FLOWKI · NEWSROOM
Unsichtbare Unicode und CEO-Köder: Phishing wird dreister
ki-pentesting

Unsichtbare Unicode und CEO-Köder: Phishing wird dreister

ki-pentesting4 unabhängige QuellenFlowKI Newsroom

Millionen-Phishing mit unsichtbaren Zeichen — Microsoft schlägt Alarm

Microsoft hat eine groß angelegte Phishing-Kampagne dokumentiert, die invisible Unicode-Zeichen nutzt, um herkömmliche Email-Filter zu umgehen. Laut The Hacker News setzen die Angreifer sogenannte "Zero-Width"-Zeichen ein — Sonderzeichen, die für Menschen unsichtbar bleiben, aber Sicherheitssysteme verwirren. Die Kampagne verschickt nach Microsofts Angaben Millionen von E-Mails und zielt auf Unternehmensangestellte ab, indem sie vertrauenserweckende Oberflächenmerkmale (korrekte Logos, Firmendomänen-Spoofing, legitim wirkende Layouts) mit dieser technischen Evasionsmethode kombiniert.

Die Unicode-Strategie funktioniert, weil Email-Filter-Algorithmen Texte anhand von Zeichenmustern analysieren — doch invisible Marker verschieben diese Muster minimal genug, dass Signaturen nicht greifen. Das Besondere an dieser Kampagne: Sie ist keine gezielte Operation gegen einzelne Firmen, sondern ein Volumen-Angriff mit hoher Erfolgsquote. The Hacker News berichtet, dass die Attacke mehrere Branchen betrifft und über mehrere Wellen hinweg läuft.

Parallel dokumentiert The Hacker News in seiner "ThreatsDay"-Serie eine zweite Welle von Phishing-Taktiken: CEO-Phishing-Kits, die als gecrackte Dropbox-Accounts (rund 5.000 kompromittierte Konten) verteilt werden, kombiniert mit OAuth-Trap-Schemas. Diese Kits sind vorkonfigurierte, benutzerfreundliche Werkzeuge für Angreifer — sie müssen nur noch E-Mails verschicken und warten, bis Opfer auf "Allow" bei einer scheinbar legitimen App-Berechtigung klicken. Der Report betont: Die Attacken wirken täuschend normal — ein Anruf von der IT-Abteilung, eine geteilte Datei, eine bekannte Applikation.

Fusionscams und zeitoptimierte Betrugstexte treffen Mittelstand

Eine dritte Angriffslinie richtet sich gezielt gegen größere Mittelstandsfirmen: Dark Reading berichtet von der sogenannten "Phantom Deal"-Kampagne, bei der Betrüger Fusionen und Übernahmen simulieren. Die Angreifer recherchieren ihre Ziele im extremen Detail — Organigramme, Abteilungsstrukturen, geplante Projekte — und kontaktieren dann gezielt Mittelmanagement-Ebenen mit gefälschten M&A-Dokumenten. Ihr Ziel: Diese Angestellten dazu bringen, Bankü­berweisungen in großem Umfang einzuleiten, weil sie denken, dass eine Akquisition unmittelbar bevorsteht. Die Kampagne hat bereits mehrere Großunternehmen attackiert und nach Dark Reading erste erfolgreiche Transfers ausgelöst.

Darüber hinaus zeigt eine Malwarebytes-Studie, die Help Net Security aufgegriffen hat, dass Scammer die optimalen Zeitfenster für verschiedene Phishing-Kanäle identifiziert haben. SMS-basierte Betrügereien funktionieren zu bestimmten Tageszeiten besser, Email-Phishing zu anderen, und Social-Media-DMs wieder zu ganz anderen. Scammer optimieren ihre Kampagnen somit nicht nur nach Zielgruppe, sondern nach Kanal-Effizienz — eine Professionalisierung, die zeigt, dass hinter vielen Angriffen systematische, datengetriebene Operationen stecken.

DACH: DSGVO-Trigger und Compliance-Risiken im Fokus

Diese Kampagnen treffen den deutschsprachigen Markt in einer kritischen Moment: Deutsche und österreichische Mittelständler unterliegen nicht nur der DSGVO (Datenschutz-Grundverordnung), sondern zunehmend dem EU-AI-Act, der auch Social-Engineering-Abwehr als Risikokontrolle für KI-Systeme einordnet. Ein erfolgreicher CEO-Fraud oder eine Phantom-Deal-Attacke bedeutet hier doppelter Schaden: finanzielle Verluste PLUS DSGVO-Meldepflicht (Artikel 33, 34) wenn personenbezogene Daten abgegriffen wurden.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt bereits seit 2025 vor der Eskalation dieser Taktiken in Deutschland und Österreich. Die Unicode-Evasion ist besonders problematisch, weil sie gängige Email-Security-Lösungen (Microsoft Defender, Cisco Proofpoint, Mimecast) bewältigt, die in DACH-Unternehmen Standard sind. Firmen, die auf Standardkonfigurationen dieser Systeme verlassen, sind unterversorgt.

Die Phantom-Deal-Kampagne trifft speziell Schweizer und österreichische Banken und ihre Mittelstandskunden, da diese Länder M&A-Hotspots für internationale Deals sind. Lokale Führungskräfte sind weniger skeptisch gegenüber Akquisitionsszenarien als in Märkten, wo sie seltener vorkommen.

Ein konkreter Take-Away: Segmentierung statt Perimeter-Vertrauen

Die Kernlektion aus allen drei Kampagnen-Typen ist identisch: Perimeter-basierte Sicherheit ("Email-Filter stoppt das Problem") funktioniert nicht mehr. Invisible Unicode umgeht Filter, OAuth-Traps nutzen legitime Apps, und Phantom Deals sprechen die Geschäftslogik von Mittelständlern an — alle drei Methoden arbeiten INSIDE der Vertrauenszone eines Unternehmens.

Die einzige wirksame Gegenmaßnahme ist horizontale Segmentierung: Mittelständler sollten nicht nur Email-Sicherheit erhöhen, sondern auch interne Approval-Workflows für finanzielle Transaktionen neu strukturieren (vier-Augen-Prinzip, Callback-Verifizierung bei unerwarteten Transferanfragen), OAuth-Berechtigungen auf Applikationen beschränken, die tatsächlich benötigt werden, und — für Phantom-Deal-Szenarien — regelmäßige Kriegsspiele mit dem CFO und dem Finanzteam durchführen. Das ist nicht technisch elegant, aber es funktioniert.

Zum Verständnis von systematischen KI-gestützten Sicherheitslücken empfiehlt sich ein Blick auf wie KI-Systeme bei der Schwachstellen-Identifikation helfen können. Für praktische Workflow-Kontrollen in regulierten Umgebungen siehe auch AI-Agenten und ihre Sicherheits-Gatekeeper.

Mehr zum Thema im Ressort KI-Pentesting.

Quellen