LONDON (IT BOLTWISE) – Laut einem Update zu einer aktuellen Cyberkampagne verschiebt sich die Angriffsfläche bei Finanzhäusern von Netzwerken hin zu Identitäten. Angreifer sollen Mitarbeitende per Telefon als IT-Hilfe ausgeben und sie zu Login-Seiten mit Credential- und MFA-Token-Abgriffen bewegen. Dabei klappt die Methode oft ohne das klassische Durchbrechen von Perimetern – weil die Angreifer als „authentisierte“ Nutzer auftreten. Unklar bleibt, welche der über 200 aufgebauten digitalen Fallen tatsächlich erfolgreich waren.
Finanzkonzerne hatten in den vergangenen Jahren viel Aufwand in Firewalls, E-Mail-Filter und die Erkennung auffälliger Netzwerkpakete gesteckt. Die neue Bedrohungslogik wirkt dagegen vertraut und gleichzeitig beunruhigend: Statt sich durch den Perimeter zu arbeiten, setzen Angreifer im Finanzsektor zunehmend auf Identitätsmissbrauch, der im Alltag einer Organisation entsteht. In einem kampagnenbezogenen Update wird beschrieben, dass Angreifer Mitarbeitende nicht zuerst über technische Exploits erreichen, sondern über einen Anruf – häufig direkt auf dem privaten Mobiltelefon – und sich dann als IT-Helpdesk ausgeben. Damit verlagert sich das Risiko weg von „bösartigen Dateien“ und hin zu „vertrauenswürdigen Abläufen“, in denen Menschen und Systeme korrekt funktionieren, aber missbraucht werden.
Konkret ordnet Google die Kampagne einer Aktivität zu, die unter UNC6671 geführt wird. Als Zielorganisationen werden unter anderem Blackstone, Apollo Global Management, Bain Capital, Bridgewater Associates, KKR, TPG, CME Group, Clearlake Capital und Moody’s genannt; außerdem werden mehrere Hedgefonds wie Point72, Citadel und Two Sigma erwähnt. Der Bericht spricht von mehr als 200 präparierten digitalen „Traps“ innerhalb von etwa fünf Wochen, doch der eigentliche Hebel lag nicht im verdeckten Eindringen in Systeme. Laut den Angaben seien Angreifer vielmehr per Telefonat auf Mitarbeitende zugegangen, hätten dabei Helpdesk-Rollen imitiert und so Zugangsdaten sowie weitere Authentifizierungsinformationen erschlichen. Damit ähnelt das Bedrohungsbild weniger dem klassischen Muster eines „Ransomware-Schlags“ als einem großskaligen Identitäts- und Prozessangriff.
Technisch entscheidend ist, dass das Vorgehen häufig nicht daran scheitert, dass Multi-Faktor-Authentifizierung (MFA) existiert. Stattdessen können Angreifer Mitarbeitende zur „richtigen“ Aktion in die falsche Richtung lenken. Die Beschreibung lautet, dass Anrufer sich als IT-Mitarbeiter mit „urgent security migrations“ ausgeben und Beschäftigte gezielt zu attacker-controlled Login-Portalen lotsen. Dort können adversary-in-the-middle-Techniken Authentifizierungsdaten und MFA-Tokens abgreifen, bevor die Session im Hintergrund etabliert wird. Sobald der Zugang einmal sitzt, lassen sich laut Bericht automatisierte Skripte nutzen, um Daten aus Cloud-Anwendungen zu exfiltrieren und Signale zu unterdrücken, die eine Entdeckung begünstigen könnten. Die Methode selbst wird als nicht besonders „sophisticated“ eingeordnet, aber gerade diese Einfachheit ist für Sicherheitsverantwortliche ein Problem: Viele Schutzstrategien optimieren auf das Erkennen von Anomalien, sobald ein Angreifer sichtbar wird. Wenn die Interaktion jedoch wie ein legitimer Nutzer wirkt, wird aus Sicht der Verteidigung die falsche Frage gestellt.
Für die Praxis verschiebt sich dadurch der Prüfstein im Sicherheitsmodell. Traditionell geht es für CISOs häufig um die Frage, ob Anfragen oder Verbindungen „gültig“ sind. In diesem Szenario entsteht die entscheidende Lücke jedoch in der Vertrauensannahme: Entscheidend ist, ob die Identität zur konkreten Zeit und aus der konkreten Situation heraus auch tatsächlich als vertrauenswürdig gelten darf. Warnsignale können beispielsweise darin bestehen, dass ein legitimes Konto plötzlich ein neues MFA-Gerät enrollt, eine Sitzung aus ungewöhnlicher Infrastruktur startet oder ungewöhnlich große Datenmengen aus dem Unternehmensspeicher herunterlädt. Genau diese Unschärfe zwischen „technisch erlaubt“ und „operativ riskant“ wird im Bericht als Kern des neuen Threat-Models für Finanzdienstleister herausgearbeitet. Das ist auch ökonomisch relevant, weil Finanzhäuser über sehr wertvolle Daten verfügen – von Deal-Informationen bis hin zu sensiblen Kundenunterlagen –, die sich in Extorsionsszenarien besonders gut verwerten lassen.
