Cyberkriminelle haben eine Funktion der Google Cloud Application Integration ausgenutzt, um großflächige Phishing-Angriffe über legitime Google-Absenderadressen durchzuführen. Da die Nachrichten von authentischen Servern des Cloud-Anbieters stammten, konnten sie herkömmliche Sicherheitsfilter umgehen und erreichten tausende Empfänger in verschiedenen Weltregionen.
Im Rahmen einer beobachteten Kampagne, die sich über zwei Wochen im Dezember 2025 erstreckte, wurden mehr als 9.000 E-Mails an rund 3.200 Organisationen versandt. Die Angriffe richteten sich gegen Unternehmen und Institutionen in den USA, Europa, Kanada, Lateinamerika sowie im asiatisch-pazifischen Raum (APAC).
Das Ziel der Täter war es, die Empfänger auf eine gefälschte Microsoft-Loginseite zu locken, um dort systematisch Anmeldedaten zu entwenden. Google reagierte auf die Vorfälle mit der Implementierung spezifischer Schutzmaßnahmen, um den weiteren Missbrauch der Application-Integration-Schnittstellen zu verhindern.
Behörden gehen gegen Missbrauch von Firebase-Strukturen vor
Neben der Ausnutzung von Cloud-Integrationsdiensten stehen auch andere Infrastrukturangebote im Fokus von Sicherheitsbehörden. Das indische Cyber Crime Coordination Centre (I4C) ordnete im August 2026 die Entfernung von 57 Websites und Datenbanken an, die über die Google-Plattform Firebase gehostet wurden. Diese Infrastruktur wurde laut offiziellen Angaben für Phishing, die Verbreitung von Malware und Finanzbetrug genutzt.
Wer sich vor solchen Phishing-Angriffen und digitalem Betrug schützen möchte, findet in diesem Paket eine effektive Anleitung zur Hacker-Abwehr. Der kostenlose Leitfaden zeigt in 4 Schritten, wie Sie verdächtige Nachrichten entlarven und Ihre Daten absichern. Anti-Phishing-Paket jetzt gratis herunterladen
Die betroffenen Firebase-Websites gaben sich unter anderem als Portale der SBI, ICICI und Axis Bank aus. In diesem Zusammenhang wurde auch eine bösartige Android-App identifiziert, die Nutzerdaten sammelte und an eine Firebase-Datenbank übermittelte.
Indische Regulierungsbehörden setzen mittlerweile ein Zeitfenster von drei Stunden durch, innerhalb dessen betrügerische Websites nach ihrer Meldung entfernt werden müssen. Der wirtschaftliche Schaden durch Cyberbetrug in Indien wurde für das Jahr 2025 auf rund 2.4 Milliarden US-Dollar beziffert.
Identifizierte Akteure und aktuelle Angriffsmuster
Die Bedrohungslage wird zudem durch spezialisierte Akteure verschärft. Die Threat Intelligence Group von Google identifizierte drei russische Spionage-Cluster mit den Bezeichnungen UNC6293, UNC7005 und UNC5976. Diese Gruppen zielen primär auf die Sektoren Wissenschaft, Verteidigung und Regierung in Europa, der Ukraine und den USA ab. Dabei kommen fortgeschrittene Techniken zum Diebstahl von Authentifizierungsdaten zum Einsatz, darunter der Missbrauch von OAuth-Zustimmungen, App-Passwörtern und die Verknüpfung von WhatsApp-Geräten. Seit März 2026 wurden in diesem Kontext bereits 12 Domains durch Google gestört.
Der Diebstahl von Authentifizierungsdaten ist eine der größten Gefahren im Netz, da herkömmliche Passwörter oft keinen ausreichenden Schutz mehr bieten. Erfahren Sie in diesem kostenlosen Report, wie die neue Passkey-Technologie Ihre Konten bei Amazon, WhatsApp und Co. manipulationssicher macht. Gratis-Report: Passwortlos und sicher anmelden
Zusätzlich beobachteten Sicherheitsexperten von Huntress eine gezielte Kampagne während der Branchenkonferenzen Black Hat und Def Con. Hierbei gab sich ein Angreifer als Vizepräsident des Mediums CoinDesk aus und verschickte Einladungen zu einer fiktiven Krypto-Konferenz. Ein darin enthaltener Link zu einem Google-Dokument forderte die Eingabe eines Verschlüsselungsschlüssels, was letztlich zur Ausführung von Schadcode führte.
Aktuelle Berichte von ThreatLocker MDR belegen zudem einen im August 2026 abgefangenen „ClickFix“-Angriff. Bei dieser Methode wurde eine verschleierte Befehlsfolge genutzt, die über eine mehrstufige Kette zur Installation des ACR Stealers führte. Diese Schadsoftware ist darauf spezialisiert, gezielt Google-Anmeldedaten zu entwenden und unterstreicht die anhaltende Gefahr durch den Missbrauch legitimer Cloud-Ökosysteme.
