Phishing-Welle Juli 2026: Angreifer nutzen Facebook und Fake-Jobs
Veröffentlicht: 08.07.2026 um 12:36 Uhr, Redaktion boerse-global.de
Marketingfachleute, die Luftfahrtindustrie und sogar Regierungsbehörden stehen im Fokus. Die Täter nutzen dabei immer ausgefeiltere Techniken.
Meta-Dienste als Einfallstor
Seit November 2025 verfolgen Sicherheitsexperten eine hartnäckige Kampagne, die Metas Geschäftspartnerdienste missbraucht. Die Angreifer versenden betrügerische E-Mails über die legitime Adresse „noreply@business.facebook.com". Im Juni 2026 verschärften sie ihre Taktik: Ein Facebook-Messenger-Chatbot lockt Nutzer mit dem Versprechen auf Verifikationsabzeichen oder Monetarisierungsfunktionen.
Die Masche zielt auf sensible Daten ab. Login-Daten, Codes für die Zwei-Faktor-Authentifizierung, Telefonnummern und sogar Ausweiskopien werden gestohlen. Die erbeuteten Informationen landen auf einem Telegram-Kanal. Zwar haben die Forscher Hinweise auf vietnamesische Sprachhinweise in der Angreifer-Infrastruktur gefunden, doch Meta hat inzwischen Gegenmaßnahmen implementiert.
Parallel dazu läuft eine zweite Kampagne, die bis Juli 2026 andauerte. Sie richtet sich gezielt gegen Marketing-Experten mit gefälschten Jobangeboten. Die Täter imitieren über 30 große Marken – darunter Adidas, Netflix, Adobe und McKinsey. Auf den Fake-Karriereseiten nutzen sie die sogenannte „Browser-in-the-Browser"-Technik, um Google-Passwörter abzugreifen. Die Angriffskette führt über komplexe Weiterleitungen durch Plattformen wie PeopleForce, Salesforce Marketing Cloud und Wise Agent.
Luftfahrt und Behörden im Visier
Die Luftfahrtindustrie gerät zunehmend ins Fadenkreuz. Im Juli 2026 entdeckten Forscher eine Spear-Phishing-Kampagne, die das russische Forschungsinstitut VNIIR imitiert. Die Angreifer verschicken passwortgeschützte Archive. Diese enthalten eine portable Version von AnyDesk und ein SMTP-Kommandozeilen-Tool.
Die aktuelle Phishing-Welle nutzt Facebook Messenger, Microsoft Teams und gefälschte Jobangebote – oft mit Phishing-as-a-Service im Hintergrund. Unser Report liefert die wichtigsten Erkennungsmerkmale und einen Notfallplan für Ihr Unternehmen. Jetzt kostenlosen Sicherheits-Report anfordern
Die Schadsoftware installiert sich über eine geplante Aufgabe namens „Auto apdate" dauerhaft auf den Systemen. Anschließend werden AnyDesk-Konfigurationsdaten an die Angreifer übermittelt. Sicherheitsexperten bringen diese Aktivitäten mit der Bedrohungsgruppe „Rare Werewolf" in Verbindung.
In Südasien läuft unter dem Namen „Operation DragonReturn" eine Kampagne gegen indische Steuerzahler. Die Angreifer nutzen gefälschte Websites der indischen Steuerbehörde, um verschiedene Fernzugriffs-Trojaner zu verbreiten – darunter DcRAT, Gh0st RAT und Quasar RAT. Diese Angriffe setzen auf DLL-Seitenladung und verstecken Schadcode in Bildern, um unentdeckt zu bleiben. Die Infrastruktur wird der Gruppe „Silver Fox" und IP-Adressen aus dem chinesischen ChinaNet-Netz zugeschrieben.
Phishing als Dienstleistung
Die Verbreitung von Phishing-as-a-Service-Plattformen (PhaaS) verschärft die Bedrohungslage zusätzlich. Die Kratos-PhaaS-Kampagne zielte im Juli 2026 auf Unternehmen in den USA und Europa ab – insbesondere aus der Fertigungs- und Technologiebranche. Der Dienst liefert Angreifern einen aktualisierten Ablauf: Er stiehlt Microsoft-Anmeldedaten, zeigt gefälschte „falsches Passwort"-Meldungen an und leitet die Opfer dann auf legitime Login-Seiten weiter.
Angreifer setzen zunehmend auf dezentrale Infrastruktur – etwa Ethereum-Smart-Contracts für Schadsoftware wie EtherRAT. Wer sein Unternehmen schützen will, braucht einen aktualisierten Abwehrplan. Dieser Report zeigt die fünf effektivsten Tools gegen Phishing-as-a-Service. Tools zur Phishing-Abwehr jetzt sichern
Aktuelle Erkenntnisse von Unit 42 zeigen zudem eine Kampagne, bei der sich Angreifer während Microsoft-Teams-Anrufen als IT-Support ausgeben. Nach einem ersten Phishing-Köder über eine Umfrage übernehmen sie die Fernsteuerung der Rechner über legitime Tools wie AnyDesk. Das Ziel: die Installation von „EtherRAT". Diese Node.js-basierte Schadsoftware bezieht ihre Befehle aus Ethereum-Smart-Contracts – ein Novum, das auf eine zunehmend dezentrale Infrastruktur in der Cyberkriminalität hindeutet.
Bereits im Frühjahr, zwischen April und Mai 2026, dokumentierten Forscher eine Verschiebung hin zum Missbrauch von Microsoft OAuth 2.0 durch Device-Code-Phishing. Diese Angriffe begannen oft mit betrügerischen E-Mails von imitierten Anwaltskanzleien. Sie erlauben es den Tätern, Zugriffs- und Aktualisierungstoken zu stehlen – in manchen Fällen umgehen sie so den Diebstahl traditioneller Passwörter vollständig.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
