Hackergruppen 2026 greifen das Vertrauen der Nutzer an
Die Angreifer, die Sicherheitsteams im kommenden Jahr am stärksten beschäftigen dürften, verfügen nicht zwangsläufig über den exotischsten Schadcode. Gefährlicher sind jene Hackergruppen, die das Vertrauen von Nutzern ausnutzen und etablierte Schutzmechanismen gegen die Unternehmen wenden. Das berichten unsere Kollegen von Finance.si.
So reizvoll eine Rangliste der berüchtigtsten Hackernamen auch klingen mag: Diese Übersicht verfolgt ein anderes Ziel. Sie zeigt die Angriffsmethoden, die den Sicherheitsteams in den kommenden Monaten besonders viel Arbeit bereiten dürften. Die ausgewählten Hackergruppen verdeutlichen, dass moderne Cyberangriffe zunehmend genau jene Systeme ins Visier nehmen, die Unternehmen normalerweise als vertrauenswürdig betrachten. Dazu gehören die Mehrfaktor-Authentifizierung, der Kundendienst, Browser, biometrische Verfahren, Zahlungskarten, Entwicklungsprozesse und legitime Programme für den Fernzugriff.
Gerade deshalb bietet die vom Analyseunternehmen Group-IB veröffentlichte Auswahl „Top 10 Masked Actors for 2026“ einen nützlichen Überblick über die moderne Cyberkriminalität. Sie umfasst Phishing-Plattformen, Gruppen für mobilen Bankbetrug, staatlich unterstützte Spionageakteure, Erpresserbanden und vollständige kriminelle Ökosysteme, die beinahe wie Abonnementdienste funktionieren.
Die Untersuchung basiert auf mehr als 1.550 Analysen bedeutender Cybervorfälle weltweit. In einigen Fällen handelt es sich um klassische APT-Gruppen. Die Abkürzung steht für „Advanced Persistent Threat“, also eine fortgeschrittene und langfristig angelegte Bedrohung. Andere Akteure lassen sich eher als besonders professionell organisierte kriminelle Vereinigungen beschreiben.
Erstens: Tycoon 2FA
Ziele: Nutzer und Organisationen, die Microsoft 365 verwenden.
Group-IB bezeichnet Tycoon 2FA als dominierende Plattform für „Phishing as a Service“, kurz PhaaS, bei sogenannten Adversary-in-the-Middle-Angriffen. Im vergangenen Jahr soll die Plattform für 44,5 Prozent aller weltweiten Angriffe zum Diebstahl von Anmeldedaten und für 89 Prozent des Marktes für AiTM-Phishingdienste verantwortlich gewesen sein.
Während einer neunmonatigen Beobachtung brachte Group-IB Tycoon 2FA mit mehr als 77.000 kompromittierten Konten und über 10.000 betrieblichen E-Mail-Domains in Verbindung.
So funktioniert der Angriff: Tycoon 2FA schaltet einen Reverse Proxy zwischen das Opfer und die echte Anmeldeseite. Dabei handelt es sich um eine gefälschte Zwischenseite, die zwischen dem Nutzer und dem tatsächlichen Onlinedienst liegt.
Da die gefälschte Seite den Datenverkehr in Echtzeit an den echten Dienst weiterleitet, bemerkt der Nutzer zunächst keinen Unterschied. Der Angreifer kann jedoch eine bereits bestätigte Sitzung abfangen. Er benötigt anschließend weder das Passwort noch den zweiten Authentifizierungsfaktor.
Die Plattform verwendet außerdem gefälschte Anmeldeseiten, CAPTCHA-Abfragen, Browsererkennung und geografische Zugangsbeschränkungen. Dadurch erschwert sie Sicherheitsteams die Untersuchung der Angriffe.
Warum Unternehmen Tycoon 2FA kennen müssen: Die Plattform widerlegt die alte Annahme, dass eine Mehrfaktor-Authentifizierung allein ausreichenden Schutz bietet.
