Cyberkriminelle nutzen saisonale Ereignisse gerne aus – die Steuersaison bildet da keine Ausnahme. Sie nutzen den erhöhten Stress, die knappen Fristen und die sensiblen Finanzdaten, um sich Zugang zu sensiblen Daten zu verschaffen. Angesichts der bevorstehenden Fristen in den USA und der EU beobachtete das Team von Threat Labs im März 2025 einen Anstieg der Phishing-Angriffe um 27,9 Prozent im Vergleich zum Vormonat – viele davon enthielten Finanzinformationen. In diesen E-Mails kamen Social-Engineering-Taktiken, finanzbezogene Sprache und fortschrittliche Verschleierungstechniken zum Einsatz, um an sensible Informationen zu gelangen oder die Empfänger zur Überweisung von Geld zu bewegen.
KnowBe4-Defend stellte insbesondere am 14. März 2025 einen starken Anstieg steuerbezogener Phishing-Aktivitäten fest: 16 Prozent aller an diesem Tag verarbeiteten Phishing-E-Mails enthielten das Wort „Steuer” in der Betreffzeile. Interessanterweise wurden nur 4,3 Prozent dieser Phishing-E-Mails mit steuerlichem Inhalt von kostenlosen E-Mail-Diensten versendet. Fast die Hälfte aller identifizierten Angriffe (48,8 Prozent) stammte von kompromittierten geschäftlichen E-Mail-Konten, während 7,8 Prozent den legitimen Quickbooks-Dienst nutzten, wie bei früheren Vorfällen beobachtet. Die meisten dieser Angriffe wurden von älteren Domains (100 Tage oder älter) aus versendet. Dabei wurden Taktiken angewandt, die speziell darauf ausgerichtet sind, die Legitimität zu erhöhen und herkömmliche Sicherheitsfilter wie sichere E-Mail-Gateways (SEGs) zu umgehen.
Alle analysierten Angriffe aus dieser Kampagne wurden von KnowBe4-Defend identifiziert, neutralisiert und vom Threat-Labs-Team analysiert.
Beispiel für einen Phishing-Angriff im Zusammenhang mit Steuern
In diesem Beispiel hat sich der Cyberkriminelle als Anwalt einer renommierten Kanzlei ausgegeben, um eine gefälschte Steuererklärung zu übermitteln. Mit dem Phishing-Angriff sollen persönlich identifizierbare Informationen (PII) gesammelt werden, insbesondere sensible Daten wie Adressen und Sozialversicherungsnummern. Ein in einen QR-Code eingebetteter Link leitet die Opfer zu einem gefälschten Formular weiter, das diese Informationen erfasst und somit den Identitätsdiebstahl erleichtert. Um die Legitimität und Zustellbarkeit der E-Mail zu verbessern, setzen die Angreifer verschiedene Taktiken ein: Sie verschleiern den QR-Code, nutzen polymorphe Elemente und Lookalike-Domains.
Erste Taktik: Einbetten eines QR-Codes in einen Dateianhang
Das obige Beispiel zeigt einen Phishing-Angriff zum Thema Finanzen, bei dem das Wort „Steuer“ in der Betreffzeile verwendet wird. In diesem Fall enthält die E-Mail eine gefälschte Steuererklärung als DOCX-Datei, die einen QR-Code mit einer bösartigen Nutzlast verbirgt – eine Verschleierungstechnik, mit der herkömmliche Sicherheitstools umgangen werden können. Um die schädliche Nutzlast zu erkennen, sind fortschrittliche Technologien erforderlich, die Anhänge scannen und sowohl versteckte Inhalte als auch Social-Engineering-Hinweise im E-Mail-Text analysieren können.
Öffnet der Empfänger den Anhang und scannt die Nutzlast, wird der Angriff von einem sicheren Arbeitsgerät auf ein mobiles Gerät verlagert, das wahrscheinlich nicht über angemessene Sicherheitsprotokolle verfügt.
Zweite Taktik: Polymorphe Betreffzeilen und Namen von Anhängen
Diese Angriffe enthielten eine Vielzahl polymorpher Elemente in Betreffzeile, Anzeigename, Text und Anhang der E-Mail, die sich an den Empfänger anpassen ließen. So kann beispielsweise der Name des Anhangs an das Unternehmen des Empfängers angepasst werden, während der Inhalt je nach Standort oder E-Mail-Vorlieben variiert.
Im obigen Beispiel hat der Cyberkriminelle zufällige Zeichen in die Betreffzeile, den Anzeigenamen und die Referenznummer eingefügt. Dadurch wird die Massenbereinigung für IT- und Sicherheitsteams erheblich erschwert. Mithilfe von Skripten oder Phishing-Toolkits lässt sich diese Anpassung leicht automatisieren, sodass die Angreifer jede E-Mail individuell anpassen können, um die Glaubwürdigkeit zu erhöhen. In einigen Fällen nutzen Angreifer sogar künstliche Intelligenz, um diese polymorphen Elemente zu generieren und personalisierte Angriffe in großem Umfang durchzuführen.
Dritte Taktik: Lookalike-E-Mail-Domain
Der Angreifer schickte die Phishing-E-Mail von einer Lookalike-Domain, die einen legitimen US-Rechtsdienst imitierte und nur geringfügige Zeichenänderungen aufwies. Da es sich nicht um eine direkte Fälschung handelte, konnte die Domain leicht registriert werden. Sie war in der Lage, herkömmliche SEG-Kontrollen zu umgehen, die sich stark auf die Domain-Reputation stützen. Zudem war diese spezielle Domain über 1000 Tage alt, was dem Angriff half, die Authentifizierungsprüfungen zu umgehen.
Wie sollten Unternehmen darauf reagieren?
Cyberkriminelle werden auch künftig saisonale Ereignisse ausnutzen, um immer raffiniertere Phishing-Angriffe zu starten. Um diesen Bedrohungen zu begegnen, sollten Unternehmen fortschrittliche Sicherheitstechnologien einsetzen. Diese sollten in der Lage sein, eine ganzheitliche Analyse aller E-Mail-Elemente – wie Sprache, Tonfall, Betreffzeilen und Anhänge – durchzuführen, um subtile Hinweise auf böswillige Absichten zu erkennen. Parallel dazu müssen Unternehmen gezielte und relevante Schulungsprogramme einführen, die den Mitarbeitern das nötige Wissen vermitteln, um diese Angriffe zu verhindern und entsprechend zu reagieren.
Wenn es um Phishing im Zusammenhang mit Steuern geht, nutzen die Angreifer das Chaos der Saison aus. Eine gut vorbereitete Organisation, die geeignete Technologien, Schulungen und Richtlinien einsetzt, lässt sie jedoch mit leeren Händen dastehen.
#KnowBe4
powered by Borlabs Cookie 