Spear-Phishing: Neue Angriffswelle nutzt HTML und KI

Cyberkriminelle nutzen KI-generierte Texte und manipulierte HTML-Dateien für gezielte Angriffe auf Unternehmen. Das BSI warnt vor neuen Methoden wie Ghost Pairing und empfiehlt Schutzmaßnahmen.

Eine neue Welle hochentwickelter Spear-Phishing-Angriffe alarmiert Unternehmen und Privatpersonen. Cyberkriminelle verfeinern ihre Taktiken und umgehen gezielt gängige Sicherheitsmaßnahmen. Im Fokus stehen täuschend echte, personalisierte E-Mails mit gefährlichen Anhängen.

HTML-Anhänge als neue Gefahrenquelle

Ein besorgniserregender Trend ist der verstärkte Einsatz von HTML-Dateien als Anhang. Statt erkennbarer Malware leiten diese Dateien Opfer auf gefälschte Webseiten oder laden im Hintergrund Schadcode nach. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt: Bereits das Öffnen einer E-Mail im HTML-Format birgt Risiken, da unsichtbare Schadcodes im Quelltext versteckt sein können.

Parallel gewinnen KI-gestützte Angriffe massiv an Bedeutung. Künstliche Intelligenz erzeugt grammatikalisch perfekte, mehrsprachige und emotional überzeugende Phishing-Texte. Experten prognostizieren für 2026 eine Zunahme von KI-gesteuerten Täuschungsmethoden wie Deepfakes in Kampagnen.

Anzeige

Phishing-Angriffe werden immer raffinierter: KI-generierte Texte, manipulierte HTML‑Anhänge und CEO‑Fraud täuschen selbst geschulte Mitarbeiter. Das kostenlose Anti‑Phishing‑Paket bietet eine praxisnahe 4‑Schritte-Anleitung für Unternehmen: technische Schutzregeln, branchenspezifische Beispiele, Checklisten für IT-Teams und Vorlagen für Mitarbeiterschulungen. Zusätzlich finden Sie Tipps zur Erkennung gefährlicher Anhänge und zum Aufbau eines Reporting‑Workflows — sofort anwendbar, ohne teure Zusatzsoftware. Jetzt Anti‑Phishing‑Paket kostenlos herunterladen

So laufen moderne Angriffe ab

Aktuelle Kampagnen sind mehrstufig und zielen präzise. Ein Beispiel sind gefälschte Bestellbestätigungen für europäische Industrieunternehmen und Behörden. Die E-Mails enthalten manipulierte Office-Dokumente oder ZIP-Archive. Ein Klick startet eine Infektionskette, die Sicherheitsbarrieren wie die Benutzerkontensteuerung (UAC) umgeht.

Eine andere Kampagne zielt auf Deutschland und Polen ab. Hier verbreiten Angreifer die neue Backdoor „TorNet“ über gefälschte Überweisungsbestätigungen. Der Schadcode versteckt sich in komprimierten “.tgz”-Archiven, um Sicherheitssysteme auszutricksen. Nach dem Öffnen erhalten die Kriminellen Fernzugriff.

Branchenübergreifende Bedrohung durch Social Engineering

Die Gefahr ist längst branchenübergreifend. Neben Finanzinstituten sind heute der Fertigungssektor, der Einzelhandel und Behörden stark betroffen. Die Angriffe setzen auf raffinierte Psychologie: Sie nutzen Social-Engineering-Techniken, um Vertrauen zu erschleichen und zu unüberlegten Handlungen zu verleiten.

Die Methoden werden ständig angepasst. Kürzlich kursierten gefälschte Mails im Namen von Volksbanken und der AOK, die zur Kontoverifizierung aufforderten. Eine neue Methode namens „Ghost Pairing“ zielt sogar auf WhatsApp-Konten ab, indem sie den Verknüpfungscode erschleicht. Die Botschaft ist klar: Kein Name ist vor Missbrauch sicher.

Wie Sie sich schützen können

Das BSI empfiehlt konkrete Maßnahmen zur Risikominimierung:
* Deaktivieren Sie die automatische Anzeige von E-Mails im HTML-Format.
* Öffnen Sie niemals unerwartete Anhänge oder Links – auch nicht von bekannten Absendern.
* Verifizieren Sie verdächtige Nachrichten über einen zweiten Kanal, zum Beispiel per Telefon.
* Halten Sie Antiviren-Software und Betriebssysteme stets aktuell.
* Aktivieren Sie wo immer möglich die Multi-Faktor-Authentifizierung (MFA).

Regelmäßige Sensibilisierungsschulungen für Mitarbeiter bleiben eine der wichtigsten Verteidigungslinien gegen menschliches Versagen. In einer Welt, in der fast 1,2 Prozent aller täglichen E-Mails bösartig sind, ist digitale Wachsamkeit kein Luxus, sondern Pflicht.

Anzeige

PS: Sie möchten Mitarbeiter und IT-Abteilung gezielt gegen Social‑Engineering, Ghost‑Pairing und manipulierte HTML‑Anhänge wappnen? Das Anti‑Phishing‑Paket enthält praxisnahe Checklisten, Vorlagen für Awareness‑Trainings, Incident‑Response‑Tipps und konkrete Maßnahmen zur Aktivierung von MFA und sicheren Reporting‑Prozessen. Ideal für Entscheider, die sofort wirksame Schutzmaßnahmen implementieren wollen. Gratis Anti‑Phishing‑Guide anfordern