Eine raffinierte E-Mail-Kampagne nutzt finanzielle Notlagen aus und lenkt Opfer zu Telefonnummern der Angreifer. Der Angriff verzichtet weitgehend auf klassische Schadlinks und Schadsoftware.
Sicherheitsforscher von Check Point haben eine umfangreiche Phishing-Operation identifiziert und gestoppt, bei der gefälschte Angebote zu Schuldenerleichterungen und finanzieller Unterstützung eingesetzt wurden. Die Empfänger wurden aufgefordert, Angreifer-kontrollierte Telefonnummern anzurufen. Innerhalb von nur 14 Tagen registrierte Check Point rund 24.700 zugehörige E-Mails, die Nutzer in mehr als 9.000 Organisationen weltweit anvisierten.
Die Kampagne zeigt anschaulich, wie sich Phishing-Taktiken weiterentwickeln. Anstatt auf bekannte technische Tricks zu setzen, nutzen die Angreifer gezielt finanzielle Sorgen der Empfänger aus. Die Nachrichten ähneln legitim wirkenden Mitteilungen über Schuldenkonsolidierung, reduzierte Ratenzahlungen oder Härtefallprogramme. Den Adressaten wird signalisiert, dass sie möglicherweise Anspruch auf Unterstützung haben, und sie werden aufgefordert, eine angegebene Telefonnummer für weitere Informationen anzurufen.
Im Gegensatz zu klassischen Phishing-Angriffen enthalten diese E-Mails meist keine offensichtlichen Schadanhänge und oft auch keine herkömmlichen Phishing-Links. Ziel ist es, das Gespräch aus dem Posteingang heraus und auf ein Telefonat zu verlagern, in dem E-Mail-Sicherheitslösungen keine Sicht mehr haben. Sobald der Kontakt hergestellt ist, können die Angreifer versuchen, persönliche oder finanzielle Daten zu erlangen, Zahlungen zu fordern, Vertrauen für weiteren Betrug aufzubauen oder das Opfer in einen anderen kontrollierten Kommunikationskanal zu lenken.
Dieser Ansatz verdeutlicht ein wachsendes Unternehmensrisiko. Viele traditionelle E-Mail-Abwehrsysteme wurden vor allem darauf ausgelegt, bekannte schädliche URLs, verdächtige Dateien, Domain-Reputation und Authentifizierungsprobleme zu erkennen. Diese Signale bleiben wichtig, doch Kampagnen dieser Art zeigen ihre Grenzen. Eine gut formulierte Nachricht über finanzielle Hilfe kann alltäglich wirken, gängige Sprache verwenden und eine Handlung fordern – das Anrufen einer Telefonnummer –, die viele Menschen ohne Zögern ausführen.
Die Telemetriedaten von Check Point belegen die beachtliche Reichweite: Etwa 24.700 Nachrichten wurden innerhalb von zwei Wochen in mehr als 9.000 Organisationen beobachtet. Das Volumen verdeutlicht, wie schnell Angreifer Social-Engineering-Inhalte verbreiten können, sobald ein funktionierendes Muster vorliegt.
Check Point Email Security setzt daher auf die Erkennung von Absicht und Kontext statt ausschließlich auf technische Indikatoren. KI-gestützte Analysen prüfen Sprache, Struktur, Absenderverhalten und die konkrete Handlung, zu der die Nachricht auffordert. Globale Bedrohungsinformationen aus ThreatCloud AI helfen dabei, einzelne E-Mails in den Zusammenhang einer größeren Kampagne zu stellen. Das System stoppt verdächtige Nachrichten möglichst, bevor sie den Posteingang erreichen, und verringert so die Wahrscheinlichkeit, dass Nutzer in Gespräche eintreten, in denen Sicherheitsteams deutlich weniger Eingriffsmöglichkeiten haben.
Der übergeordnete Trend ist eindeutig: Angreifer nutzen zunehmend vertraute Abläufe, etablierte Kommunikationswege und echte menschliche Sorgen aus, anstatt offen schädliche Infrastruktur aufzubauen. Für Sicherheitsteams verschiebt sich die zentrale Frage von „Enthält diese E-Mail etwas Schädliches?“ hin zu „Ist diese E-Mail darauf ausgelegt, eine schädliche Handlung auszulösen?“
Diese Unterscheidung gewinnt zusätzlich an Bedeutung, weil Organisationen immer häufiger KI-Assistenten und automatisierte Workflows einsetzen, die Nachrichten lesen, zusammenfassen und teilweise auch darauf reagieren. E-Mail-Sicherheit muss daher sowohl die technischen Bestandteile einer Nachricht als auch die dahinterstehende Absicht bewerten.
Die von Check Point beobachtete Größenordnung der Kampagne zeigt, wie effizient Angreifer E-Mail-basiertes Social Engineering ohne klassische bösartige Payloads betreiben können. Sie unterstreicht zugleich den Nutzen einer präventionsorientierten Absicherung, die Manipulation früh erkennt und riskante Nachrichten blockiert, bevor Nutzer reagieren. Wenn das Angriffsziel darin besteht, jemanden zum Telefonieren zu bewegen, bleibt die beste Verteidigungsmöglichkeit, die Nachricht zu stoppen, bevor das Gespräch beginnt.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de