestützter Täuschung häufen. Für Deutschland wird außerdem berichtet, dass Hessen eine spezialisierte Abteilung zur Spionageabwehr gegründet hat. Für Unternehmen heißt das: Die Angriffe sind nicht nur ein IT-Thema, sondern werden zunehmend zum Bestandteil staatlicher Risiko-Kommunikation und damit auch zu einem Signal für die Priorisierung im Sicherheitsmanagement.
Konsequent ist deshalb vor allem der Schutzansatz auf Authentifizierungsebene. IT-Sicherheitsexperten raten demnach dazu, auf phishing-resistente Verfahren wie FIDO2 oder WebAuthn umzusteigen, weil herkömmliche MFA-Varianten – etwa SMS-Codes oder Push-Bestätigungen – gegen solche Token-Angriffe zunehmend an Schutz verlieren. Zusätzlich wird eine engmaschige Überwachung der Identity-Provider-Protokolle als wichtiger Hebel genannt: Ungewöhnliche Anmeldeversuche lassen sich damit früher sichtbar machen, bevor Sitzungstokens vollständig missbraucht werden. Praktisch verschiebt sich der Fokus in vielen Organisationen damit von „Benutzerschulung allein“ hin zu einer Kombination aus stärkeren Authentifizierungsmustern, strikteren Richtlinien für Helpdesk-Prozesse und Monitoring, das auch den Übergang zwischen Telefonanruf, Login-Flow und Token-Verwendung nachvollziehbar macht.
Unabhängig von der konkreten Angriffsvariante bleibt wichtig: Solche Kampagnen profitieren vom Mix aus psychologischer Überredung und technischer Realitätsnähe der Zielseiten. Unternehmen, die sich auf klassische MFA verlassen, sollten daher die konkreten Flows neu bewerten und prüfen, wie stark die Prozesse zur Freigabe von MFA-Schritten gegen „mitgeschnittene“ Sessions abgesichert sind. Außerdem sind klare Abläufe nötig, wie sich Mitarbeiter bei Auffälligkeiten verifizieren lassen, ohne den Angreifern dabei zusätzliche Zeit zu geben. In der genannten Meldung wird zudem auf einen kostenlosen Leitfaden und ein Anti-Phishing-Paket verwiesen; für die Umsetzung zählt aber am Ende, dass technische Schutzmechanismen und organisatorische Reaktionen zusammen greifen – besonders dann, wenn der Angreifer die Benutzerbewegung bereits durch einen scheinbar legitimen Helpdesk-Anruf vorstrukturiert.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "KI-gestütztes Vishing: UNC6671 imitiert IT-Helpdesk und stiehlt Cloud-Zugänge" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "KI-gestütztes Vishing: UNC6671 imitiert IT-Helpdesk und stiehlt Cloud-Zugänge" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »KI-gestütztes Vishing: UNC6671 imitiert IT-Helpdesk und stiehlt Cloud-Zugänge« bei Google Deutschland suchen, bei Bing oder Google News!