Phishing
Phishing ohne Link und Malware: Wenn ein Telefonanruf zum eigentlichen Angriff wird
Angreifer umgehen E-Mail-Sicherheit mit Telefonnummern statt Phishing-Links
Phishing braucht längst keinen manipulierten Link oder verseuchten Anhang mehr. Eine von Check Point beobachtete Kampagne zeigt, wie Angreifer allein mit finanziellen Sorgen, glaubwürdig formulierten E-Mails und einer Telefonnummer mehr als 9.000 Organisationen ins Visier nehmen können. Damit verschiebt sich die entscheidende Frage für die E-Mail-Sicherheit: Nicht mehr nur der technische Inhalt einer Nachricht ist relevant, sondern vor allem die Handlung, zu der sie den Empfänger verleiten soll.
24.700 Phishing-Mails in nur zwei Wochen
Check Point Software Technologies hat eine groß angelegte Phishing-Kampagne identifiziert und nach eigenen Angaben blockiert, bei der vermeintliche Angebote zur Schuldenerleichterung und finanziellen Unterstützung als Köder dienen.
Innerhalb von 14 Tagen registrierten die Sicherheitsforscher rund 24.700 entsprechende E-Mails, die sich gegen Nutzer in mehr als 9.000 Organisationen richteten. Auffällig ist weniger die Größenordnung als die Angriffsmethode: Die Nachrichten enthalten weder klassische Phishing-Links noch Malware oder offensichtlich gefälschte Domains.
Stattdessen sollen die Empfänger eine Telefonnummer anrufen.
Damit verlagern die Angreifer den entscheidenden Teil des Social-Engineering-Angriffs aus dem überwachten E-Mail-Kanal heraus in ein persönliches Gespräch.
Finanzielle Sorgen werden zum Angriffswerkzeug
Die Nachrichten orientieren sich sprachlich an legitimen Angeboten zur finanziellen Unterstützung. Den Empfängern wird beispielsweise suggeriert, dass sie für Programme zur Schuldenerleichterung, Schuldenkonsolidierung, Reduzierung ihrer monatlichen Zahlungen oder andere finanzielle Hilfen infrage kommen könnten. Wer mehr erfahren möchte, soll eine angegebene Telefonnummer wählen.
Genau hier beginnt der eigentliche Angriff. Sobald das Opfer anruft, können die Angreifer das Gespräch individuell steuern, Vertrauen aufbauen und gezielt persönliche oder finanzielle Informationen abfragen. Auch Zahlungsdaten können zum Ziel werden. Ebenso denkbar ist, dass das erste Gespräch lediglich dazu dient, das Opfer auf einen weiteren, von den Angreifern kontrollierten Kommunikationskanal zu führen. Die Telefonnummer wird damit zum eigentlichen Conversion-Pfad des Angriffs.
Wenn klassische Phishing-Indikatoren fehlen
Für traditionelle E-Mail-Sicherheit ist dieses Vorgehen problematisch. Viele Schutzmechanismen konzentrieren sich auf bekannte technische Indikatoren: verdächtige URLs, Malware, präparierte Anhänge, auffällige Domains oder fehlerhafte Absenderauthentifizierung. All diese Signale bleiben wichtig. Sie reichen jedoch nicht mehr aus.
Eine professionell formulierte Debt-Relief-Mail kann technisch vollkommen unauffällig erscheinen. Sie enthält keinen Schadcode, und selbst die gewünschte Handlung – eine Telefonnummer anzurufen – ist zunächst alltäglich.
Damit verschiebt sich die Erkennung von der technischen Analyse einzelner Objekte hin zur semantischen Bewertung einer Nachricht: Was will der Absender erreichen? Welcher Handlungsdruck wird aufgebaut? Und wohin soll der Empfänger geführt werden?
Social Engineering verlässt den Posteingang
„Angreifer brauchen nicht zwingend einen schädlichen Link oder einen präparierten Anhang, um erfolgreich zu sein. Ihnen genügen fünf Minuten Aufmerksamkeit am Telefon“, warnt Patrick Fetter, Lead Sales Engineer bei Check Point . Das eigentliche Sicherheitsproblem beginnt damit genau an der Grenze zwischen digitaler und menschlicher Kommunikation. Solange sich die Interaktion innerhalb der E-Mail-Infrastruktur bewegt, können Sicherheitssysteme Inhalte analysieren, blockieren oder zumindest Warnungen ausgeben.
Nach dem Anruf verlieren diese Kontrollen weitgehend ihre Sichtbarkeit.
Für Angreifer ist das attraktiv: Ein zunächst harmlos erscheinender Kommunikationsimpuls genügt, um das Opfer in eine Umgebung zu bewegen, in der soziale Manipulation wesentlich schwieriger automatisiert erkannt werden kann.
Phishing wird zur Frage von Absicht und Kontext
Die Kampagne steht exemplarisch für eine breitere Entwicklung im Social Engineering. Cyberkriminelle müssen nicht zwangsläufig kompromittierte Webseiten, Malware-Infrastrukturen oder technisch auffällige Domains einsetzen. Sie können bestehende Kommunikationsgewohnheiten und legitime Geschäftsprozesse gegen ihre Opfer wenden. Damit verändert sich auch die Perspektive der Verteidiger.
Die entscheidende Frage lautet nicht länger ausschließlich: Enthält diese Nachricht etwas Schädliches? Zunehmend muss sie lauten: Soll diese Nachricht eine schädliche Handlung auslösen?
Diese Unterscheidung gewinnt zusätzlich an Bedeutung, wenn KI-Assistenten und automatisierte Workflows E-Mails lesen, zusammenfassen, priorisieren oder daraus weitere Aktionen ableiten. Eine technisch unauffällige, aber manipulativ formulierte Nachricht kann dann nicht nur Menschen beeinflussen, sondern potenziell auch automatisierte Prozesse.
E-Mail-Sicherheit muss vor dem Telefonat greifen
Die von Check Point beobachtete Kampagne macht deutlich, wie wirkungsvoll Phishing ohne klassische Payloads sein kann. Der Angriff steckt nicht zwingend im Link, im Anhang oder in einer manipulierten Domain – sondern in der gewünschten Reaktion des Empfängers.
Für Unternehmen bedeutet das, dass moderne E-Mail-Sicherheit stärker auf Kontext, Intention und Verhaltensmuster achten muss. Gleichzeitig bleibt Security Awareness entscheidend: Mitarbeiter müssen verstehen, dass auch eine scheinbar harmlose Telefonnummer Teil einer Angriffskette sein kann.
Denn wenn der eigentliche Betrug erst mit dem Gespräch beginnt, muss die Verteidigung bereits vorher erkennen, warum jemand überhaupt zum Hörer greifen soll.
