Betrüger setzen zunehmend auf künstliche Intelligenz und täuschen Mitarbeiter mit perfekten Deepfakes – Behörden schlagen Alarm.
Die Sicherheitsbehörden mehrerer Länder haben dringende Warnungen vor einer neuen Welle hochprofessioneller Betrugsmaschen ausgesprochen. Im Fokus stehen sogenannte „Boss Scams“, bei denen Kriminelle mithilfe von KI-generierten Deepfakes und Sprachklonen Führungskräfte imitieren. Besonders betroffen sind Unternehmen in Indien, den USA und Großbritannien – doch auch deutsche Firmen sollten hellhörig werden.
Wenn der „Chef“ per WhatsApp Geld fordert
Die indische Börsenaufsicht SEBI hat Mitarbeiter von Unternehmen eindringlich vor dieser Masche gewarnt. Die Täter geben sich als CEOs oder Vorstände aus und fordern Finanzmitarbeiter zu Überweisungen auf. Was die Betrugsversuche besonders gefährlich macht: Die Kriminellen nutzen inzwischen KI-gestützte Deepfakes und Stimmklone, um ihre Identität glaubhaft zu machen.
Ein Fall aus Mumbai zeigt die Dimension der Bedrohung. Ein stellvertretender Geschäftsführer überwies innerhalb von 13 Tagen umgerechnet rund 11,5 Millionen Euro in 63 Einzeltransaktionen – er glaubte, Anweisungen seines Vorstands über WhatsApp zu erhalten. Erst als er formelle Rechnungen anforderte, flog der Betrug auf. Die Polizei nahm sechs Verdächtige fest.
Doch damit nicht genug: Die Angreifer verschicken auch manipulierte ZIP-Dateien, um WhatsApp-Web-Sitzungen zu kapern. Die SEBI hat alle regulierten Unternehmen angewiesen, ihre Sicherheitsprotokolle zu aktualisieren und dringende Zahlungsaufforderungen grundsätzlich über interne Kanäle zu verifizieren.
Angreifer nutzen gezielt psychologische Schwachstellen aus, um selbst erfahrene Mitarbeiter zu täuschen und hohe Geldsummen zu erbeuten. Dieses kostenlose Anti-Phishing-Paket zeigt Ihnen, wie Sie Manipulationstaktiken wie den CEO-Fraud rechtzeitig entlarven. In 4 Schritten zum sicheren Unternehmen: So stoppen Sie Phishing-Angriffe
Phishing als Dienstleistung: „Kali365“ umgeht Sicherheitsvorkehrungen
Besonders perfide ist eine neue Entwicklung im Bereich Phishing. Das FBI warnt vor „Kali365“ – einer Plattform, die Angreifern als Dienstleistung angeboten wird und selbst mehrstufige Authentifizierungsverfahren (MFA) aushebeln kann. Die Masche nutzt eine Schwachstelle im Anmeldeverfahren von Microsoft 365 aus und verschafft Angreifern dauerhaften Zugriff auf Unternehmenskonten.
Parallel dazu entdeckten Sicherheitsexperten eine Kampagne, die Microsofts eigene Infrastruktur für Angriffe missbraucht. Die Täter manipulieren Anzeigenamen in legitimen Microsoft-Rechnungs-E-Mails, sodass diese alle üblichen Sicherheitschecks passieren. Erst wenn Opfer die angegebenen Support-Nummern anrufen, werden ihre Zugangsdaten abgegriffen.
Der „.cam“-Trick: Eine Kleinigkeit mit großer Wirkung
Ein weiteres Risiko lauert im Domain-Bereich. Ein Ingenieurbüro in Pune verlor umgerechnet rund 115.000 Euro, weil Betrüger eine nahezu identische Domain registrierten – statt „.com“ endete sie auf „.cam“. Eine Mitarbeiterin überwies das Geld auf ein Konto in Dubai, nachdem sie eine gefälschte E-Mail erhalten hatte, die angebliche Probleme bei der Bank des Lieferanten vortäuschte.
Steuerfalle: Gefälschte Behörden-Mails im Umlauf
Auch Privatpersonen sind zunehmend Ziel von Angriffen. In Indien warnte die offizielle Faktencheck-Einheit vor betrügerischen E-Mails, die zum Herunterladen von Steuerdokumenten auffordern. Die Nachrichten zielen darauf ab, sensible Finanzdaten zu stehlen.
Noch gefährlicher ist eine Kampagne mit dem Titel „Steuerverstoß und Sanktionsbescheid“. Die E-Mails enthalten Links zu einer komprimierten Datei, die eine Fernsteuerungssoftware installiert. Diese ermöglicht Angreifern die vollständige Kontrolle über den Rechner des Opfers.
Da Cyberangriffe immer raffinierter werden, müssen Unternehmer heute sowohl technische Schutzmaßnahmen als auch neue rechtliche Anforderungen im Blick behalten. Erfahren Sie im kostenlosen E-Book, wie Sie Sicherheitslücken proaktiv schließen und Ihre Firma langfristig schützen. Gratis-E-Book: Aktuelle Cyber-Security-Bedrohungen abwenden
In Großbritannien warnte die Steuerbehörde HMRC, dass das Anklicken betrügerischer Anzeigen oder die Weitergabe von Steuerdaten zur Kontosperrung und Identitätsdiebstahl führen kann. In den USA gaben sich Betrüger als Leiter einer Planungsbehörde aus und forderten per Überweisung Gebühren für Bauanträge.
Behörden schlagen zurück
Die Strafverfolgungsbehörden verstärken ihre Bemühungen. In Lucknow (Indien) zerschlug die Polizei ein internationales Callcenter für angeblichen Tech-Support, das sich gezielt an US-Bürger richtete. Die Bande nutzte gefälschte Microsoft-Warnmeldungen und psychologische Tricks, um Opfer von angeblichen Systemproblemen zu überzeugen und für nutzlose Reparaturen zur Kasse zu bitten.
Cybersicherheitsexperten empfehlen Unternehmen dringend, strenge Prüfverfahren für alle Finanztransaktionen einzuführen. Verdächtige Vorfälle sollten umgehend über offizielle Meldenummern gemeldet werden – in Deutschland etwa über das Bundesamt für Sicherheit in der Informationstechnik (BSI).
