Social Engineering blieb laut einem Bericht von ThreatDown auch 2025 der wichtigste Erstzugriffsvektor für Cyberangriffe, wobei KI-Tools zunehmend Unterstützung leisteten. Die Forscher warnen davor, dass KI im Laufe des Jahres 2026 wahrscheinlich zu einer Kernkomponente von Social-Engineering-Angriffen werden wird.
„Deepfake-Stimmen, -Bilder und -Videos erfordern mittlerweile nur noch minimale Fachkenntnisse und lediglich eine Handvoll Referenzbilder oder wenige Sekunden Audio“, schreiben die Forscher.
„Kriminelle nutzen diese Möglichkeiten für eine Vielzahl von Angriffen: Sie erstellen gefälschte Ausweise für Finanzbetrug, geben sich als IT- oder Helpdesk-Mitarbeiter aus, um Mitarbeiter dazu zu bringen, Passwörter preiszugeben oder zurückzusetzen MFA oder den Fernzugriff genehmigen; und sich als Führungskräfte ausgeben, um äußerst überzeugende Formen von CEO Fraud.
„ThreatDown geht davon aus, dass KI-gesteuerte Social-Engineering-Operationen im Laufe des Jahres 2026 erheblich zunehmen und sich zur dominierenden Form des Social Engineering entwickeln werden, die von Angreifern eingesetzt wird.“
Angreifer setzen bereits in großem Umfang KI ein, um Phishing-Köder zu generieren. Mit generativen KI-Tools können Angreifer realistische Phishing-E-Mails ohne Tippfehler erstellen, selbst wenn sie die Sprache des Ziels nicht gut beherrschen.
“Phishing Kampagnen nutzten bekannte Marken und glaubwürdige Köder wie sichere Dokument-Downloads“, so ThreatDown. „Angreifer setzten zunehmend auf KI-generierte E-Mails, um die Fehler zu eliminieren, anhand derer viele Phishing-Angriffe erkennen, und um in großem Umfang ausgefeiltere, überzeugend personalisierte Nachrichten zu erstellen.
„Mit einfachen Techniken wie der Überprüfung von MX-Einträgen zeigten Angreifer den Opfern gefälschte Versionen der Anmeldeseiten von Google oder OneDrive, die mit den Domains der Opfer verknüpft waren. In einigen Fällen wurden die Opfer nach dem Abgreifen ihrer Anmeldedaten auf ihre echten Posteingänge weitergeleitet, um den Verdacht zu minimieren.“
Schulungen zum Sicherheitsbewusstsein mit realistischen Phishing-Simulationen kann den Mitarbeitern helfen, wachsam zu sein, auch wenn sie beschäftigt sind. Wenn die Mitarbeiter wissen, dass sie simulierte Phishing-E-Mails erhalten werden, werden sie die echten eher erkennen.
ThreatDown hat die story.