Eine groß angelegte Angriffswelle mit gefälschten Voicemail-Transkripten hat zwischen dem 17. und 31. August 2026 mehr als 7.800 Organisationen getroffen. Wie Check Point Research in einem Bericht vom 14. September 2026 mitteilte, nutzten die Angreifer dabei neuartige Verschleierungstechniken, um herkömmliche Schutzfilter von Unternehmensnetzwerken gezielt auszuhebeln.
Manipulierte SVG-Dateien umgehen Sicherheitsfilter
Die Täter setzten auf ein massives E-Mail-Aufkommen. Laut einem Bericht von TechRadar vom 15. September 2026 umfasste die Kampagne mehr als 58.000 E-Mails. Um die Herkunft der Nachrichten zu verschleiern, griffen die Akteure auf eine breite Infrastruktur zurück: Nach Angaben von CXO Today vom selben Tag kamen mehr als 38.400 gefälschte Absenderadressen über mehr als 9.300 gefälschte Domains zum Einsatz.
Der technische Hebel lag in den E-Mail-Anhängen. Die versendeten Vektorgrafikdateien im SVG-Format enthielten eingebettete Skripte, die bestehende Sicherheitsfilter erfolgreich umgingen.
Wurde die Datei geöffnet, führte der integrierte JavaScript-Code clientseitig zu einer Umleitung auf Phishing-Seiten zum Diebstahl von Zugangsdaten. Auf diesen gefälschten Formularen war die E-Mail-Adresse der jeweiligen Empfänger bereits vorausgefüllt, was die Glaubwürdigkeit der Täuschung erhöhte.
Vielschichtige Angriffe auf Unternehmenskommunikation
Die Welle reiht sich in eine Reihe koordinierter Angriffe auf Kollaborations- und Maildienste ein. Microsoft warnte am 9. September 2026 vor Kampagnen mit gefälschten Passkey-Aufforderungen über Telefonanrufe und Kurznachrichten, die sich gegen Microsoft 365 richten und mindestens seit Mai 2026 laufen.
Angesichts immer raffinierterer Phishing-Methoden gewinnen moderne Authentifizierungsverfahren an Bedeutung, um Online-Konten effektiv vor dem Zugriff durch Unbefugte zu schützen. Ein kostenloser PDF-Report zeigt Ihnen, wie Sie Passkeys bei Diensten wie Amazon, Microsoft oder WhatsApp einrichten und so den klassischen Passwort-Stress beenden. Sicher und passwortlos: Jetzt kostenlosen Passkey-Ratgeber herunterladen
Die Aktivitäten werden mit den Clustern Storm-3121 und Storm-3032 sowie ShinyHunters/Helix und Gruppen wie Cordial Spider in Verbindung gebracht. Die Täter gaben sich als interner IT-Helpdesk aus und lockten Mitarbeiter auf sogenannte Adversary-in-the-Middle-Seiten in Microsoft-Login-Optik, um unbefugten Zugriff auf SharePoint, OneDrive und Exchange Online zu erlangen.
Zusätzlich berichtete Microsoft am 10. September 2026 über eine Welle von Business-E-Mail-Compromise-Mails mit mehr als einer Million Nachrichten zwischen dem 3. und 5. August 2026. Rund 87,7 Prozent der Ziele befanden sich in den USA in Branchen wie IT-Dienstleistungen, Beratung und Konsumgüter.
Pro Versuch strebten die Angreifer unberechtigte ACH-Überweisungen von fast 50.000 US-Dollar an. Die dafür verwendeten Domains wurden am 31. Juli registriert, wobei der zugrundeliegende HTML-Code nach Microsoft-Angaben mithilfe künstlicher Intelligenz erstellt wurde.
Schwachstellen in Weiterleitungs- und E-Mail-Kontrollen
Gleichzeitig stehen bestehende Schutzmechanismen im E-Mail-Verkehr unter Druck. ReliaQuest wies zum 31. August 2026 nach, dass sich die Sicherheitskontrolle RejectDirectSend in Exchange Online über einen leeren Envelope-Absenderpfad im SMTP-Protokoll umgehen lässt.
Da Hacker zunehmend psychologische Manipulationstaktiken nutzen, um technische Filter zu umgehen, müssen Unternehmen ihre Präventionsstrategien proaktiv anpassen. Dieses kostenlose Anti-Phishing-Paket bietet eine detaillierte Analyse aktueller Angriffsmethoden und zeigt Ihnen in vier Schritten, wie Sie Ihr Unternehmen wirksam absichern. Gratis Anti-Phishing-Paket für Unternehmen jetzt anfordern
Im Test wurde eine entsprechende E-Mail mit leerem Absender akzeptiert und im Junk-Ordner abgelegt, während SPF, DKIM und DMARC fehlschlugen. Nur IP-beschränkte Inbound-Connectoren blockierten diese Versuche vollständig.
Passend dazu registrierte das KnowBe4 Threat Lab zwischen Juli und August 2026 insgesamt 29.785 bestätigte Direct-Send-Spoofing-Versuche, bei denen in 4.023 Fällen ein Rückmeldekontakt auf eine fremde Domain gesetzt war. Rund 35 Prozent dieser Mails trugen Anhänge, die nahezu vollständig als Bedrohung eingestuft wurden.
Das Volumen orientierte sich eng an den Bürozeiten der US-Ostküste mit einem Höchststand um 14 Uhr. Auch IronScales dokumentierte für Ende August 2026 einen Fall, bei dem eine manipulierte Nachricht an eine Workspace-Gruppe eines Vermieters gelangte und zeitgleich an vier Buchhaltungspostfächer weitergeleitet wurde.
Angreifer nutzen vertrauenswürdige Plattformen zunehmend für gefälschte Warnungen zu Kontosperrungen, Rechnungen und Vertragsverlängerungen. Kaspersky zählte bis zum 11. September 2026 mehr als 1.000 betrügerische E-Mails im Namen von DocuSign und Zoom mit Zielkonten unter anderem in Westeuropa und Nahost.
Auch das IT-Sicherheitsteam der Seton Hall University meldete Phishing-Aktivitäten mit imitierten Benachrichtigungen von Microsoft Teams und weiteren gängigen Arbeitsdiensten. Laut dem Verizon DBIR 2026 waren Phishing für 16 Prozent und der Mensch als Sicherheitsfaktor für 62 Prozent der Sicherheitsvorfälle verantwortlich.
