Die Google Threat Intelligence Group hat eine signifikante Verschiebung in der Taktik russischer Spionageeinheiten identifiziert. Wie aus aktuellen Analysen hervorgeht, konzentrieren sich drei spezifische Akteur-Cluster zunehmend auf die Manipulation und Übernahme von Authentifizierungsabläufen, anstatt lediglich klassische Passwörter zu entwenden.
Besonders alarmierend für Sicherheitsverantwortliche ist die Erkenntnis, dass herkömmliche Multi-Faktor-Authentifizierungen (MFA) in diesen Szenarien keinen wirksamen Schutz bieten.
Gezielte Angriffe auf kritische Infrastrukturen und Behörden
Die Aktivitäten der identifizierten Cluster – bezeichnet als UNC6293, UNC7005 und UNC5976 – richten sich gegen hochsensible Sektoren. Zu den Hauptzielen gehören Organisationen aus der Wissenschaft, der Luft- und Raumfahrt sowie der Verteidigungsindustrie. Ebenso im Fokus stehen Regierungsbehörden und Think Tanks, vornehmlich in Europa, der Ukraine und den USA.
Das Vorgehen der Angreifer zielt darauf ab, die Vertrauensstellung zwischen Geräten und Diensten auszunutzen. Dabei stehen Verfahren wie OAuth-Token-Zuweisungen, App-Passwörter, Device-Code-Grants und die Gerätekopplung bei Messengerdiensten wie WhatsApp im Mittelpunkt der Angriffe.
Die Taktiken der Cluster im Detail
Die Google-Analysten konnten die Vorgehensweise der drei Gruppen differenzieren:
- UNC5976: Dieser Akteur nutzt eine komplexe Cloud-Infrastruktur, um den Diebstahl von OAuth-Token zu forcieren. Google reagierte auf diese Bedrohung bereits durch die Entfernung von 12 Domains, die seit März 2026 für diese Zwecke missbraucht wurden.
- UNC7005: Dieser Cluster hat sich auf den Missbrauch der WhatsApp-Gerätekopplung spezialisiert. Entsprechende Aktivitäten wurden insbesondere in den Monaten Mai und Juni 2026 dokumentiert. Durch die Manipulation des Kopplungsprozesses erlangen die Angreifer Zugriff auf die Kommunikation, ohne das primäre Passwort des Nutzers kennen zu müssen.
- UNC6293: Diese Gruppe setzt auf den Missbrauch von sogenannten App-Passwörtern. Die Aktivitäten dieses Clusters sind bereits seit Juni 2025 dokumentiert und zeigen eine langfristig angelegte Strategie zur Umgehung moderner Sicherheitsbarrieren.
Wer sich mit der Absicherung seiner digitalen Kommunikation befasst, sollte über den Einsatz moderner Identifikationsverfahren nachdenken. Ein kostenloser Report zeigt, wie Sie Passkeys bei Diensten wie WhatsApp oder Amazon einrichten und sich so gegen Datenklau schützen. Passkeys als sichere Alternative jetzt kostenlos entdecken
Sicherheitskrise bei Authentifizierungsdiensten
Die Meldungen über die russischen Spionage-Cluster fallen in eine Zeit, in der auch andere Plattformen mit massiven Schwachstellen in der Identitätsprüfung kämpfen. So wurde kürzlich bekannt, dass ein Code-Fehler bei Instagram die Anonymisierung bei Passwort-Resets beeinträchtigte. Dies führte zur Offenlegung vollständiger E-Mail-Adressen und Telefonnummern prominenter Nutzer.
Experten raten betroffenen Anwendern dringend zur Änderung ihrer Passwörter und zur konsequenten Nutzung von Zwei-Faktor-Authentifizierungen (2FA), auch wenn diese, wie die Google-Berichte zeigen, gegen spezialisierte staatliche Angreifer nicht immun sind.
Zusätzlich verschärft das sogenannte SMS-Spoofing die Lage. Betrüger fälschen dabei Kurznachrichten seriöser Unternehmen so professionell, dass diese in echten Nachrichtenverläufen auf dem Smartphone erscheinen. Ziel ist meist die Provokation von Sofortüberweisungen. Fachleute mahnen zur Vorsicht bei Zeitdruck und raten, niemals Transaktionsnummern (TANs) weiterzugeben oder ungeprüft auf Links in SMS zu klicken.
Angesichts von Millionen gehackter Konten pro Quartal wird die herkömmliche Passwort-Nutzung zu einem immer größeren Sicherheitsrisiko. Erfahren Sie in diesem Gratis-Leitfaden, wie eine neue Technologie das Einloggen per Fingerabdruck ermöglicht und Hackern keine Chance mehr lässt. Kostenlosen Report zur passwortlosen Anmeldung anfordern
Technologische Gegenentwürfe und Marktangebote
Angesichts der Schwächen SMS-basierter Verfahren drängen neue Lösungen auf den Markt. Das Unternehmen Glide.id startete vor wenigen Tagen die Beta-Phase für einen Dienst namens MagicalAuth in US-Netzen wie AT&T, T-Mobile und Verizon.
Das System soll SMS-basierte Einmalpasswörter (OTP) durch kryptografische Schlüssel ersetzen, die direkt in der SIM oder eSIM hinterlegt sind, wodurch auch SIM-Swap-Angriffe erkannt werden können. Eine Integration in bestehende Bank-Apps ist hierfür jedoch Voraussetzung.
Gleichzeitig positionieren sich Anbieter von Passwort-Managern mit erweiterten Sicherheitsfunktionen. Proton Pass bewirbt derzeit verstärkt Funktionen wie integrierte 2FA-Generatoren, Notfallzugriffe und einen sogenannten Pass Monitor zur Überwachung von Datenlecks. Das Unternehmen setzt dabei auf eine Schweizer Jurisdiktion und Zero-Knowledge-Verschlüsselung (AES-256-GCM).
Die aktuellen Erkenntnisse der Google Threat Intelligence Group unterstreichen, dass die Sicherheit digitaler Identitäten nicht mehr allein durch die Komplexität von Passwörtern gewährleistet werden kann. Die Integrität der gesamten Authentifizierungskette wird zunehmend zum entscheidenden Faktor in der Cyberabwehr.
