Check Point Research (CPR), die Threat-Intelligence-Abteilung von Check Point Software Technologies, stellt die Ergebnisse seines Brand-Phishing-Reports für das 3. Quartal 2026 vor. Die neuesten Ergebnisse zeigen, dass Microsoft weiterhin die am häufigsten imitierte Marke war und 33 Prozent aller im Quartal erfassten Brand-Phishing-Versuche ausmachte – ein Anstieg gegenüber 23 Prozent im 2. Quartal. Angreifer nutzen weiterhin das Vertrauen in weit verbreitete Technologie-, Social-Media- und Finanzmarken aus und folgen den Nutzern zudem in den Bereich der KI- und Entwickler-Tools.
Die Konzentration an der Spitze der Rangliste blieb ausgeprägt. Apple stieg um zwei Plätze auf den zweiten Rang mit 8 Prozent und lag damit gleichauf mit Google auf dem dritten Platz, während Linkedin mit 6 Prozent um zwei Plätze auf den vierten Rang zurückfiel und Amazon mit 4 Prozent die Top 5 vervollständigte. Zusammen entfiel auf diese fünf Marken mehr als die Hälfte aller Versuche, sich als Marken auszugeben, während der Anteil von Microsoft mit 33 Prozent etwa viermal so hoch war wie der jeder anderen Marke.
Über die Rangliste hinaus brachte das dritte Quartal auch eine Veränderung der Taktiken mit sich. Angreifer gaben sich als KI- und Entwicklerplattformen wie Claude und Google-Antigravity aus und nutzten dabei gefälschte Rechnungsbenachrichtigungen sowie bösartige Installationsbefehle. Andere Kampagnen gingen über den Diebstahl von Zugangsdaten hinaus, indem sie die Opfer dazu überredeten, Terminalbefehle auszuführen oder legitime Fernzugriffssoftware selbst zu installieren.
Diese Entwicklung spiegelt sich auch auf Branchenebene wider. Der Technologiesektor war weiterhin am häufigsten von Identitätsdiebstahl betroffen, gefolgt von sozialen Netzwerken und dem Bankwesen – Bereiche, in denen Menschen einige ihrer wertvollsten Konten unterhalten, von beruflichen E-Mail-Adressen und Cloud-Speichern bis hin zu sozialen Profilen und Finanzdaten.
Omer Dembinsky, Data Research Manager bei Check Point Research, erklärt: „Brand-Phishing tritt in eine neue Phase ein. Angreifer nutzen nach wie vor das Vertrauen in die Technologieplattformen aus, die Menschen täglich nutzen, aber sie folgen den Nutzern auch in KI- und Entwicklertools und gehen über den Diebstahl von Passwörtern hinaus, um Opfer davon zu überzeugen, selbst bösartige Befehle auszuführen oder Fernzugriffssoftware zu installieren. Da generative KI die Erstellung überzeugender E-Mails und geklonter Websites in großem Maßstab erleichtert, benötigen Unternehmen Präventionsmaßnahmen, die sowohl den Posteingang als auch das gesamte Internet abdecken.“
Im dritten Quartal 2026 beobachtete Phishing-Kampagnen aus der Praxis
Die im Laufe des Quartals beobachteten Kampagnen veranschaulichen, wie diese Taktiken in der Praxis angewendet werden – von gefälschten KI-Rechnungsbenachrichtigungen und geklonten Support-Seiten bis hin zu bösartigen Terminalbefehlen und Fernzugriffssoftware, die als erforderliches Update getarnt ist.
Bei einer Kampagne gab sich der Absender als Claude aus und versandte eine gefälschte E-Mail wegen eines Zahlungsfehlers, in der behauptet wurde, eine Belastung in Höhe von 500,00 € sei abgelehnt worden. In der Nachricht wurde gewarnt, dass der API-Zugang und die Claude-Lizenzen gesperrt würden, sofern der Empfänger seine Zahlungsmethode nicht aktualisiere, wodurch sowohl finanzielle Daten als auch Kontozugangsdaten gefährdet wurden.
Bei einer weiteren Kampagne kam eine Website zum Einsatz, die der „Google Antigravity“-Website zum Verwechseln ähnlich sah und einen scheinbar legitimen Linux-Installationsbefehl anzeigte. Tatsächlich entschlüsselte und führte der Befehl jedoch eine Base64-kodierte Anweisung aus, die ein Shell-Skript von einem externen Server herunterlud und ausführte, wodurch der Angreifer die Möglichkeit erhielt, Code auf dem System des Opfers aus der Ferne auszuführen.
Die Angreifer erstellten zudem einen gefälschten Apple-Supportartikel, in dem Mac-Nutzer dazu aufgefordert wurden, Terminalbefehle auszuführen – unter dem Vorwand, dies würde die Leistung verbessern. In einem anderen Fall wurde auf einer gefälschten Docusign-Website ein Dokument zur Überprüfung angezeigt, wobei behauptet wurde, ein Reader-Update sei erforderlich; durch Klicken auf „Weiter“ wurde „FleetDeck“ heruntergeladen, ein legitimes Tool zur Fernüberwachung und -verwaltung, das missbraucht werden konnte, um sich unbefugten Zugriff auf das Gerät des Opfers zu verschaffen.
Warum sich Brand-Phishing immer schwerer eindämmen lässt
Zusammen genommen zeigen diese Fälle, warum sich Brand-Phishing immer schwerer eindämmen lässt. Die Angriffe nutzen das Vertrauen in bekannte Namen aus, anstatt eine Schwachstelle in der Software auszunutzen. Dabei kombinieren sie Dringlichkeit, überzeugendes Branding, ähnlich klingende Domains und scheinbar legitime Installationsschritte, um den Verdacht zu verringern. Sie zeigen auch, wie sich das Ziel über das Sammeln von Passwörtern und Zahlungsdaten hinaus auf die direkte Kontrolle über Geräte ausweitet.
KI hilft Angreifern, überzeugende E-Mails und gefälschte Websites in großem Umfang zu erstellen, Prävention wird wertvoller als die Beseitigung der Folgen. Unternehmen sollten Phishing-Nachrichten stoppen, bevor sie den Posteingang erreichen, KI-gestützte Erkennung für Markenbetrug und das Sammeln von Anmeldedaten einsetzen, Untersuchungen und Reaktionen automatisieren, auf nicht genehmigte Fernverwaltungstools achten und das gesamte Web nach ähnlich klingenden Domains und geklonten Anmeldeseiten durchsuchen, damit betrügerische Websites entfernt werden können, bevor Kunden mit ihnen in Kontakt kommen.
#CheckPoint
