Cyberkriminalität: Voice-Phishing-Bande erbeutet 10,6 Millionen Dollar
Veröffentlicht am: 09.08.2026 um 07:54 Uhr | Redaktion boerse-global.de
Nachdem rund 60 Millionen zusätzliche Datensätze mit Bezug zu Thailand im Dark Web aufgetaucht sind, dringt das thailändische Ministerium für digitale Wirtschaft und Gesellschaft (DES) auf eine Verschärfung der Sicherheitsvorgaben. Das Ministerium strebt die Unterstützung des Kabinetts an, um die Multi-Faktor-Authentisierung (MFA) landesweit zur Pflicht zu machen.
Der zuständige Minister Chaichanok Chidchob erläuterte zu der aktuellen Sicherheitslage, dass es sich bei dem Vorfall nicht um einen direkten Einbruch in Systeme gehandelt habe. Stattdessen seien gestohlene Zugangsdaten über Programmierschnittstellen (APIs) missbraucht worden. Um künftige Risiken zu minimieren, koordiniert sich das DES-Ministerium derzeit eng mit der Nationalen Cybersicherheitsbehörde (NCSA) und dem Ausschuss für den Schutz personenbezogener Daten (PDPC).
Regionaler Trend zu strengeren Identitätsnachweisen
Die Initiative in Thailand steht im Kontext weitreichender regulatorischer Anpassungen im asiatischen Raum. Auch in Indien verschärfen Behörden die Anforderungen an die digitale Identität. Die dortige Rentenversicherungsorganisation EPFO hat die Aktivierung der universellen Kontonummer (UAN) über ihr herkömmliches Portal eingestellt. Nutzer müssen diesen Prozess nun über die UMANG-App abwickeln, die eine verpflichtende Gesichtserkennung auf Basis der Aadhaar-ID (Face Authentication Technology) nutzt.
Parallel dazu hat die indische Zentralbank (RBI) angekündigt, eine Zwei-Faktor-Authentisierung für alle inländischen digitalen Zahlungen, einschließlich UPI und Kartenzahlungen, ab dem 1. April 2026 vorzuschreiben. Für grenzüberschreitende Transaktionen ohne physische Karte müssen Emittenten die Validierung bis zum 1. Oktober 2026 sicherstellen, wobei mindestens ein Faktor dynamisch generiert werden muss.
In den Philippinen zeigt sich eine ähnliche Entwicklung. Die Zentralbank BSP plant laut einem Entwurf für ein Rundschreiben, Anbieter von Krypto-Dienstleistungen (VASPs), E-Wallet-Betreiber und Banken zur Integration mit den Nationalen ID-Authentifizierungsdiensten (NIDAS) zu verpflichten. Plattformen mit hohem Transaktionsvolumen sollen diese Integration innerhalb von drei Monaten umsetzen, während für andere Anbieter eine Frist von sechs Monaten vorgesehen ist. Ziel ist eine Optimierung der Identitätsprüfung (KYC) und die Reduktion von Betrugsfällen.
Angesichts der globalen Zunahme von Identitätsdiebstählen und gehackten Konten suchen viele Nutzer nach sichereren Alternativen zum klassischen Passwort. Was hinter der Technologie steckt, die das Einloggen bei Amazon, WhatsApp und Co. revolutionieren soll, erfahren Sie in diesem kostenlosen Report. Passkeys jetzt einrichten und Online-Konten schützen
Professionalisierung der Cyberkriminalität untergräbt einfache MFA
Die Dringlichkeit der staatlichen Maßnahmen wird durch neue Erkenntnisse über hochentwickelte Angriffsmethoden unterstrichen. Experten von Google und Mandiant berichteten über die Kampagne UNC6671, die mittels Voice-Phishing (Vishing) gezielt Mitarbeiter über deren persönliche Telefone anspricht. Die Angreifer geben sich als IT-Helpdesk aus und nutzen gefälschte Anmeldeseiten für Dienste wie Okta oder Entra, um nicht nur Passwörter, sondern auch MFA-Token und aktive Sitzungen zu stehlen.
Zu den Zielen dieser Kampagne gehörten über 200 Unternehmen in Nordamerika, Australien und Großbritannien, darunter namhafte Finanzdienstleister wie Blackstone, Bridgewater und Moody’s. Die Hintermänner agieren unter verschiedenen Erpressungsmarken wie Redact oder Falcon. Zwischen dem 7. Januar und dem 12. Mai konnten Zahlungen in Höhe von über 10,6 Millionen US-Dollar in Bitcoin nachverfolgt werden.
Auch in Europa gehen Behörden verstärkt gegen solche Infrastrukturen vor. Deutsche Stellen schalteten jüngst über 200 Server des Phishing-Kits „Kratos“ ab. Das als „SneakyLog“ verfolgte Tool wurde für rund 15.000 Phishing-Kampagnen pro Monat genutzt und war speziell darauf ausgelegt, Sitzungscookies zu stehlen und damit MFA-Hürden zu umgehen.
Wer sich gegen professionelle Cyber-Angriffe wie Phishing oder Datenklau absichern möchte, benötigt oft nur wenige, aber effektive Handgriffe. Dieser gratis Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihr Android-Smartphone gezielt gegen Hacker und Viren schützen können. Kostenlosen Sicherheits-Ratgeber jetzt herunterladen
Technologische Evolution und Compliance-Druck
Die IT-Branche reagiert auf die Anfälligkeit klassischer Verfahren. Microsoft Entra wird ab Oktober 2026 einen gestuften Rollout beginnen, bei dem passwortlose Anmeldedaten wie Windows Hello for Business als eigenständige MFA-Faktoren anerkannt werden. Auch GitHub hat zwischen März und Juli 2026 Sicherheitsanpassungen vorgenommen, durch die etwa Konten mit hoher Reichweite nach Änderungen an E-Mail-Adressen oder der 2FA-Wiederherstellung vorübergehend in einen Schreibschutz versetzt werden.
Für kleine und mittlere Unternehmen (SMBs) entwickelt sich der Einsatz von Zero-Trust-Architekturen zunehmend von einer Empfehlung zur Pflicht. Dies wird durch neue regulatorische Anforderungen wie PCI DSS v4.0 oder Richtlinien der US-Börsenaufsicht SEC getrieben. Zudem verschärfen Cyberversicherungen ihre Audits; Berichten zufolge wurden bereits Ansprüche in Millionenhöhe abgelehnt, weil Unternehmen entgegen ihren Angaben keine flächendeckende Multi-Faktor-Authentisierung implementiert hatten.