Unternehmen sollten deshalb eine sogenannte phishingresistente Mehrfaktor-Authentifizierung einführen. Zudem müssen sie Sitzungen auf ungewöhnliche Anmeldungen und auffälliges Nutzerverhalten nach dem Login kontrollieren. Auch sichere Autorisierungsstandards wie OAuth spielen dabei eine wichtige Rolle.
Zweitens: Teste PHP
Ziele: Nutzer von Onlinebanken und Kryptowallets sowie Organisationen, die von Kampagnen mit schädlichen E-Mails betroffen sind.
Bei Teste PHP lässt sich weniger von einzelnen Opfern als vielmehr von bestimmten Zielgruppen sprechen. Die Akteure stehen mit der Verbreitung schädlicher Browsererweiterungen, dem Diebstahl von Bankzugangsdaten und Kryptowährungen sowie mit sogenannten Malspam-Kampagnen in Verbindung.
Malspam bezeichnet den massenhaften Versand schädlicher E-Mails. Diese enthalten üblicherweise einen Link oder einen Anhang, über den der Nutzer sein Gerät mit Schadsoftware infiziert.
So funktioniert der Angriff: Eine schädliche Browsererweiterung kann wie eine nützliche Zusatzfunktion aussehen. Tatsächlich liest sie möglicherweise die Inhalte besuchter Webseiten aus, überwacht Eingabeformulare, fängt Anmeldedaten ab oder verändert die angezeigten Informationen.
Überweist ein Nutzer Kryptowährungen, kann die Erweiterung die Adresse des Empfängers austauschen. Meldet sich das Opfer bei seiner Bank an, kann sie die Zugangsdaten oder weitere Sicherheitsinformationen abfangen.
Warum Unternehmen Teste PHP kennen müssen: Viele Unternehmen überwachen E-Mails, Endgeräte und Netzwerke intensiv. Browsererweiterungen kontrollieren sie dagegen deutlich seltener.
Bei Beschäftigten in den Bereichen Finanzen, Buchhaltung, Kryptowährungen oder Verwaltung stellt dies eine erhebliche Sicherheitslücke dar. Unternehmen sollten zugelassene Browsererweiterungen deshalb ähnlich streng verwalten wie die übrige Software auf betrieblichen Computern.
Drittens: ShadowSilk
Ziele: Regierungsnetzwerke in Zentralasien und Teilen der asiatisch-pazifischen Region.
Öffentlich verfügbare Informationen nennen 34 bestätigte Opfer in acht Ländern und mehr als 200 zusätzliche Ziele. Dazu gehören Einrichtungen in Kirgisistan, Usbekistan, Tadschikistan, Turkmenistan, Pakistan, Myanmar und Georgien.
So funktioniert der Angriff: Die Besonderheit von ShadowSilk besteht darin, dass die Attacken nicht wie das Werk einer klar abgegrenzten Gruppe wirken. Verschiedene Akteure teilen sich Werkzeuge, Infrastruktur und Ziele. Dadurch weisen die forensischen Spuren in mehrere Richtungen.
Dies erschwert es, einen Angriff eindeutig einer bestimmten Organisation oder einem Staat zuzuordnen.
ShadowSilk nutzt gezielte Phishing-E-Mails, verwundbare Webanwendungen, PowerShell und den Diebstahl von Passwörtern aus Browsern. Eine weitere wichtige Rolle spielen sogenannte Web Shells.
Eine Web Shell ist eine kleine schädliche Datei auf einem Server, über die Angreifer aus der Ferne Befehle ausführen können. Entdecken Sicherheitsteams diese Datei zu spät, verfügt der Angreifer praktisch über eine dauerhaft geöffnete Hintertür zum System.
Warum Unternehmen ShadowSilk kennen müssen: Die Gruppe zeigt, wie dezentral, geduldig und schwer nachweisbar staatliche oder staatsnahe Cyberangriffe sein können.
Bei solchen Gegnern genügt es nicht, lediglich die äußere Grenze eines Netzwerks zu schützen. Entscheidend sind auch die Segmentierung des Netzwerks, die Erkennung ungewöhnlicher Bewegungen innerhalb der Systeme und der Austausch von Angriffsdaten zwischen Behörden und Institutionen.