THAILAND / LONDON (IT BOLTWISE) – In Thailand fordert das DES-Ministerium eine flächendeckende Verpflichtung der Multi-Faktor-Authentisierung, um Vishing-Angriffe besser abzufangen. Der Hintergrund: Täter missbrauchen offenbar gestohlene Zugangsdaten über APIs statt klassisch in Systeme einzudringen. Parallel verschärfen andere Länder in Asien die Identitätsprüfung mit digitalen Ausweis- und Zwei-Faktor-Pflichten. Der Trend geht damit klar Richtung stärkerer Authentisierung und weg vom einfachen Passwortschutz.
Die aktuelle Lage im Kampf gegen Cyberkriminalität hat ein klares Muster: Nicht der direkte „Break-in“ in ein System ist häufig der entscheidende Schritt, sondern der Missbrauch bereits erbeuteter Zugänge entlang der Identitätskette. In Thailand drängt das Ministerium für digitale Wirtschaft und Gesellschaft (DES) deshalb auf eine landesweite Pflicht zur Multi-Faktor-Authentisierung (MFA). Der zuständige Minister Chaichanok Chidchob ordnet den jüngsten Vorfall so ein, dass es sich nicht um einen direkten Einbruch in Systeme gehandelt habe. Stattdessen seien gestohlene Zugangsdaten über Programmierschnittstellen (APIs) missbraucht worden – ein Hinweis darauf, dass Angreifer genau die Schnittstellen ins Visier nehmen, über die Unternehmens- und Kundendienste ohnehin dauerhaft Daten austauschen.
Was Thailand politisch anschiebt, setzt sich in Asien bereits in mehreren Schritten fort und wirkt wie eine Quersumme aus Identitätsmodernisierung und Betrugsprävention. In Indien hat die Rentenversicherungsorganisation EPFO die Aktivierung der universellen Kontonummer (UAN) über ihr Portal gestoppt und auf die UMANG-App verlagert. Dort kommt eine verpflichtende Gesichtserkennung auf Basis der Aadhaar-ID zum Einsatz. Auch die indische Zentralbank (RBI) kündigte an, ab dem 1. April 2026 eine Zwei-Faktor-Authentisierung für alle inländischen digitalen Zahlungen vorzuschreiben, inklusive UPI und Kartenzahlungen. Für grenzüberschreitende Transaktionen ohne physische Karte sollen Emittenten die Validierung bis zum 1. Oktober 2026 sicherstellen, wobei mindestens ein Faktor dynamisch generiert werden muss.
Damit entsteht ein regionaler Fahrplan, der Unternehmen in der Praxis vor eine harte technische Frage stellt: Reicht eine „MFA irgendwo“ noch aus, wenn Angreifer den Kommunikations- und Session-Kontext übernehmen? Genau daran knüpfen neue Erkenntnisse aus der Sicherheitsarbeit an. Eine Kampagne, die mit Voice-Phishing (Vishing) arbeitet und als UNC6671 beschrieben wird, soll Mitarbeiter gezielt über persönliche Telefone ansprechen, sich als IT-Helpdesk ausgeben und gefälschte Anmeldeseiten für Dienste wie Okta oder Entra nutzen. Entscheidend ist dabei die Tiefe des Zugriffs: Die Angreifer sollen nicht nur Passwörter, sondern auch MFA-Token und aktive Sitzungen abgegriffen haben, also Schritte, die über bloße Authentisierungsdaten hinausgehen. Zu den Zielen der Kampagne gehörten laut den Angaben mehr als 200 Unternehmen in Nordamerika, Australien und Großbritannien, darunter Finanzdienstleister wie Blackstone, Bridgewater und Moody’s; zwischen dem 7. Januar und dem 12. Mai sollen Zahlungen von über 10,6 Millionen US-Dollar in Bitcoin nachverfolgt worden sein.