Hinzu kommt, dass die Organisationsrealität in Finanzunternehmen die Angriffspunkte vergrößert. Je stärker Cloud-Identitätsplattformen, Collaboration-Suiten und SaaS-Ökosysteme die täglichen Prozesse bestimmen, desto weniger „Grund“ haben Angreifer, sich durch Netzwerke zu kämpfen. Ein sauberer Identitäts-Workflow wirkt aus Angriffssicht wie eine Abkürzung, bei der nicht die Schwachstelle im Vordergrund steht, sondern der Handlungspfad. In einem solchen Modell wird die Antwortpflicht nicht nur bei der IT verortet: Phishing-resistente Authentifizierung, strengere Helpdesk-Kontrollen und kontinuierliches Identity Monitoring rücken als Prioritäten in die Verantwortung von CFOs und Boards. Gleichzeitig nennen die Daten aus dem Finanzbetrugsumfeld den Druck: In einem Bericht, der 2025 „State of Fraud and Financial Crime in the United States“ beschreibt, wird festgehalten, dass 68% der Finanzinstitute ihre Fraud-Detection-Budgets Jahr für Jahr erhöht haben; zudem geben 46% an, dass Betrugsmaschen inzwischen zunehmend ausgefeilt seien (steigend von 35% im Vorjahr). Das unterstreicht, dass Sicherheit und Betrugsprävention in der Praxis häufiger zusammenlaufen.
Für die Umsetzung im Betrieb gilt dann weniger „mehr von allem“, sondern gezieltere Prozessgrenzen. Beim Helpdesk reichen klassische Ticketing- oder Freigabeprozesse oft nicht aus, wenn Angreifer den Kontaktkanal kontrollieren und Mitarbeitende zu sensiblen Auth-Änderungen drängen. Laut der Darstellung sollten Anfragen rund um Passwort-Resets, Passkey-Enrollment oder MFA-Änderungen eigene Kontrollen erhalten – etwa verifizierte Rückrufe, eng begrenzte Enrollment-Prozesse und zusätzliche Freigaben für besonders risikobehaftete Nutzer. Auch CFO-nahe Anforderungen sind hier greifbar: Ein Zahlungs- oder Freigabeprozess, bei dem eine einzelne Person große Transfers ohne unabhängige Verifizierung auslösen kann, wäre selbst aus Governance-Sicht schwer zu rechtfertigen. Trotzdem entsteht eine vergleichbare Asymmetrie in Identitätsabläufen, wenn ein einmaliges Authentifizierungsergebnis Zugriff auf große Bestände an Unternehmensinformationen „freischaltet“. Genau diese strukturelle Lücke wird als zunehmend schwer verteidigbar beschrieben, weil Angriffe dann am Organisationsverhalten andocken statt an technischen Schwachstellen.
Dass sich der Wandel auch in der Strategie widerspiegelt, zeigt die im Bericht zitierte Sicht aus der KI- und Compliance-Praxis. Madhu Nadig, Mitgründer und CTO bei Flagright, sagte: „Most firms think AI is an efficiency upgrade, they think they will run the same processes with fewer people. We think that framing is wrong. The firms that will win will rethink both how they apply AI to compliance technology and how they build a team around it.“ Für die Interpretation heißt das: KI wird nicht nur als Automatisierung von Prüfprozessen verstanden, sondern als Anpassung von Kontrolllogik und Team-Setup. Übertragen auf den Helpdesk-Kontext bedeutet das, dass Sicherheitsteams ihre Entscheidungswege so gestalten müssen, dass sie nicht nur „E-Mail-Phishing“ abfangen, sondern auch Kommunikations- und Identitätsanomalien im direkten Mitarbeiterkontakt. Der nächste Schritt für viele Unternehmen ist damit weniger eine neue Firewall, sondern ein engeres Zusammenspiel aus Identity Governance, operativen Helpdesk-Prozessen und risikobasierten Freigaben.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Hilfe-Desk-Anrufe bringen Identitäten ins Visier: Cyber-Gefahr für Wall Street" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Hilfe-Desk-Anrufe bringen Identitäten ins Visier: Cyber-Gefahr für Wall Street" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Hilfe-Desk-Anrufe bringen Identitäten ins Visier: Cyber-Gefahr für Wall Street« bei Google Deutschland suchen, bei Bing oder Google News!