Auch in Europa wird der Angriff nicht allein über das „Social Engineering“ betrachtet, sondern entlang der dahinterliegenden Infrastruktur. In Deutschland wurden jüngst über 200 Server eines Phishing-Kits abgeschaltet, das unter dem Namen „Kratos“ geführt wurde. Das Tool, das als „SneakyLog“ verfolgt wird, war darauf ausgelegt, Sitzungscookies zu stehlen und damit MFA-Hürden zu umgehen. Das ist technisch ein relevanter Perspektivwechsel: MFA schützt primär gegen unberechtigten Login: Wenn aber ein gültiger Session-Status inklusive Cookie übernommen wird, kann das System für den Angreifer so aussehen, als wäre die Authentisierung bereits erfolgreich gewesen. Für IT-Leitungen bedeutet das: Die Bewertung von Schutzmaßnahmen darf nicht nur im IAM-Feature-Set enden, sondern muss auch Session-Management, Token-Lebensdauern und Erkennungsregeln im Browser- und API-Kontext einschließen.
Die technologische Entwicklung reagiert auf genau diese Lücke zwischen „Anmeldeversuch“ und „tatsächlich nutzbarer Sitzung“. Microsoft Entra startet ab Oktober 2026 einen gestuften Rollout, bei dem passwortlose Anmeldedaten wie Windows Hello for Business als eigenständige MFA-Faktoren anerkannt werden. Das ist nicht nur ein Marketing-Begriff, sondern adressiert das Risiko, das bei klassischen Verfahren entsteht: Wenn ein Angreifer etwa über Phishing eine Benutzerinteraktion nachbildet, kann ein passwortloser Faktor mit stärkerer Bindung an das Endgerät und an kryptografische Authentisierung die Angriffsfläche verkleinern. Daneben passen auch Entwicklerplattformen ihre Sicherheitsmechanismen an: GitHub hat zwischen März und Juli 2026 Sicherheitsanpassungen vorgenommen, sodass Konten mit hoher Reichweite bei Änderungen an E-Mail-Adressen oder einer 2FA-Wiederherstellung vorübergehend in einen Schreibschutz versetzt werden. Solche Zwischenzustände sind zwar für Nutzer spürbar, aber sie unterbrechen typische Eskalationspfade.
Für Markt und Beschaffung verlagert sich der Druck zunehmend vom „Best Practice“-Charakter hin zu echten Implementierungsverpflichtungen. Bei kleinen und mittleren Unternehmen (SMBs) rückt Zero-Trust-Architektur von einer Empfehlung zur operativen Notwendigkeit, auch weil regulatorische Anforderungen wie PCI DSS v4.0 sowie Vorgaben der US-Börsenaufsicht SEC die Sicherheitsreife messbarer machen. Gleichzeitig werden Cyberversicherungen strenger: Laut den Angaben wurden Ansprüche bereits in Millionenhöhe abgelehnt, wenn Unternehmen entgegen ihren Angaben keine flächendeckende Multi-Faktor-Authentisierung implementiert hatten. Das verschiebt Prioritäten in der IT-Governance: MFA und deren Konsistenz über Anwendungen, IdPs und Integrationen hinweg werden zu einem Risikohebel, der direkt auf Kosten, Haftung und Betriebsfähigkeit wirkt.
Praktisch bedeutet das für Unternehmen, dass sie ihre Authentisierungsstrategie wie eine Lieferkette betrachten müssen: nicht nur die Eingangsprüfung, sondern auch die nachgelagerten Artefakte wie Sessions, Tokens und API-Zugriffe. Thailand setzt dabei einen Impuls, der in Kombination mit den asiatischen Schritten in Richtung verpflichtender Identitätsnachweise zeigt, dass Staaten und Aufsicht zunehmend vom „passiert schon“ zu „muss nachweisbar funktionieren“ wechseln. Wer jetzt plant, sollte deshalb die MFA-Rollouts mit Logging, Anomalieerkennung und konsequenter Deaktivierung riskanter Pfade (etwa zu langer Session-Lebensdauer oder fehlender Bindung an Geräte-/Kontextsignale) koppeln. Denn je professioneller Vishing und API-basiertes Missbrauchsszenario werden, desto weniger hilft es, nur den zweiten Faktor einzuführen – nötig ist eine durchgängige Absicherung der gesamten Authentisierungs- und Zugriffskette.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Voice-Phishing in der MFA-Kette: Thailand drängt auf verpflichtende Identitätsprüfung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Voice-Phishing in der MFA-Kette: Thailand drängt auf verpflichtende Identitätsprüfung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Voice-Phishing in der MFA-Kette: Thailand drängt auf verpflichtende Identitätsprüfung« bei Google Deutschland suchen, bei Bing oder Google News!